Geschrieben von: SlowMist Security Team

Hintergrund

In der letzten Ausgabe des Web3-Leitfadens zur Vermeidung von Sicherheitsfallen erklärten wir hauptsächlich die Risiken beim Herunterladen/Kauf von Wallets, wie man die echte offizielle Website findet und die Authentizität des Wallets überprüft, sowie die Risiken des Durchsickerns privater Schlüssel/mnemonischer Phrasen. Wir sagen oft: „Nicht Ihre Schlüssel, nicht Ihre Münzen“, aber es gibt auch Situationen, in denen Sie Ihr Vermögen nicht kontrollieren können, selbst wenn Sie über einen privaten Schlüssel/eine mnemonische Phrase verfügen, d. h. die Brieftasche wurde in böswilliger Absicht mehrfach signiert. In Kombination mit den von uns gesammelten gestohlenen MistTrack-Formularen verstanden die Wallets einiger Benutzer, nachdem sie in böswilliger Absicht mehrfach signiert worden waren, nicht, warum sie noch Guthaben auf ihren Wallet-Konten hatten, aber kein Geld überweisen konnten. Daher werden wir in dieser Ausgabe das TRON-Wallet als Beispiel nehmen, um das relevante Wissen über Multi-Signatur-Phishing zu erläutern, einschließlich des Multi-Signatur-Mechanismus, der regelmäßigen Operationen von Hackern und der Vermeidung böswilliger Multi-Signaturen im Wallet.

Multi-Signatur-Mechanismus

Lassen Sie uns zunächst kurz erklären, was Multisignatur ist. Die ursprüngliche Absicht des Multisignaturmechanismus besteht darin, das Wallet sicherer zu machen und mehreren Benutzern die gemeinsame Verwaltung und Kontrolle der Zugriffs- und Nutzungsrechte desselben digitalen Asset-Wallets zu ermöglichen. Selbst wenn einige Manager private Schlüssel/Mnemonikwörter verlieren oder durchsickern lassen, werden die Vermögenswerte im Wallet nicht unbedingt beschädigt.

Das Multisignatur-Berechtigungssystem von TRON ist mit drei verschiedenen Berechtigungen ausgestattet: Eigentümer, Zeuge und Aktiv, jeweils mit spezifischen Funktionen und Verwendungszwecken.

Besitzerberechtigungen:

  • Sie verfügen über die höchste Befugnis zur Ausführung aller Verträge und Operationen;

  • Nur mit dieser Berechtigung können Sie andere Berechtigungen ändern, einschließlich des Hinzufügens oder Entfernens anderer Unterzeichner.

  • Nach dem Erstellen eines neuen Kontos verfügt das Konto selbst standardmäßig über diese Berechtigung.

Zeugenberechtigungen:

Diese Berechtigung bezieht sich hauptsächlich auf Supervertreter. Konten mit dieser Berechtigung können an der Wahl und Abstimmung von Supervertretern teilnehmen und Vorgänge im Zusammenhang mit Supervertretern verwalten.

Aktive Berechtigungen:

Wird für alltägliche Vorgänge wie Geldüberweisungen und das Aufrufen von Smart Contracts verwendet. Diese Berechtigung kann durch die Eigentümerberechtigung festgelegt und geändert werden. Sie wird häufig Konten zugewiesen, die bestimmte Aufgaben ausführen müssen. Es handelt sich um eine Sammlung mehrerer autorisierter Vorgänge (z. B. TRX-Übertragungen, verpfändete Vermögenswerte).

Wie oben erwähnt, verfügt die Adresse des Kontos beim Erstellen eines neuen Kontos standardmäßig über Besitzerberechtigungen (die höchsten Berechtigungen). Sie können die Berechtigungsstruktur des Kontos anpassen, auswählen, für welche Adressen die Berechtigungen des Kontos autorisiert werden sollen, und die angeben Gewicht dieser Adressen und legen Sie Schwellenwerte fest. Der Schwellenwert bezieht sich darauf, wie viel Gewicht des Unterzeichners erforderlich ist, um einen bestimmten Vorgang auszuführen. In der folgenden Abbildung ist der Schwellenwert auf 2 festgelegt und die Gewichtungen der drei autorisierten Adressen betragen alle 1. Bei der Ausführung eines bestimmten Vorgangs kann der Vorgang wirksam werden, solange Bestätigungen von zwei Unterzeichnern vorliegen.

