Cadena de bloques fraude nueva tendencia: protocolo en sí se convierte en arma de ataque
Las criptomonedas y la tecnología de cadena de bloques están redefiniendo el concepto de libertad financiera, pero al mismo tiempo han traído nuevos riesgos de seguridad. A diferencia de los ataques tradicionales que dependen de vulnerabilidades tecnológicas, los nuevos estafadores están transformando astutamente los protocolos de contratos inteligentes de la cadena de bloques en herramientas de ataque. A través de trampas de ingeniería social cuidadosamente diseñadas, utilizan la transparencia e irreversibilidad de la cadena de bloques para convertir la confianza del usuario en un arma para robar activos. Desde la falsificación de contratos inteligentes hasta la manipulación de transacciones entre cadenas, estos ataques no solo son difíciles de detectar, sino que, debido a su apariencia "legítima", tienen un alto grado de engaño. Este artículo, a través de un análisis de casos, revelará cómo los estafadores convierten los protocolos en vehículos de ataque y ofrecerá un plan de protección integral para ayudar a los usuarios a avanzar de manera segura en un mundo descentralizado.
Uno, ¿cómo se convierte un protocolo legal en una herramienta de fraude?
El protocolo de la cadena de bloques fue diseñado para garantizar la seguridad y la confianza, pero los estafadores han aprovechado sus características, combinadas con la negligencia de los usuarios, para crear varios métodos de ataque encubiertos. A continuación, se presentan algunos métodos típicos y sus detalles técnicos:
(1) autorización de contrato inteligente malicioso
Principio técnico:
En cadenas de bloques como Ethereum, el estándar de tokens ERC-20 permite a los usuarios autorizar a terceros a extraer una cantidad específica de tokens de su billetera a través de la función "Approve". Esta función se utiliza ampliamente en protocolos DeFi, pero también es aprovechada por estafadores para diseñar contratos maliciosos.
Forma de operar:
Los estafadores crean DApps que se disfrazan de proyectos legítimos, induciendo a los usuarios a conectar sus billeteras y hacer clic en "Approve". En la superficie, se trata de autorizar una pequeña cantidad de tokens, pero en realidad podría ser un límite infinito. Una vez que se completa la autorización, la dirección del contrato del estafador obtiene permisos y puede extraer todos los tokens correspondientes de la billetera del usuario en cualquier momento.
Caso:
A principios de 2023, un sitio web de phishing disfrazado de "actualización de cierto DEX" provocó la pérdida de millones de dólares en USDT y ETH para cientos de usuarios. Estas transacciones cumplían completamente con el estándar ERC-20, lo que dificultó a las víctimas recuperar su dinero por vías legales.
(2) firma de phishing
Principio técnico:
Las transacciones de la cadena de bloques requieren que los usuarios generen una firma a través de su clave privada para demostrar la legitimidad de la transacción. Normalmente, la billetera mostrará una solicitud de firma; una vez que el usuario la confirme, la transacción se difunde a la red. Los estafadores aprovechan este proceso para falsificar solicitudes de firma y robar activos.
Forma de operar:
Los usuarios reciben mensajes disfrazados de notificaciones oficiales, como "Airdrop de NFT pendiente de reclamación, por favor verifique su billetera". Al hacer clic en el enlace, son dirigidos a un sitio web malicioso que solicita conectar su billetera y firmar "verificar transacción". Esta transacción puede ser en realidad una transferencia directa de activos o autorizar el control de la colección de NFT del usuario.
Caso:
Una conocida comunidad de un proyecto NFT ha sufrido un ataque de phishing por firma, y varios usuarios han perdido NFT por valor de millones de dólares al firmar transacciones "de recepción de airdrop" falsificadas. Los atacantes aprovecharon el estándar de firma EIP-712 para falsificar solicitudes que parecían seguras.
(3) Tokens falsos y "ataques de polvo"
Principio técnico:
La publicabilidad de la cadena de bloques permite enviar tokens a cualquier dirección, incluso si el receptor no lo solicita. Los estafadores aprovechan este punto, enviando pequeñas cantidades de criptomonedas a múltiples billeteras, rastreando la actividad de las billeteras y asociándolas con los propietarios.
