تهديدات الأمان الجديدة لمحفظة Web3.0 المتنقلة: هجمات التصيد الاحتيالي المودالية

مؤخراً، اكتشف الباحثون في مجال الأمن تقنية جديدة للتصيد الاحتيالي تستهدف المحفظة المحمولة في Web3.0، تُعرف باسم "هجوم التصيد الاحتيالي النمطي" (Modal Phishing). تستغل هذه الهجمات النوافذ النمطية في تطبيقات المحفظة المحمولة، من خلال عرض معلومات مضللة لخداع المستخدمين للموافقة على معاملات خبيثة.

مبدأ هجمات التصيد الاحتيالي النموذجي

تستهدف هجمات التصيد الاحتيالي المتعلق بالنوافذ المنبثقة بشكل رئيسي النوافذ المنبثقة لمحافظ العملات المشفرة. النوافذ المنبثقة هي عناصر واجهة مستخدم شائعة في التطبيقات المحمولة، وغالبًا ما تستخدم لعرض طلبات المعاملات وغيرها من المعلومات الهامة. يمكن للمهاجمين التلاعب ببعض عناصر واجهة المستخدم في هذه النوافذ لجعلها تبدو وكأنها طلبات من تطبيقات شرعية.

يوجد نوعان رئيسيان من طرق الهجوم:

1. التحكم في معلومات DApp من خلال بروتوكول Wallet Connect
2. التلاعب بمعلومات عرض العقود الذكية في بعض تطبيقات المحفظة

ثغرة بروتوكول Wallet Connect

Wallet Connect هو بروتوكول مفتوح المصدر يُستخدم على نطاق واسع لربط محفظة المستخدم مع DApp. أظهرت الأبحاث أن هذا البروتوكول لا يتحقق من صحة المعلومات أثناء نقلها من DApp. يمكن للمهاجمين تزوير اسم DApp وعنوانه وأيقونته، مما يجعل طلبات التصيد تبدو وكأنها من تطبيقات شرعية.

معلومات احتيال العقود الذكية

على سبيل المثال، فإن إحدى المحفظات المحمولة المعروفة تقوم عند عرض نوع المعاملة بقراءة بايت توقيع العقد الذكي واستعلام اسم الطريقة المعنية. يمكن للمهاجمين إنشاء عقود ذكية خبيثة تحمل أسماء مضللة (مثل "SecurityUpdate")، مما يجعل طلب المعاملة يبدو كأنه تحديث أمني.

نصائح للوقاية

بالنسبة لمطوري المحفظة:

• افترض دائمًا أن البيانات المدخلة من الخارج غير موثوقة
• اختر بعناية المعلومات التي تعرضها للمستخدم وتحقق من قانونيتها
• تصفية الكلمات التي قد تُستخدم في هجمات التصيد

بالنسبة للمستخدمين:

• كن حذرًا من كل طلبات المعاملات غير المعروفة
• تحقق بعناية من تفاصيل الصفقة، ولا تثق بالمعلومات المعروضة في نافذة النموذج.
• تحديث المحفظة بشكل دوري للحصول على أحدث تدابير الأمان

مع تطور تقنية Web3.0، قد تستمر التهديدات الأمنية المماثلة في الظهور. يحتاج المستخدمون والمطورون إلى تعزيز الوعي بالأمان للحفاظ بشكل مشترك على أمان نظام العملات المشفرة.