वॉलेट ड्रेनर्स: कैसे अनुमतियाँ और हस्ताक्षर खाते खाली करते…

वॉलेट ड्रेनर्स एक पीड़ित के वॉलेट से पुन: प्रयोज्य प्राधिकरण को इकट्ठा करके काम करते हैं, फिर उस अनुमति का उपयोग करके टोकन, NFTs, और कभी-कभी मूल सिक्कों को बिना फिर से पूछे स्थानांतरित करते हैं। श्रृंखला उन हस्ताक्षरित अनुमतियों और प्रकारित डेटा अनुमतियों को वैध निर्देशों के रूप में लागू करती है, इसलिए चोरी अक्सर एक "हैक" के बजाय सामान्य DeFi गतिविधि की तरह पढ़ी जाती है।

मुख्य बिंदु

• एक वॉलेट ड्रेनर आमतौर पर बिना एक बीज वाक्यांश के सफल होता है, पीड़ित को एक ERC-20 अनुमोदन पर हस्ताक्षर करने के लिए प्राप्त करके, एक NFTