D'EVM à Solana : comment éviter les escroqueries par phishing
Récemment, un utilisateur a publié une histoire sur la façon dont il a perdu des millions de RMB d'actifs par phishing sur Solana. Selon la description : Il a cliqué par erreur sur le lien envoyé par le groupe de phishing dans la réponse sous le tweet du projet Maneki pour accéder au site. site web.
Ce qui l'a intrigué, c'est que lors de l'interaction, le site Web ne semblait pas lui demander d'effectuer des opérations d'autorisation de jeton, et le pirate informatique a réussi directement. Lorsqu'il s'est rendu compte qu'il pouvait y avoir un problème avec le site Web et a essayé de transférer les jetons dans son portefeuille pour éviter d'être volé, il a constaté que les transactions échouaient après de nombreuses tentatives et ne pouvaient plus être transférées.
En raison du peu de détails fournis, nous ne sommes pas en mesure de reconstituer entièrement ce qui s'est passé. Mais ce qui est certain, c’est que l’utilisateur a perdu le contrôle du compte token Maneki, c’est pourquoi il n’a pas tenté de transférer les actifs du portefeuille. Les utilisateurs habitués à EVM peuvent être confus, qu'est-ce que ce contrôle de compte ?
En effet, Solana adopte une méthode d'implémentation différente de la chaîne EVM. Si vous continuez à interagir avec Solana selon les habitudes d'utilisation sur EVM et que vous souhaitez tuer le fonctionnaire actuel avec l'épée de la dynastie précédente, vous ferez sans aucun doute face à d'énormes risques. .
Si vous voulez jouer avec bonheur sur Solana, vous devez comprendre les fonctionnalités et les méthodes de tromperie de Solana. À cette fin, nous avons également compilé quelques méthodes d'attaque sur Sol différentes de l'EVM, dans l'espoir d'aider les utilisateurs qui ne connaissent pas Solana à éviter les pièges.
1. Transfert de propriété du compte token
Le protagoniste de notre cas d'ouverture a rencontré ce type d'attaque. Dans le portefeuille Solana, pour chaque token, il y aura un compte distinct (Token Account), similaire au compte RMB, au compte en dollars américains, etc. sont indépendants les uns des autres, et chaque compte token aura également un attribut propriétaire.
Par défaut, le propriétaire du compte token sera désigné comme le portefeuille actuel, mais cela n'est pas codé en dur en appelant l'opération createSetAuthorityInstruction, les pirates peuvent profiter de cette opération pour induire. l'utilisateur transfère la propriété d'un certain compte symbolique du portefeuille vers son portefeuille.
Une fois réussi, même si le jeton est toujours dans le portefeuille, l'utilisateur ne peut pas transférer le jeton, ce qui n'est pas différent du jeton volé.
En raison du risque élevé de cette opération, les portefeuilles Phantom et @Backpack_CN intercepteront et déclencheront le risque de la transaction, nécessitant une deuxième confirmation de la transaction, à moins que l'utilisateur n'insiste pour approuver de force la transaction.
2. Aucune autorisation n'est requise avant de négocier sur Solana.
Sur EVM, si le contrat de phishing souhaite transférer les jetons dans le portefeuille de la victime, l'utilisateur doit autoriser le contrat de phishing sur le contrat de jeton. Le contrat de phishing autorisé peut initier une transaction pour transférer les actifs de l'utilisateur.
Sur Solana, approuver n'est pas une autorisation mais une approbation des transactions. Si l'utilisateur considère cela comme le lien d'autorisation du jeton, une fois approuvée, la transaction de phishing sera envoyée, ce qui la rendra difficile à enregistrer.
Il existe une situation plus dangereuse : en supposant que l'utilisateur soit incité à autoriser des jetons sur EVM, seul un seul jeton est affecté à ce moment-là, et les autres jetons non autorisés ne seront pas volés. Étant donné que Solana peut transférer des jetons sans autorisation tant que l'utilisateur l'approuve, combiné à la troisième fonctionnalité qui sera introduite ensuite, cela peut entraîner de grandes pertes pour les utilisateurs.
3. Faites attention à ne pas être incité à transférer plusieurs jetons
La conception des transactions de Solana permet d'ajouter plusieurs sous-transactions à une transaction, et chaque sous-transaction peut compléter une interaction, comme le transfert d'un certain jeton. Par rapport au transfert de jetons sur EVM, chaque jeton nécessite une transaction distincte. Cette fonctionnalité de Solana offre une certaine commodité.
Par exemple, votre portefeuille peut contenir des jetons d'une valeur très faible, inférieure à 1u. Sol-incinerator profite de cette fonctionnalité pour permettre aux utilisateurs d'envoyer et d'échanger de petits jetons dans le portefeuille vers SOL par lots sans avoir besoin de le faire. plusieurs transactions. Exchange consomme beaucoup de gaz et permet de gagner du temps de fonctionnement.