Forma de operación:
Los atacantes distribuyen "polvo" a los monederos de los usuarios en forma de airdrop, estos tokens pueden tener nombres o metadatos engañosos. Cuando los usuarios visitan el sitio web relacionado para consultar más detalles, los atacantes pueden acceder al monedero del usuario a través de la dirección del contrato. Más sutilmente, al analizar las transacciones posteriores del usuario, pueden identificar direcciones de monederos activos y llevar a cabo fraudes precisos.
Caso:
En la red de Ethereum, se produjo un ataque de "token GAS" en polvo, afectando a miles de billeteras. Algunos usuarios, por curiosidad e interacción, perdieron ETH y tokens ERC-20.
Dos, ¿por qué son difíciles de detectar estos fraudes?
El éxito de este tipo de estafas se debe en gran medida a que se ocultan dentro de los mecanismos legítimos de la Cadena de bloques, lo que dificulta a los usuarios comunes discernir su naturaleza maliciosa. Las principales razones incluyen:
Complejidad técnica: El código de los contratos inteligentes y las solicitudes de firma son difíciles de entender para los usuarios no técnicos. Por ejemplo, una solicitud de "Approve" puede mostrarse como datos hexadecimales incomprensibles.
Legalidad en la cadena: todas las transacciones se registran en la Cadena de bloques, parecen transparentes, pero las víctimas a menudo se dan cuenta de las consecuencias de la autorización o firma después.
Ingeniería social: los estafadores aprovechan las debilidades humanas, como la codicia, el miedo o la confianza, para diseñar induciones ingeniosas.
Disfraz sofisticado: los sitios web de phishing pueden utilizar nombres de dominio muy similares a los oficiales e incluso aumentar la credibilidad mediante certificados HTTPS.
Tres, ¿cómo proteger la billetera de criptomonedas?
Ante estos fraudes que combinan aspectos técnicos y psicológicos, proteger los activos requiere estrategias de múltiples niveles:
Verificar y gestionar los permisos de autorización
Utilice la herramienta de verificación de autorizaciones del explorador de cadena de bloques para revisar periódicamente los registros de autorización de la billetera.
Revocar autorizaciones innecesarias, especialmente las autorizaciones ilimitadas a direcciones desconocidas.
Antes de cada autorización, asegúrate de que el DApp provenga de una fuente confiable.
Verificar el valor de "Allowance"; si es "ilimitado", debe ser revocado de inmediato.
Verificar enlace y origen
Introduzca manualmente la URL oficial, evite hacer clic en los enlaces de redes sociales o correos electrónicos.
Asegúrate de que el sitio web utilice el nombre de dominio correcto y un certificado SSL.
Ten cuidado con los nombres de dominio que tengan errores de ortografía o caracteres adicionales.
uso de billetera fría y firma múltiple
Almacene la mayor parte de los activos en una billetera de hardware, conecte a la red solo cuando sea necesario.
Para activos de gran valor, utiliza herramientas de firma múltiple que requieran la confirmación de la transacción por múltiples claves.
Maneje con cuidado las solicitudes de firma
Lee cuidadosamente los detalles de la transacción cada vez que firmes.
Utilizar la función de análisis de datos del explorador de cadena de bloques para interpretar el contenido de la firma.
Crear una billetera independiente para operaciones de alto riesgo, almacenar una pequeña cantidad de activos.
respuesta a un ataque de polvo
Después de recibir un token desconocido, no interactúe. Márquelo como "basura" o escóndalo.
Confirme el origen del token a través del explorador de cadena de bloques, esté atento al envío masivo.
Evitar hacer públicas las direcciones de la billetera o usar una nueva dirección para realizar operaciones sensibles.
Conclusión
Implementar las medidas de seguridad anteriores puede reducir significativamente el riesgo de convertirse en víctima de un plan de fraude avanzado, pero la verdadera seguridad no depende solo de la tecnología. Cuando los monederos de hardware construyen una defensa física y las firmas múltiples distribuyen el riesgo, la comprensión del usuario sobre la lógica de autorización y la prudencia en el comportamiento en la cadena son la última fortaleza contra los ataques. Cada análisis de datos antes de firmar y cada revisión de permisos después de la autorización son una defensa de su soberanía digital.