(https://support.tronscan.org/hc/article_attachments/29939335264665)

Der Prozess der böswilligen Mehrfachsignatur

Nachdem der Hacker den privaten Schlüssel/die mnemonische Phrase des Benutzers erhalten hat und der Benutzer nicht den Mechanismus mit mehreren Signaturen verwendet (d. h. das Wallet-Konto wird nur von einer Person kontrolliert), kann der Hacker auch die Eigentümer-/Aktivberechtigungen für ihn autorisieren Eigene Adresse oder Änderung der Eigentümer-/Aktivberechtigungen des Benutzers werden normalerweise als böswillige Mehrfachsignaturen bezeichnet, aber tatsächlich ist dies ein weit gefasster Begriff Der Benutzer verfügt weiterhin über Besitzer-/Aktivberechtigungen:

Nutzen Sie den Mechanismus mit mehreren Signaturen

Im Bild unten wurden die Eigentümer-/Aktivberechtigungen des Benutzers nicht entfernt. Der Hacker hat die Eigentümer-/Aktivberechtigungen für seine eigene Adresse autorisiert. Zu diesem Zeitpunkt wird das Konto gemeinsam vom Benutzer und dem Hacker kontrolliert (der Schwellenwert liegt bei 2). ). Die Gewichtungen der Benutzeradresse und der Hackeradresse betragen jeweils 1. Obwohl der Benutzer über den privaten Schlüssel/die mnemonische Phrase verfügt und über Besitzer-/Aktivberechtigungen verfügt, kann er seine eigenen Vermögenswerte nicht übertragen, da, wenn der Benutzer eine Anfrage zur Übertragung von Vermögenswerten initiiert, sowohl die Adresse des Benutzers als auch die des Hackers signiert werden müssen, bevor dieser Vorgang durchgeführt werden kann normal ausgeführt.

Obwohl für die Übertragung von Vermögenswerten von einem mehrfach signierten Konto die Bestätigung von Mehrparteiensignaturen erforderlich ist, sind für die Einzahlung auf ein Wallet-Konto keine Mehrparteiensignaturen erforderlich. Wenn der Benutzer nicht die Gewohnheit hat, die Kontoberechtigungen regelmäßig zu überprüfen oder in letzter Zeit keine Überweisungsvorgänge durchgeführt hat, wird er im Allgemeinen nicht feststellen, dass die Autorisierung seines Wallet-Kontos geändert wurde, und er wird weiterhin geschädigt. Wenn sich nicht viele Vermögenswerte im Wallet befinden, verfolgen Hacker möglicherweise einen langfristigen Ansatz und warten, bis das Konto eine bestimmte Menge an digitalen Vermögenswerten angesammelt hat, bevor sie alle digitalen Vermögenswerte auf einmal stehlen.

Nutzung des Berechtigungsmanagement-Designmechanismus von TRON

Eine andere Situation besteht darin, dass Hacker den Entwurfsmechanismus für die Berechtigungsverwaltung von TRON verwenden, um die Eigentümer-/Aktivberechtigungen des Benutzers direkt an die Hackeradresse zu übertragen (der Schwellenwert liegt immer noch bei 1), was dazu führt, dass der Benutzer die Eigentümer-/Aktivberechtigungen und sogar die „Stimmrechte“ verliert. Es ist zu beachten, dass der Hacker hier nicht den Multi-Signatur-Mechanismus verwendet, um Benutzer an der Übertragung von Vermögenswerten zu hindern. Es ist jedoch üblich, diese Situation als böswillige Multi-Signatur des Wallets zu bezeichnen.

Die Ergebnisse der beiden oben genannten Situationen sind die gleichen. Unabhängig davon, ob der Benutzer noch über Besitzer-/Aktivberechtigungen verfügt, hat er die tatsächliche Kontrolle über das Konto verloren und kann die Kontoberechtigungen ändern. Vermögenswerte übertragen usw. betreiben.