Cette fonctionnalité apporte également une grande commodité aux pirates informatiques. Tant qu'un utilisateur réussit à confirmer une transaction, tous les jetons, NFT et même SOL dans le portefeuille de l'utilisateur peuvent être pillés. Par conséquent, si vous voyez une transaction contenant un grand nombre de transferts de TOKEN, faites attention si des pirates informatiques profitent de cette fonctionnalité pour vider votre portefeuille.
4. Signatures de transactions frauduleuses
Dans EVM, la signature du permis est très populaire parmi les groupes de phishing en raison de sa dissimulation et du fait qu'elle n'apparaît pas dans le portefeuille de l'autorisateur. Actuellement, elle est utilisée dans plus de la moitié des méthodes d'attaque de phishing. Dans le monde de Solana, il existe une méthode similaire : Durable Nonce.
Les caractéristiques de Durable Nonce sont similaires à celles du permis. Si un utilisateur signe une transaction sans le savoir, il ne perdra pas immédiatement ses actifs et ne verra pas la transaction dans son portefeuille. Au lieu de cela, il stockera les informations de transaction signées. le gang de phishing, qui enverra ensuite la transaction vers la blockchain. Les caractéristiques de cette transaction hors ligne sont exactement les mêmes que celles du permis, et elle est tout aussi dangereuse.
Étant donné que Solana peut simuler les résultats des transactions, la lisibilité de Durable Nonce est meilleure que celle autorisée et plus facile à identifier pour les utilisateurs. Par conséquent, afin de voler plus facilement les actifs des utilisateurs, les gangs de phishing ont combiné Durable Nonce avec des mises à niveau de contrat, essayant d'éviter les avertissements envoyés aux utilisateurs par les simulations commerciales.
Le site Web de phishing utilise d'abord un contrat normal sans transactions malveillantes pour interagir avec l'utilisateur. Pour le moment, il n'y a aucun problème avec les informations présentées par la fonction de simulation de transaction du portefeuille.
Une fois l'approbation de l'utilisateur, le gang de phishing qui a obtenu la signature de l'utilisateur n'est pas pressé de diffuser la transaction à la chaîne, mais attend un certain temps avant de mettre à niveau le contrat vers une version contenant du code malveillant, et finalement de diffuser la transaction. transaction à la chaîne. L'utilisateur va du coup j'ai constaté que l'actif manquait, mais je n'ai rien fait car il était possible que la signature ait été faite il y a quelques jours.
Cette méthode d'attaque améliorée est extrêmement cachée et extrêmement dangereuse, et la fonction actuelle de simulation de transaction ne peut pas démontrer le risque pour le moment. Par conséquent, nous devons encore accroître notre sensibilisation à la prévention, et ne pas trop nous fier aux rappels du logiciel de portefeuille et faire aveuglément confiance aux résultats de la simulation de transaction.
Conclusion
On peut voir que les caractéristiques fonctionnelles mentionnées ci-dessus ont été conçues à l'origine pour abaisser le seuil d'utilisation de l'utilisateur et offrir plus de commodité. Je n’aurais jamais pensé que les nouvelles technologies, comme les armes à double tranchant, permettraient également aux groupes de phishing de disposer de méthodes d’attaque plus diversifiées.
Juste avant d'écrire cet article, Solana a publié deux nouvelles fonctions, Action et Blink. Alors que tout le monde rêvait de ces deux fonctions, certaines personnes ont également averti que des gangs de phishing pourraient utiliser les nouvelles fonctions pour commettre des fraudes.
La pêche sur Solana présente les caractéristiques d'une opération en un clic et d'une dissimulation élevée. La fonction de simulation de transaction ne fonctionne parfois pas en raison de l'instabilité du RPC et d'autres raisons, elle ne peut donc pas être entièrement fiable sur cette fonction.
Il est recommandé aux utilisateurs qualifiés d'interagir avec le portefeuille matériel Keystone, ce qui équivaut à ajouter une confirmation supplémentaire pour éviter une confirmation rapide des transactions en raison de l'impulsivité ou des retards.
De plus, Keystone analyse également la transaction côté matériel. Lorsque la simulation de transaction du portefeuille logiciel échoue, le côté matériel peut toujours analyser le contenu de la transaction et fournir la dernière ligne de défense.
La technologie Blockchain évolue grâce à un développement et à des changements continus. Nous sommes préoccupés par les risques liés aux nouvelles technologies, mais nous ne pouvons pas nous arrêter à cause de cela. Les gangs de pêcheurs sont comme des rats qui traversent la rue, et tout le monde veut les battre. Les entreprises de sécurité proposent également constamment des solutions aux nouvelles menaces.
En tant qu'utilisateur ordinaire, rappelez-vous toujours de ne pas vous laisser éblouir par le « gâteau gratuit », mais de vérifier soigneusement le contenu de la transaction. Avec une telle conscience de la sécurité, le phishing sera difficile à réussir.
