Novas ameaças de segurança em carteiras móveis Web3.0: Ataques de phishing em janelas modais

Recentemente, investigadores de segurança descobriram uma nova técnica de phishing direcionada a carteiras móveis Web3.0, chamada de "ataque de phishing modal". Este ataque aproveita as janelas modais nas aplicações de carteiras móveis para enganar os utilizadores, induzindo-os a aprovar transações maliciosas.

O princípio do ataque de phishing modal

Os ataques de phishing modal visam principalmente os elementos da interface do utilizador nas carteiras de criptomoeda Web3.0, especialmente as janelas modais. Os atacantes podem manipular as informações exibidas nessas janelas de modo a parecerem provenientes de aplicações descentralizadas (DApp) legítimas, enganando assim os utilizadores a aprovarem transações.

Esta forma de ataque é eficaz porque muitas aplicações de Carteira falham em verificar adequadamente a legitimidade das informações apresentadas. Por exemplo, algumas Carteiras confiam diretamente nos metadados de SDK externos, sem realizar verificações adicionais.

Casos de Ataque

1. Phishing do protocolo Wallet Connect: Os atacantes podem controlar informações como o nome, ícone e endereço do site do DApp, fazendo com que sites de phishing pareçam DApps legítimos. Quando os usuários conectam suas carteiras através do Wallet Connect, essas informações falsas são exibidas na janela modal da carteira.

2. Phishing de informações de contratos inteligentes: Algumas Carteiras (como a MetaMask) exibem o nome das funções do contrato inteligente em uma janela modal. Os atacantes podem criar contratos maliciosos com nomes enganosos, como nomear a função de transferência como "SecurityUpdate", para enganar os usuários a aprovar a transação.

Sugestões de prevenção

1. Carteira desenvolvedores:
   • Trate sempre os dados recebidos externamente como não confiáveis.
   • Selecione cuidadosamente as informações a serem apresentadas aos usuários e verifique sua legalidade.
   • Considere filtrar palavras-chave que possam ser usadas em ataques de phishing.

2. Usuário:
   • Mantenha-se atento a cada pedido de transação desconhecido.
   • Verifique cuidadosamente os detalhes da transação, não aprove a transação apenas com base nas informações exibidas na janela modal.
   • Utilize canais oficiais para baixar e atualizar a aplicação da Carteira.

3. Desenvolvedor do protocolo:
   • Considerar adicionar um mecanismo de verificação a nível de protocolo, como o Wallet Connect que pode validar antecipadamente a validade das informações do DApp.

Com o desenvolvimento da tecnologia Web3.0, este tipo de nova ameaça à segurança também está em constante evolução. Usuários e desenvolvedores precisam aumentar a conscientização sobre segurança e trabalhar juntos para manter a segurança do ecossistema Web3.0.