En el futuro, independientemente de cómo evolucione la iteración tecnológica, la línea de defensa más fundamental siempre radica en: internalizar la conciencia de seguridad como un hábito, buscando un equilibrio entre confianza y verificación. En el mundo de la cadena de bloques donde el código es la ley, cada clic y cada transacción se registran de forma permanente e inalterable. Mantenerse alerta es la clave para avanzar de manera segura.
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
8 me gusta
Recompensa
8
5
Compartir
Comentar
0/400
AllTalkLongTrader
· 08-02 06:38
Son los contratos los que me destruyen, no es que mi apalancamiento sea demasiado alto.
Ver originalesResponder0
ContractFreelancer
· 08-01 07:48
Las monedas que permiten retiros rápidos son buenas monedas. Come siguiendo los airdrops.
Ver originalesResponder0
EthMaximalist
· 07-30 11:35
El camino más simple, los contratos inteligentes pueden tomar a la gente por tonta por sí mismos.
Ver originalesResponder0
PrivacyMaximalist
· 07-30 11:33
Otra ola de máquinas que toman a la gente por tonta ha llegado.
La Cadena de bloques el protocolo se convierte en una herramienta de fraude ¿Cómo prevenir ataques de contratos inteligentes?
Cadena de bloques fraude nueva tendencia: protocolo en sí se convierte en arma de ataque
Las criptomonedas y la tecnología de cadena de bloques están redefiniendo el concepto de libertad financiera, pero al mismo tiempo han traído nuevos riesgos de seguridad. A diferencia de los ataques tradicionales que dependen de vulnerabilidades tecnológicas, los nuevos estafadores están transformando astutamente los protocolos de contratos inteligentes de la cadena de bloques en herramientas de ataque. A través de trampas de ingeniería social cuidadosamente diseñadas, utilizan la transparencia e irreversibilidad de la cadena de bloques para convertir la confianza del usuario en un arma para robar activos. Desde la falsificación de contratos inteligentes hasta la manipulación de transacciones entre cadenas, estos ataques no solo son difíciles de detectar, sino que, debido a su apariencia "legítima", tienen un alto grado de engaño. Este artículo, a través de un análisis de casos, revelará cómo los estafadores convierten los protocolos en vehículos de ataque y ofrecerá un plan de protección integral para ayudar a los usuarios a avanzar de manera segura en un mundo descentralizado.
Uno, ¿cómo se convierte un protocolo legal en una herramienta de fraude?
El protocolo de la cadena de bloques fue diseñado para garantizar la seguridad y la confianza, pero los estafadores han aprovechado sus características, combinadas con la negligencia de los usuarios, para crear varios métodos de ataque encubiertos. A continuación, se presentan algunos métodos típicos y sus detalles técnicos:
(1) autorización de contrato inteligente malicioso
Principio técnico: En cadenas de bloques como Ethereum, el estándar de tokens ERC-20 permite a los usuarios autorizar a terceros a extraer una cantidad específica de tokens de su billetera a través de la función "Approve". Esta función se utiliza ampliamente en protocolos DeFi, pero también es aprovechada por estafadores para diseñar contratos maliciosos.
Forma de operar: Los estafadores crean DApps que se disfrazan de proyectos legítimos, induciendo a los usuarios a conectar sus billeteras y hacer clic en "Approve". En la superficie, se trata de autorizar una pequeña cantidad de tokens, pero en realidad podría ser un límite infinito. Una vez que se completa la autorización, la dirección del contrato del estafador obtiene permisos y puede extraer todos los tokens correspondientes de la billetera del usuario en cualquier momento.
Caso: A principios de 2023, un sitio web de phishing disfrazado de "actualización de cierto DEX" provocó la pérdida de millones de dólares en USDT y ETH para cientos de usuarios. Estas transacciones cumplían completamente con el estándar ERC-20, lo que dificultó a las víctimas recuperar su dinero por vías legales.
(2) firma de phishing
Principio técnico: Las transacciones de la cadena de bloques requieren que los usuarios generen una firma a través de su clave privada para demostrar la legitimidad de la transacción. Normalmente, la billetera mostrará una solicitud de firma; una vez que el usuario la confirme, la transacción se difunde a la red. Los estafadores aprovechan este proceso para falsificar solicitudes de firma y robar activos.
