Từ EVM đến Solana: Cách tránh lừa đảo trực tuyến
Gần đây, một người dùng đã đăng câu chuyện về việc anh ta đã mất hàng triệu RMB tài sản thông qua lừa đảo trên Solana. Theo mô tả: Anh ta đã nhấp nhầm vào liên kết do nhóm lừa đảo gửi trong phần trả lời bên dưới tweet của dự án Maneki để vào trang web.
Điều khiến anh bối rối là trong quá trình tương tác, trang web dường như không yêu cầu anh thực hiện bất kỳ thao tác ủy quyền mã thông báo nào và hacker đã trực tiếp thành công. Khi anh nhận ra có thể có vấn đề với trang web và cố gắng chuyển token trong ví của mình để tránh bị đánh cắp, anh nhận thấy rằng các giao dịch đã thất bại sau nhiều lần thử và không thể chuyển ra ngoài được nữa.
Do thông tin chi tiết được cung cấp có hạn nên chúng tôi không thể tái hiện lại đầy đủ những gì đã xảy ra. Nhưng điều chắc chắn là người dùng đã mất quyền kiểm soát tài khoản mã thông báo Maneki, đó là lý do tại sao người dùng không thể chuyển tài sản trong ví. Người dùng đã quen với EVM có thể nhầm lẫn, kiểm soát tài khoản này là gì?
Điều này là do Solana áp dụng một phương pháp thực hiện khác với chuỗi EVM. Nếu bạn tiếp tục tương tác với Solana theo thói quen sử dụng trên EVM và muốn giết quan chức hiện tại bằng thanh kiếm của triều đại trước, chắc chắn bạn sẽ phải đối mặt với rủi ro rất lớn. .
Nếu muốn chơi vui vẻ trên Solana, bạn phải hiểu rõ các tính năng và phương pháp lừa đảo của Solana. Để đạt được mục đích này, chúng tôi cũng đã biên soạn một số phương pháp tấn công vào Sol khác với EVM, hy vọng có thể giúp những người dùng chưa biết Solana tránh được cạm bẫy.
1. Chuyển quyền sở hữu tài khoản token
Nhân vật chính trong trường hợp mở đầu của chúng tôi gặp phải kiểu tấn công này, đối với mỗi mã thông báo, sẽ có một tài khoản riêng (Tài khoản mã thông báo), tương tự như tài khoản RMB, tài khoản đô la Mỹ, v.v. trong thẻ ngân hàng của chúng tôi. độc lập với nhau và mỗi tài khoản mã thông báo cũng sẽ có thuộc tính chủ sở hữu.
Theo mặc định, chủ sở hữu tài khoản mã thông báo sẽ được chỉ định là ví hiện tại, nhưng điều này không được mã hóa cứng. Bằng cách gọi thao tác createSetAuthorityInstruction, chủ sở hữu tài khoản mã thông báo có thể bị thay đổi. người dùng chuyển quyền sở hữu một tài khoản token nhất định trong ví sang ví của mình.
Sau khi thành công, ngay cả khi token vẫn còn trong ví, người dùng không thể chuyển token ra ngoài, điều này không khác gì việc token bị đánh cắp.
Do hoạt động này có rủi ro cao, cả ví Phantom và @Backpack_CN sẽ chặn và nhắc nhở rủi ro của giao dịch, yêu cầu xác nhận giao dịch lần thứ hai, trừ khi người dùng nhất quyết buộc phải phê duyệt giao dịch.
2. Không cần ủy quyền trước khi giao dịch trên Solana.
Trên EVM, nếu hợp đồng lừa đảo muốn chuyển mã thông báo trong ví của nạn nhân, người dùng cần ủy quyền hợp đồng lừa đảo trên hợp đồng mã thông báo. Hợp đồng lừa đảo được ủy quyền có thể bắt đầu giao dịch để chuyển tài sản của người dùng.
Trên Solana, phê duyệt không phải là ủy quyền mà là phê duyệt giao dịch. Nếu người dùng coi đây là liên kết ủy quyền mã thông báo, sau khi được phê duyệt, giao dịch lừa đảo sẽ được gửi đi, gây khó khăn cho việc lưu trữ.
Có một tình huống nguy hiểm hơn: giả sử rằng người dùng được khuyến khích ủy quyền mã thông báo trên EVM thì chỉ một mã thông báo duy nhất bị ảnh hưởng tại thời điểm này và các mã thông báo trái phép khác sẽ không bị đánh cắp. Vì Solana có thể chuyển token mà không cần ủy quyền miễn là người dùng chấp thuận, kết hợp với tính năng thứ ba sẽ được giới thiệu tiếp theo nên có thể gây thiệt hại lớn cho người dùng.
3. Cẩn thận với việc bị xúi giục chuyển nhiều token
Thiết kế giao dịch của Solana cho phép thêm nhiều giao dịch phụ vào một giao dịch và mỗi giao dịch phụ có thể hoàn thành một tương tác, chẳng hạn như chuyển một mã thông báo nhất định. So với chuyển mã thông báo trên EVM, mỗi mã thông báo yêu cầu một giao dịch riêng để hoàn thành. Tính năng này của Solana mang lại sự thuận tiện nhất định.
Ví dụ: có thể có một số token có giá trị rất thấp dưới 1u trong ví của bạn. Sol-incinerator tận dụng tính năng này để cho phép người dùng gửi và đổi các token nhỏ trong ví về SOL theo đợt mà không cần đến. nhiều giao dịch. Exchange tiêu thụ nhiều Gas và tiết kiệm thời gian hoạt động.
