ماذا يكشف هجوم بقيمة 440 ألف دولار عن التهديد المتزايد لعمليات الاحتيال عبر "الإذن" في شبكة الإيثيريوم

المصدر: بوابة بيتكوين العنوان الأصلي: ماذا يكشف هجوم بقيمة 440 ألف دولار عن التهديد المتزايد لعمليات الاحتيال “بإذن” في الإيثريوم الرابط الأصلي: قام هاكر بسرقة أكثر من 440,000 دولار من USDC بعد أن قام صاحب محفظة بالتوقيع، دون علم، على توقيع خبيث لـ"إذن".

يحدث السرقة وسط زيادة في الخسائر الناتجة عن هجمات التصيد الاحتيالي. تم فقدان حوالي 7.77 مليون دولار من أكثر من 6,000 ضحية في نوفمبر، مما يمثل زيادة بنسبة 137% في الخسائر الإجمالية مقارنة بشهر أكتوبر، على الرغم من انخفاض بنسبة 42% في عدد الضحايا.

“تصاعدت مطاردة الحيتان، مع خسارة قصوى قدرها 1.22 مليون دولار (توقيع إذن). على الرغم من انخفاض عدد الهجمات، زادت الخسائر الفردية بشكل كبير.”

ما هي عمليات الاحتيال ذات الإذن؟

تتكون عمليات الاحتيال المعتمدة على الإذن من خداع المستخدمين ليوقعوا على معاملة تبدو شرعية، لكنها تمنح المهاجم الحق في إنفاق رموزهم. يمكن أن تخفي التطبيقات اللامركزية (dapps) خبيثة حقولها، وتزيف أسماء العقود أو تقدم طلب التوقيع كأنه أمر روتيني.

إذا لم يفحص المستخدم التفاصيل بعناية، فإن توقيع الطلب يمنح المهاجم إذنًا للوصول إلى جميع رموز ERC-20 الخاصة بالمستخدم. بمجرد منح الإذن، عادةً ما يستنزف المحتالون الأموال على الفور.

يستغل هذا الأسلوب وظيفة الإذن في الإيثريوم، التي صُممت لتسهيل نقل الرموز، مما يسمح للمستخدمين بتفويض حقوق الإنفاق لتطبيقات موثوقة. تصبح هذه الراحة ثغرة أمنية عندما يتم منح هذه الحقوق للمهاجم.

“ما يجعل هذا النوع من الهجمات معقدًا بشكل خاص هو أن المهاجمين يمكنهم إتمام الإذن ونقل الرموز في معاملة واحدة (نهج ‘الضرب والسرقة’) أو يمكنهم الوصول عبر الإذن ثم البقاء غير نشطين، في انتظار نقل أي أموال إضافية لاحقًا (طالما وضعوا مدة وصول طويلة بما فيه الكفاية في بيانات التعريف لوظيفة الإذن).”

“نجاح هذا النوع من الاحتيال يعتمد على توقيعك لشيء دون فهم كامل لما سيحدث. الأمر كله يتعلق بالثغرات البشرية واستغلال براءة الناس.”

هناك العديد من أمثلة عمليات التصيد الاحتيالي ذات القيمة والحجم الكبيرين، التي تم إنشاؤها لخداع المستخدمين وإجبارهم على توقيع أشياء لا يفهمونها تمامًا. غالبًا ما تكون هذه الهجمات مخفية وراء توزيع أموال مجاني، صفحات هبوط زائفة لمشاريع لربط محفظتك، أو تنبيهات أمنية مزورة.

كيف تحمي نفسك

نفذت موفرات المحافظ الرقمية مزيدًا من أدوات الحماية. على سبيل المثال، ينبه MetaMask المستخدمين إذا كان الموقع يشبه المشبوه ويحاول ترجمة بيانات المعاملة إلى لغة يفهمها البشر. تبرز محافظ أخرى إجراءات عالية المخاطر أيضًا. لكن المحتالين يواصلون التكيف.

ينصح المستخدمون بالتحقق من عناوين المرسلين وتفاصيل العقود. “هذه هي الطريقة الأكثر وضوحًا لمعرفة ما إذا كان البروتوكول لا يتطابق مع الوجهة الحقيقية للأموال، لأنه من المحتمل أن شخصًا ما يحاول سرقتها. يمكنك التحقق من القيمة؛ غالبًا ما يحاولون منح موافقات غير محدودة.”

لا تزال المراقبة أفضل وسيلة للدفاع للمستخدمين. “أفضل طريقة للحماية من عمليات الاحتيال من نوع ‘permit’ هي التأكد من أنك تعرف ما توقيع عليه. ما هي الإجراءات التي ستتم فعليًا في المعاملة؟ ما هي الوظائف التي تُستخدم؟ هل تتطابق مع ما كنت تعتقد أنك توقيع عليه؟”

“طورت العديد من المحافظ والتطبيقات اللامركزية واجهات المستخدم لضمان عدم توقيع أي شيء بشكل أعمى، وأن تتمكن من رؤية النتائج، بالإضافة إلى عرض تحذيرات حول الوظائف عالية المخاطر. ومع ذلك، من المهم أن يتحقق المستخدمون بنشاط مما يوقعون عليه، وألا يكتفوا فقط بتوصيل محافظهم والنقر على توقيع.”

بمجرد سرقتها، من غير المرجح استرداد الأموال. في هجمات التصيد الاحتيالي، تتعامل مع شخص هدفه الوحيد هو سرقة أموالك. لا يوجد تفاوض، ولا نقطة اتصال، وغالبًا لا توجد فكرة عن الطرف الآخر.

“يلعب هؤلاء المهاجمون بأرقامهم. بمجرد أن يذهب المال، فهو يذهب للأبد. استرداده شبه مستحيل.”