Wege zur bösartigen Mehrfachsignatur

Durch die Kombination der von MistTrack gesammelten gestohlenen Formulare haben wir mehrere häufige Gründe zusammengefasst, warum Wallets in böswilliger Absicht mehrfach signiert werden. Wir hoffen, dass Benutzer in den folgenden Situationen wachsamer sein werden:

1. Beim Herunterladen der Brieftasche habe ich nicht den richtigen Weg gefunden. Ich habe auf den von Telegram, Twitter und Internetnutzern gesendeten gefälschten offiziellen Website-Link geklickt und die gefälschte Brieftasche heruntergeladen und die Brieftasche war in böswilliger Absicht mehrfach signiert.

2. Benutzer gaben ihre privaten Schlüssel/mnemonischen Phrasen in einige Phishing-Auflade-Websites ein, die Tankkarten, Geschenkkarten und VPN-Dienste verkaufen, und verloren dadurch die Kontrolle über ihre Wallet-Konten.

3. Bei OTC-Transaktionen wurde der private Schlüssel/Mnemoniksatz von einer absichtlichen Person fotografiert oder die Autorisierung des Kontos wurde auf irgendeine Weise erlangt. Anschließend wurde das Wallet in böswilliger Absicht mehrfach signiert und die Vermögenswerte wurden beschädigt.

4. Einige Betrüger stellen Ihnen den privaten Schlüssel/Mnemoniksatz zur Verfügung und sagen, dass sie das Guthaben auf dem Wallet-Konto nicht abheben können und Sie bezahlen können, wenn Sie helfen können. Obwohl in der Wallet-Adresse, die diesem privaten Schlüssel/mnemonischen Satz entspricht, tatsächlich Geld vorhanden ist, können Sie es nicht abheben, egal wie viel Bearbeitungsgebühr Sie zahlen oder wie schnell Sie sich bewegen, da die Abhebungserlaubnis vom Betrüger einer anderen Adresse zugewiesen wurde.

5. Es kommt auch selten vor, dass ein Benutzer auf einen Phishing-Link auf TRON klickt und bösartige Daten signiert und das Wallet dann in böswilliger Absicht mehrfach signiert wird.

Zusammenfassen

In diesem Leitfaden verwenden wir hauptsächlich das TRON-Wallet als Beispiel, um den Multi-Signatur-Mechanismus, den Prozess und die Routinen zu erläutern, die Hacker zur Implementierung bösartiger Multi-Signaturen verwenden. Wir hoffen, allen dabei zu helfen, ihr Verständnis des Multi-Signatur-Mechanismus zu vertiefen Verbessern Sie ihre Fähigkeit, zu verhindern, dass Wallets in böswilliger Absicht mehrfach signiert werden. Natürlich gibt es neben böswilligen Mehrfachsignaturen auch einige Sonderfälle. Einige unerfahrene Benutzer stellen ihre Wallets aus Unachtsamkeit oder mangelndem Verständnis fälschlicherweise auf Mehrfachsignaturen ein, was dazu führt, dass für Überweisungen mehrere Signaturen erforderlich sind . . Zu diesem Zeitpunkt muss der Benutzer nur die Anforderungen für die Mehrfachsignatur erfüllen oder die Besitzer-/Aktivberechtigungen nur für eine Adresse in der Rechteverwaltungsabteilung autorisieren und die Einzelsignatur wiederherstellen.

Abschließend empfiehlt das SlowMist-Sicherheitsteam, dass Benutzer regelmäßig ihre Kontoberechtigungen überprüfen, um festzustellen, ob es Auffälligkeiten gibt. Wie Sie das richtige Passwort finden, haben wir im Web3 Security Getting Started Guide zur Vermeidung von Fallstricken besprochen Fake Wallets und Private Key Mnemonic Phrase Leak riskieren die offizielle Website und überprüfen die Authentizität der Wallet. Klicken Sie nicht auf unbekannte Links und geben Sie nicht einfach Antivirensoftware ein (wie Kaspersky, AVG usw.). ) und Plug-ins zur Blockierung von Phishing-Risiken (z. B. Scam Sniffer), um die Gerätesicherheit zu verbessern.