Что атака на $440 тысяч раскрывает о растущей угрозе мошенничества с «разрешениями» в сети Ethereum

Источник: PortaldoBitcoin Оригинальный заголовок: Что раскрывает атака на сумму 440 000 долларов о растущей угрозе мошенничества с «разрешениями» в Ethereum Оригинальная ссылка: Хакер украл более 440 000 долларов в USDC после того, как владелец кошелька подписал, не зная, вредоносную подпись «разрешения».

Кража произошла на фоне увеличения потерь от фишинга. В ноябре было потеряно около 7,77 миллиона долларов более чем от 6 000 жертв, что на 137% больше общих потерь по сравнению с октябрем, несмотря на снижение числа жертв на 42%.

«Охота на китов усилилась, с максимальным убытком в 1,22 миллиона долларов (подпись разрешения). Несмотря на снижение числа атак, отдельные потери значительно увеличились».

Что такое мошенничество с разрешениями?

Мошенничество, основанное на разрешениях, заключается в том, чтобы обманом заставить пользователей подписать транзакцию, которая кажется законной, но на самом деле предоставляет злоумышленнику право тратить их токены. Вредоносные (dapps) могут скрывать поля, подделывать имена контрактов или представлять запрос на подпись как что-то рутинное.

Если пользователь не внимательно проверит детали, подпись запроса даст злоумышленнику разрешение на доступ ко всем его токенам ERC-20. После получения разрешения мошенники обычно сразу же выводят средства.

Этот метод использует функцию разрешения в Ethereum, которая предназначена для облегчения переводов токенов, позволяя пользователям делегировать права на траты доверенным приложениям. Эта удобность становится уязвимостью, когда эти права предоставляются злоумышленнику.

«Что особенно сложно в этих типах атак, так это то, что злоумышленники могут выполнить разрешение и перевод токенов в одной транзакции (подход типа ’ smash and grab’) или могут получить доступ через разрешение и оставаться неактивными, ожидая перевода любых добавленных средств позже (при условии, что они установят достаточно долгий срок доступа в метаданных функции разрешения)».

«Успех такого рода мошенничества зависит от того, подпишете ли вы что-то, не полностью понимая, что произойдет. Всё сводится к человеческой уязвимости и использованию доверчивости людей».

Существует множество примеров мошенничеств с фишингом высокой стоимости и объема, созданных для обмана пользователей и заставления их подписывать то, что они полностью не понимают. Часто такие мошенничества маскируются под бесплатное распределение денег, фальшивые целевые страницы проектов для подключения вашего кошелька или фальшивые предупреждения о безопасности.

Как защититься

Поставщики цифровых кошельков внедрили больше средств защиты. Например, MetaMask предупреждает пользователей, если сайт кажется подозрительным, и пытается перевести данные транзакции на понятный для человека язык. Другие кошельки также выделяют действия с высоким риском. Но мошенники продолжают адаптироваться.

Рекомендуется проверять адреса отправителей и детали контрактов. «Это самый очевидный способ понять, что протокол не соответствует реальному назначению средств, потому что кто-то, вероятно, пытается их украсть. Вы можете проверить сумму; часто они пытаются предоставить неограниченные разрешения».

Наблюдение за активностью остается лучшей защитой пользователей. «Лучший способ защититься от мошенничеств типа ‘permit’ — убедиться, что вы знаете, что подписываете. Какие действия действительно будут выполнены в транзакции? Какие функции используются? Они соответствуют тому, что вы думали, что подписываете?»

«Многие кошельки и децентрализованные приложения улучшили свои интерфейсы, чтобы вы не подписывали вслепую и могли видеть результат, а также показывать предупреждения о действиях с высоким риском. Однако важно активно проверять, что вы подписываете, а не просто подключать кошелек и нажимать ‘подписать’».

После кражи возврат средств маловероятен. В атаках с фишингом вы имеете дело с человеком, чья единственная цель — украсть ваши средства. Нет переговоров, нет контактов и зачастую нет представления о том, кто другая сторона.

«Эти злоумышленники играют на цифрах. Как только деньги ушли, они навсегда исчезают. Восстановление практически невозможно».