ウェブ3.0モバイルウォレット新型安全威胁：モーダルウィンドウフィッシング攻撃

最近、安全研究者はウェブ3.0ウォレットに対する新しいフィッシング技術を発見しました。それは「モーダルフィッシング攻撃」と呼ばれています。この攻撃は主に、モバイルウォレットアプリのモーダルウィンドウを利用してユーザーを誤解させ、悪意のある取引を承認させるように仕向けます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

モーダルフィッシング攻撃の原理

モーダルフィッシング攻撃は主にウェブ3.0暗号通貨ウォレットのユーザーインターフェース要素を狙っており、特にモーダルウィンドウに対して行われます。攻撃者はこれらのウィンドウに表示される情報を操作し、正当な分散型アプリケーション（DApp）からのものであるかのように見せかけることで、ユーザーに取引を承認させようとします。

この攻撃方法が有効である理由は、多くのウォレットアプリが提示された情報の合法性を十分に検証していないからです。たとえば、一部のウォレットは外部SDKからのメタデータを直接信頼し、追加の検証を行っていません。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

攻撃ケース

1. ウォレットコネクトプロトコルフィッシング： 攻撃者はDAppの名前、アイコン、ウェブサイトアドレスなどの情報を制御でき、フィッシングサイトを合法的なDAppのように見せることができます。ユーザーがWallet Connectを通じてウォレットを接続すると、これらの虚偽の情報がウォレットのモーダルウィンドウに表示されます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

2. スマートコントラクト情報フィッシング： 一部のウォレット（MetaMaskなど）は、モーダルウィンドウにスマートコントラクトの関数名を表示します。攻撃者は、転送関数に"SecurityUpdate"のような誤解を招く名前を付けた悪意のあるコントラクトを作成し、ユーザーが取引を承認するように欺くことができます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃モーダルフィッシング

予防に関する推奨事項

1. ウォレット開発者：
   • 外部から送信されるデータは常に信頼できないものとして扱います。
   • ユーザーに表示する情報を慎重に選択し、その合法性を確認してください。
   • フィッシング攻撃に使用される可能性のあるキーワードをフィルタリングすることを検討してください。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

2. ユーザー：
   • 未知の取引リクエストには警戒を怠らないこと。
   • 取引の詳細を注意深く確認し、モーダルウィンドウに表示されている情報だけを信頼して取引を承認しないでください。
   • 公式のチャネルからウォレットアプリをダウンロードおよび更新してください。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

3. プロトコル開発者：
   • プロトコルレベルで検証メカニズムを追加することを検討してください。たとえば、Wallet ConnectはDApp情報の有効性を事前に検証できます。

! [Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃] (https://img-cdn.gateio.im/webp-social/moments-966a54698e22dacfc63bb23c2864959e.webp)

ウェブ3.0技術の発展に伴い、このような新型のセキュリティ脅威も進化し続けています。ユーザーと開発者は共にセキュリティ意識を高め、ウェブ3.0エコシステムの安全を維持する必要があります。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃:モーダルフィッシング