Podvodníci používají různé techniky ke krádeži peněz uživatelů, z nichž některé vyžadují pouze znát adresu vaší peněženky, řekl výzkumník Forta Network.
Podle společnosti Forta Network, která se zabývá bezpečností blockchainu, podvodníci v květnu zprovoznili nejméně 7 905 blockchainových peněženek, aby shromáždili kryptoměny, které ukradli běžným uživatelům.
Společnost Forta, která nedávno spustila svůj vlastní token, provozuje síť botů, kteří detekují různé druhy podvodů na blockchainech Ethereum, Binance Smart Chain, Polygon, Optimism, Avalanche, Arbitrum a Fantom.
Christian Seifert, rezidentní výzkumný pracovník společnosti Forta, který dříve pracoval v divizi bezpečnostního výzkumu společnosti Microsoft, řekl CoinDesk, že algoritmy společnosti Forta mohou detekovat různé druhy anomálního chování při skenování transakcí na blockchainech.
Některé z těchto anomálií jsou útoky na peněženky uživatelů.
U některých útoků se podvodníci spoléhají na sociální inženýrství – hledají osobní informace uživatele nebo používají triky, jak přimět uživatele kryptoměn k odhalení jejich hesel nebo počátečních frází. Jiné útoky vyžadují pouze znát adresu peněženky oběti.
Viz také: Označení hacku jako zneužití minimalizuje lidské chyby | Názor
„Mnoho útoků jsou útoky sociálního inženýrství: uživatelé jsou lákáni na web, web je požádá o připojení peněženky, objeví se transakce, uživatel ji schválí a jeho peníze jsou pryč,“ řekl Seifert.
„Ice phishing“
Nejrozšířenějším typem útoku v květnu byla technika tzv. „ice phishing“, která představovala 55,8 % všech útoků registrovaných Fortou. Na rozdíl od zjevnějších nebo známějších phishingových útoků (ice phishing je hra s běžnějšími „phishingovými“ útoky, které se vyskytují na webu), tento typ necílí přímo na soukromé informace uživatelů.
Místo toho ledový phisher přiměje oběť k podpisu škodlivé blockchainové transakce, která otevře přístup k peněžence oběti, takže útočník může ukrást všechny peníze. V takových případech jsou oběti často nalákány na phishingový web navržený tak, aby napodoboval skutečné krypto služby.
Tyto podvody se spoléhají na transakce „schvalování tokenů“, což je jedno z nejběžnějších použití nepečovatelských Web3 peněženek, které uživatelům umožňují udělovat chytrým kontraktům určitý přístup ke svým peněženkám.
MetaMask, tvůrci nejoblíbenější kryptopeněženky Ethereum, na své stránce podpory poznamenávají, že při udělování transakcí schvalování tokenů „máte pevně pod kontrolou a nesete konečnou odpovědnost za vše, co děláte. Proto je důležité, abyste přesně věděli, co jste přihlášení, když potvrdíte schválení tokenu."
V podobném podvodu, jaký je zmíněn výše, se útočníci pokoušejí přimět uživatele k interakci s různými decentralizovanými aplikacemi (dapps), včetně decentralizovaných burz (DEX). Takové plány často vytvářejí iluzi nové lukrativní příležitosti, jako je výsadek nějakého nového tokenu, a využívají běžnou tendenci propadnout FOMO nebo strach z promeškaní, řekl Seifert.
Namísto interakce s legitimní službou však uživatel ztratí kontrolu nad svými aktivy ve prospěch útočníka podepsáním transakce schválení tokenu.
„Uživatelé klikají, klikají, klikají a vyskakují transakce, často s časovačem, a uživatelé je schvalují bez kontroly,“ řekl Seifert.
Podle Seiferta existují dva zásadní kroky k ice phishingu: „nalákání oběti na [škodlivou] webovou stránku a vytvoření pozitivního příběhu.
„Obměnou útoku typu ice phishing je přimět uživatele, aby poslali nativní prostředky přímo podvodníkovi. Toho je dosaženo podepsáním funkce „aktualizace zabezpečení“ smlouvy s podvodníkem,“ řekl Seifert a dodal, že obvykle se tímto způsobem ukradne malé množství kryptoměn.
NFT, výsadky a otravy adres
Některé útoky se zaměřují na obchodníky s nezaměnitelnými tokeny (NFT). Podvodníci například vyvinuli techniky, které využívají zvláštností v infrastruktuře NFT, jako je protokol Seaport představený společností OpenSea a používaný na mnoha trzích NFT. K prodeji NFT na Seaport uživatelé vytvářejí prodejní příkazy podepsáním transakce, která je vysílána lokálně na platformě – spíše než v širší síti Ethereum, aby ušetřili peníze za transakční poplatky.
Útočníci hledají uživatele s cennými NFT a snaží se je přimět ke schválení transakcí, které by prodaly jejich cenné držby za zlomek tržní ceny.
NFT obchodníci si dnes často uvědomují mnoho způsobů, jak je lze využít. Některé z nejprestižnějších krypto loupeží v posledních letech se zaměřily na vlivné postavy NFT. To vedlo ke stále cílenějším a sofistikovanějším phishingovým útokům.
V případě útoku „otrava adres“ útočníci studují historii transakcí v peněženkách svých obětí a hledají adresy, se kterými nejčastěji komunikují. Poté vytvoří blockchainovou adresu, která bude jejich cíli povědomá, a pošlou oběti transakci s malou až žádnou hodnotou. Tato transakce má „otrávit“ transakční historii zamýšlené oběti umístěním škodlivé adresy na místo, kde ji mohou omylem zkopírovat a vložit při další transakci.
Ale často ty nejjednodušší exploity zůstávají účinné. Seifert například řekl, že útočníci často používají rozpoznatelné značky při navrhování zneužití sociálního inženýrství, které si získávají důvěru nebo pozornost obětí. To byl případ podvodného tokenu tLINK, který držitelé Chainlink (LINK) obdrželi na začátku června, když útočník shodil údajně nový token držitelům LINK.
Podvodníci zahrnuli nabídku, aby uživatelé vyměnili tLINK za skutečné tokeny LINK na phishingovém webu v poli popisu airdropped tokenu, řekl Seifert. A kdyby tu nabídku přijali, spálili by se.
Podle Forty jsou takové útoky složitější v tom, že útočníci mohou přidělit podvodné tokeny ERC-20 legitimnímu smart kontraktu a poté provést funkci, která tyto falešné tokeny převede na kohokoli, kdo vlastní cílený token. Díky tomu to vypadá, že uživatelé dostali výsadek z legitimní smlouvy, zatímco to není nic jiného než podvod.
Viz také: Prevence zneužití a hackování kryptoměn v roce 2023
Takové útoky od útočníků ani nevyžadují mnoho průzkumných prací: vše, co potřebují vědět o obětech, jsou adresy jejich peněženek.
Transakční hygiena
S tím, jak jsou hackeři a podvodníci stále pracovitější, je důležité vždy věnovat pozornost adresám, se kterými vaše peněženka komunikuje, řekl Seifert. V ideálním případě musí mít peněženky zabudované bezpečnostní prvky, řekl s tím, že v tuto chvíli Forta poskytuje svou databázi podvodných adres do peněženky ZenGo.
Forta přiděluje blockchainovým peněženkám různá riziková skóre podle jejich zapojení do potenciálního podvodného chování, řekl Seifert.