WEB3 安全系列 || 你今天被‘钓鱼“了么,Web3被攻击及损失案例分析

阅读量    60999 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

随着web3领域各种应用程序的相继发展,安全问题也随之凸显。近期钓鱼诈骗攻击事件频发,各种钓鱼攻击手法层出不穷。此时,如何更清楚地了解钓鱼攻击;如何避免被钓鱼显得尤为重要。

本系列文章从web3安全出发,持续跟进web3安全动态。

 

邮件钓鱼

攻击者利用各种热点nft发售、钱包升级、nft预售、空投领取、合约升级,项目更换网站、特价nft、中签等为由,发送钓鱼邮件,内含精心模仿的官方网站、预售平台,app下载链接等,用户稍不留意就会中招。

邮件钓鱼案例

1、黑客了解到 Opensea 需要用户对其卖单进行迁移,并且清楚 Opensea 官方提前发出了迁移日期和操作步骤的邮件。

2、黑客提前制作好钓鱼网站,并且部署合约。

3、通过伪造的邮件通知用户进行迁移操作,引导受害用户在该钓鱼网站上进行卖单迁移操作。这个迁移操作就是让用户对其销售的卖单进行签名,然而签名的卖单价格是0。

4、黑客拿到用户签了名的卖单信息,通过调用 OpenSea 的交易合约就能以0的价格完成交易,顺利拿到受害者的NFT。

如何避免

  • 邮件发件人是可以伪造的,不能以邮件发件人来判断是否是官方邮件
  • 点击右键中的地址后,判断浏览器显示的地址是不是自己想要访问的网站
  • 官方不会在邮件里要求你提供任何个人信息,如果有请判断是否为官方邮件
  • 对于常用的网站添加到书签,每次使用的时候自己主动点击而不是在其他地方打开

 

假冒官方

“钓鱼网站“是指用来欺骗用户的虚假网站,它的页面与真实网站界面基本一致,以假乱真欺骗和窃取用户的私钥或者助记词。钓鱼网站一般只有一个或几个页面,和真实网站差别细微 。该诈骗手段由来已久,骗子传播噱头大多是领取空投、帮助解决问题或其他手段。

假冒官方网站钓鱼

钓鱼网站:https://adidas-meta.com/

1、攻击者首先创建了一个模仿官方的Twitter账户,并发布了Adidas Avatar free claim的推特,并在评论区@了很多粉丝.

2、打开网站,连接钱包并点击Claim Now,他将要求你执行setApprovalForAll授权攻击账号,而且你点拒绝后,他会一直弹出该请求框。

3、如果你没能及时关闭钓鱼网站,而他一直在弹窗,你刚好准备交易,没看清楚很可能会误以为opensea的请求,从而授权。

4、在攻击者或者授权后,攻击者便可以转走你的NFT了。

如何避免

  • 仔细检查Twitter账户是否官方账户
  • 每当看到setAppRovalForall的签名请求,仔细检查授权地址
  • 如果不小心批准,尽可能快的在攻击者转移NFT之前撤销授权
分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多