Napsal: SlowMist Security Team

Pozadí

V minulém vydání průvodce Web3 bezpečnostním nástrahám jsme vysvětlili především rizika při stahování/nákupu peněženek, jak najít skutečné oficiální stránky a ověřit pravost peněženky a rizika úniku soukromých klíčů/mnemotechnických frází. Často říkáme „Not your keys, not your coins“, ale jsou také situace, kdy i když máte soukromý klíč/mnemotechnickou frázi, nemůžete ovládat svůj majetek, to znamená, že peněženka byla zlomyslně podepsána vícenásobnými podpisy. V kombinaci s odcizenými formuláři MistTrack, které jsme shromáždili, poté, co byly peněženky některých uživatelů zlomyslně podepsány vícenásobnými podpisy, nechápali, proč mají stále zůstatky na svých účtech peněženky, ale nemohli převést prostředky ven. Proto si v tomto čísle vezmeme na příkladu peněženku TRON, abychom vysvětlili relevantní znalosti multi-signature phishingu, včetně mechanismu multi-signature, běžných operací hackerů a jak se vyhnout škodlivým multi-podpisům v peněžence.

Mechanismus více podpisů

Nejprve si stručně vysvětlíme, co je to více podpisů Původním záměrem mechanismu více podpisů je zvýšit bezpečnost peněženky a umožnit více uživatelům společně spravovat a řídit přístupová a užívací práva stejné peněženky s digitálním aktivem. I když někteří manažeři ztratí nebo prozradí své soukromé klíče/mnemotechnická slova, majetek v peněžence nemusí být nutně poškozen.

Systém povolení s více podpisy TRON je navržen se třemi různými oprávněními: Vlastník, Svědek a Aktivní, z nichž každé má specifické funkce a použití.

Oprávnění vlastníka:

• Mít nejvyšší pravomoc provádět všechny smlouvy a operace;

• Pouze s tímto oprávněním můžete upravovat další oprávnění, včetně přidávání nebo odebírání dalších podepisujících;

• Po vytvoření nového účtu má toto oprávnění ve výchozím nastavení samotný účet.

Oprávnění svědka:

Toto oprávnění se týká především superzástupců Účty s tímto oprávněním se mohou účastnit voleb a hlasování superzástupců a spravovat operace související se superzástupci.

Aktivní oprávnění:

Používá se pro každodenní operace, jako je převod peněz a volání chytrých smluv. Toto oprávnění lze nastavit a upravit oprávněním Vlastník. Často je přiřazeno účtům, které potřebují provádět specifické úkoly.

Jak bylo uvedeno výše, při vytváření nového účtu bude mít adresa účtu ve výchozím nastavení oprávnění vlastníka (nejvyšší oprávnění). Můžete upravit strukturu oprávnění účtu, vybrat, pro které adresy chcete oprávnění účtu autorizovat, a určit váhy těchto adres a nastavených prahových hodnot. Práh se vztahuje k tomu, jak velká váha signatáře je potřebná k provedení konkrétní operace. Na níže uvedeném obrázku je prahová hodnota nastavena na 2 a váhy všech tří autorizovaných adres jsou 1. Při provádění konkrétní operace se operace může projevit, pokud existují potvrzení od 2 podepisujících.

(https://support.tronscan.org/hc/article_attachments/29939335264665)

Proces škodlivého vícenásobného podpisu

Poté, co hacker získá soukromý klíč / mnemotechnickou frázi uživatele, pokud uživatel nepoužívá mechanismus více podpisů (to znamená, že účet peněženky ovládá pouze jedna osoba), může hacker také autorizovat oprávnění Vlastník/Aktivní ke svému vlastní adresu nebo změnit oprávnění Vlastník/Aktivní oprávnění uživatele se přenesou na sebe uživatel má stále oprávnění vlastníka/aktivní:

Využijte mechanismus více podpisů

Na obrázku níže nebyla odebrána oprávnění vlastníka/aktivního uživatele Hacker autorizoval oprávnění vlastníka/aktivní na jeho vlastní adresu V tuto chvíli je účet společně ovládán uživatelem a hackerem (hranice je 2 Váhy adresy uživatele a adresy hackera jsou obě 1. Přestože uživatel vlastní soukromý klíč/mnemotechnickou frázi a má oprávnění vlastníka/aktivního vlastníka, nemůže převést svá vlastní aktiva, protože když uživatel iniciuje požadavek na převod aktiv, musí být před provedením této operace podepsána adresa uživatele i hackera. proveden normálně.