Forma de operar: Los usuarios reciben mensajes disfrazados de notificaciones oficiales, como "Airdrop de NFT pendiente de reclamación, por favor verifique su billetera". Al hacer clic en el enlace, son dirigidos a un sitio web malicioso que solicita conectar su billetera y firmar "verificar transacción". Esta transacción puede ser en realidad una transferencia directa de activos o autorizar el control de la colección de NFT del usuario.
Caso: Una conocida comunidad de un proyecto NFT ha sufrido un ataque de phishing por firma, y varios usuarios han perdido NFT por valor de millones de dólares al firmar transacciones "de recepción de airdrop" falsificadas. Los atacantes aprovecharon el estándar de firma EIP-712 para falsificar solicitudes que parecían seguras.
(3) Tokens falsos y "ataques de polvo"
Principio técnico: La publicabilidad de la cadena de bloques permite enviar tokens a cualquier dirección, incluso si el receptor no lo solicita. Los estafadores aprovechan este punto, enviando pequeñas cantidades de criptomonedas a múltiples billeteras, rastreando la actividad de las billeteras y asociándolas con los propietarios.
Forma de operación: Los atacantes distribuyen "polvo" a los monederos de los usuarios en forma de airdrop, estos tokens pueden tener nombres o metadatos engañosos. Cuando los usuarios visitan el sitio web relacionado para consultar más detalles, los atacantes pueden acceder al monedero del usuario a través de la dirección del contrato. Más sutilmente, al analizar las transacciones posteriores del usuario, pueden identificar direcciones de monederos activos y llevar a cabo fraudes precisos.
Caso: En la red de Ethereum, se produjo un ataque de "token GAS" en polvo, afectando a miles de billeteras. Algunos usuarios, por curiosidad e interacción, perdieron ETH y tokens ERC-20.
Dos, ¿por qué son difíciles de detectar estos fraudes?
El éxito de este tipo de estafas se debe en gran medida a que se ocultan dentro de los mecanismos legítimos de la Cadena de bloques, lo que dificulta a los usuarios comunes discernir su naturaleza maliciosa. Las principales razones incluyen:
Complejidad técnica: El código de los contratos inteligentes y las solicitudes de firma son difíciles de entender para los usuarios no técnicos. Por ejemplo, una solicitud de "Approve" puede mostrarse como datos hexadecimales incomprensibles.
Legalidad en la cadena: todas las transacciones se registran en la Cadena de bloques, parecen transparentes, pero las víctimas a menudo se dan cuenta de las consecuencias de la autorización o firma después.
Ingeniería social: los estafadores aprovechan las debilidades humanas, como la codicia, el miedo o la confianza, para diseñar induciones ingeniosas.
Disfraz sofisticado: los sitios web de phishing pueden utilizar nombres de dominio muy similares a los oficiales e incluso aumentar la credibilidad mediante certificados HTTPS.
Tres, ¿cómo proteger la billetera de criptomonedas?
Ante estos fraudes que combinan aspectos técnicos y psicológicos, proteger los activos requiere estrategias de múltiples niveles:
Verificar y gestionar los permisos de autorización
Verificar enlace y origen
uso de billetera fría y firma múltiple
Maneje con cuidado las solicitudes de firma
respuesta a un ataque de polvo
Conclusión
Implementar las medidas de seguridad anteriores puede reducir significativamente el riesgo de convertirse en víctima de un plan de fraude avanzado, pero la verdadera seguridad no depende solo de la tecnología. Cuando los monederos de hardware construyen una defensa física y las firmas múltiples distribuyen el riesgo, la comprensión del usuario sobre la lógica de autorización y la prudencia en el comportamiento en la cadena son la última fortaleza contra los ataques. Cada análisis de datos antes de firmar y cada revisión de permisos después de la autorización son una defensa de su soberanía digital.
En el futuro, independientemente de cómo evolucione la iteración tecnológica, la línea de defensa más fundamental siempre radica en: internalizar la conciencia de seguridad como un hábito, buscando un equilibrio entre confianza y verificación. En el mundo de la cadena de bloques donde el código es la ley, cada clic y cada transacción se registran de forma permanente e inalterable. Mantenerse alerta es la clave para avanzar de manera segura.