Có những ưu điểm và nhược điểm. Tính năng này cũng mang lại sự tiện lợi lớn cho tin tặc. Chỉ cần người dùng bị lừa xác nhận giao dịch thành công, tất cả các token, NFT và thậm chí cả SOL trong ví của người dùng đều có thể bị đánh cắp. Do đó, nếu bạn thấy một giao dịch có số lượng chuyển khoản TOKEN lớn, hãy cẩn thận xem tin tặc có lợi dụng tính năng này để làm trống ví của bạn hay không.
4. Chữ ký giao dịch lừa đảo
Trong EVM, chữ ký cấp phép rất phổ biến trong các nhóm lừa đảo do tính ẩn giấu của nó và thực tế là nó không xuất hiện trong ví của người ủy quyền. Hiện tại, nó được sử dụng trong hơn một nửa các phương thức tấn công lừa đảo. Trong thế giới của Solana cũng có một phương pháp tương tự: Bền Nonce.
Đặc điểm của Bền Nonce tương tự như giấy phép. Nếu người dùng ký một giao dịch mà không biết, anh ta sẽ không mất tài sản ngay lập tức và sẽ không thấy giao dịch trong ví của mình. Thay vào đó, anh ta sẽ lưu trữ thông tin giao dịch đã ký. băng đảng lừa đảo, sau đó sẽ gửi giao dịch đến blockchain. Đặc điểm của giao dịch ngoại tuyến này hoàn toàn giống với giấy phép và nó cũng nguy hiểm không kém.
Vì Solana có thể mô phỏng kết quả giao dịch nên khả năng đọc của Durable Nonce tốt hơn mức cho phép và người dùng dễ nhận biết hơn. Vì vậy, để đánh cắp tài sản của người dùng một cách suôn sẻ hơn, các nhóm lừa đảo đã kết hợp Bền Nonce với các bản nâng cấp hợp đồng, cố gắng tránh những cảnh báo do mô phỏng giao dịch mang đến cho người dùng.
Trang web lừa đảo trước tiên sử dụng hợp đồng thông thường không có giao dịch độc hại để tương tác với người dùng. Tại thời điểm này, không có vấn đề gì với thông tin được trình bày bởi chức năng mô phỏng giao dịch của ví.
Sau khi người dùng chấp thuận, nhóm lừa đảo lấy được chữ ký của người dùng sẽ không vội phát tán giao dịch lên chuỗi. Thay vào đó, chúng sẽ đợi một khoảng thời gian trước khi nâng cấp hợp đồng lên phiên bản chứa mã độc và cuối cùng phát tán giao dịch đó. giao dịch vào chuỗi. Người dùng đột nhiên phát hiện ra rằng tài sản bị thiếu, nhưng tôi không làm gì cả vì có thể chữ ký đã được thực hiện cách đây vài ngày.
Phương thức tấn công nâng cấp này cực kỳ ẩn giấu và cực kỳ có hại, đồng thời chức năng mô phỏng giao dịch hiện tại không thể thể hiện được rủi ro trong thời điểm hiện tại. Vì vậy, chúng ta vẫn cần nâng cao ý thức phòng ngừa, không nên quá phụ thuộc vào lời nhắc của phần mềm ví và tin tưởng một cách mù quáng vào kết quả mô phỏng giao dịch.
Phần kết luận
Có thể thấy, các tính năng chức năng nêu trên ban đầu được thiết kế nhằm hạ thấp ngưỡng sử dụng của người dùng và mang lại sự tiện lợi hơn. Tôi chưa bao giờ nghĩ rằng các công nghệ mới, như con dao hai lưỡi, cũng sẽ cung cấp cho các nhóm lừa đảo những phương thức tấn công đa dạng hơn.
Ngay trước khi viết bài này, Solana đã phát hành hai chức năng mới là Action và Blink Trong khi mọi người đang mơ mộng về hai chức năng này thì một số người cũng đưa ra cảnh báo rằng các nhóm lừa đảo có thể sử dụng các chức năng mới để thực hiện hành vi lừa đảo.
Fishing trên Solana có đặc điểm là thao tác bằng một cú nhấp chuột và tính ẩn danh cao. Chức năng mô phỏng giao dịch đôi khi không hoạt động do rpc không ổn định và các lý do khác nên không thể hoàn toàn dựa vào chức năng này.
Chúng tôi khuyến nghị người dùng đủ điều kiện có thể tương tác với ví phần cứng Keystone, điều này tương đương với việc thêm xác nhận bổ sung để tránh việc xác nhận giao dịch nhanh chóng do tính bốc đồng hoặc chậm trễ.
Ngoài ra, Keystone cũng phân tích giao dịch ở phía phần cứng. Khi mô phỏng giao dịch ví phần mềm không thành công, phía phần cứng vẫn có thể phân tích nội dung giao dịch và cung cấp tuyến phòng thủ cuối cùng.
Công nghệ chuỗi khối đang phát triển thông qua sự phát triển và thay đổi không ngừng. Chúng tôi lo lắng về những rủi ro do công nghệ mới mang lại, nhưng chúng tôi không thể dừng lại vì điều này. Các băng nhóm đánh cá giống như những con chuột băng qua đường và mọi người đều muốn đánh bại chúng. Các công ty bảo mật cũng liên tục lặp lại các giải pháp cho các mối đe dọa mới.
Là một người dùng bình thường, hãy luôn nhắc nhở bản thân đừng để bị lóa mắt bởi “chiếc bánh miễn phí” mà hãy kiểm tra kỹ nội dung giao dịch với ý thức bảo mật như vậy, lừa đảo sẽ khó thành công.