Přestože operace převodu majetku z účtu s více podpisy vyžaduje potvrzení podpisů více stran, provedení vkladu na účet peněženky podpisy více stran nevyžaduje. Pokud uživatel nemá ve zvyku pravidelně kontrolovat oprávnění účtu nebo v poslední době neprováděl žádné převodní operace, zpravidla nezjistí, že autorizace jeho účtu v peněžence byla změněna, a bude nadále poškozen. Pokud v peněžence není mnoho aktiv, hackeři mohou zaujmout dlouhodobý přístup a počkat, až se na účtu nashromáždí určité množství digitálních aktiv, než ukradnou všechna digitální aktiva najednou.

Využití mechanismu návrhu správy oprávnění TRON

Jiná situace je, že hackeři používají mechanismus návrhu správy oprávnění TRON k přímému přenosu oprávnění vlastníka/aktivního uživatele na adresu hackera (práh je stále 1), což způsobí, že uživatel ztratí oprávnění vlastníka/aktivní a dokonce i „hlasovací práva“. Je třeba poznamenat, že hacker zde nepoužívá mechanismus více podpisů, aby zabránil uživatelům v převodu majetku, ale je zvykem tuto situaci nazývat zlomyslným více podpisem peněženky.

Výsledky dvou výše uvedených situací jsou stejné Bez ohledu na to, zda má uživatel stále oprávnění vlastníka/aktivní, ztratil skutečnou kontrolu nad účtem. Adresa hackera získala nejvyšší oprávnění účtu a může změnit oprávnění účtu. převádět majetek apod. provozovat.

Cesty ke škodlivému vícenásobnému podpisu

Kombinací odcizených formulářů shromážděných MistTrack jsme shrnuli několik běžných důvodů, proč jsou peněženky zlomyslně podepsané vícenásobnými podpisy. Doufáme, že uživatelé budou ostražitější, když se setkají s následujícími situacemi:

1. Při stahování peněženky se mi nepodařilo najít správnou cestu. Kliknul jsem na odkaz na falešnou oficiální webovou stránku zaslaný telegramem, Twitterem a síťovými uživateli a stáhl jsem si falešnou peněženku a peněženka byla zlomyslně vícenásobná.

2. Uživatelé zadávali své soukromé klíče/mnemotechnické fráze do některých phishingových dobíjecích webových stránek, které prodávají karty na benzín, dárkové karty a služby VPN, a v důsledku toho ztratili kontrolu nad svými účty peněženky.

3. Při OTC transakcích byl privátní klíč/mnemotechnická fráze vyfotografován úmyslnou osobou nebo byla nějakým způsobem získána autorizace účtu Následně byla peněženka zlomyslně podepsána a aktiva byla poškozena.

4. Někteří podvodníci vám poskytnou soukromý klíč/mnemotechnickou frázi s tím, že nemohou vybrat aktiva na účtu peněženky a mohou vám zaplatit, pokud můžete pomoci. Přestože jsou na adrese peněženky skutečně prostředky odpovídající tomuto soukromému klíči/mnemotechnické frázi, bez ohledu na to, jaký manipulační poplatek zaplatíte nebo jak rychle se pohybujete, nemůžete je vybrat, protože povolení k výběru bylo podvodníkem přiděleno jiné adrese.

5. Ojediněle nastává také situace, kdy uživatel klikne na phishingový odkaz na TRONu a podepíše škodlivá data, a následně je peněženka zlomyslně více podepsána.

Shrnout

V této příručce používáme především peněženku TRON jako příklad k vysvětlení mechanismu více podpisů, procesu a rutin používaných hackery k implementaci škodlivých více podpisů. Doufáme, že pomůžeme všem prohloubit jejich pochopení mechanismu více podpisů zlepšit jejich schopnost bránit peněženkám před škodlivým vícenásobným podpisem. Samozřejmě, že kromě případů škodlivých multipodpisů existují i ​​některé speciální případy Někteří začínající uživatelé mohou kvůli neopatrnosti nebo nepochopení omylem nastavit své peněženky na multipodpis, což má za následek potřebu více podpisů pro převody. . V tuto chvíli uživatel potřebuje pouze splnit požadavky na více podpisů nebo autorizovat oprávnění Vlastník/Aktivní pouze na jednu adresu v oddělení správy práv a obnovit jediný podpis.

Bezpečnostní tým SlowMist doporučuje, aby uživatelé pravidelně kontrolovali svá oprávnění k účtu, aby zjistili, zda nedošlo k nějakým abnormalitám ke stažení peněženky z oficiálních kanálů. Mluvili jsme o tom, jak najít správné heslo v příručce Web3 Security Getting Started to Avoiding Pitfalls | Falešné peněženky a soukromé klíče Mnemonic Phrase Risks oficiální webové stránky a ověřujte pravost peněženky, neklikejte na neznámé odkazy a nezadávejte snadno soukromé klíče/mnemotechnické prostředky (například Kaspersky, AVG atd.); ) a phishing riskuje blokování zásuvných modulů (jako je Scam Sniffer) ke zlepšení zabezpečení zařízení.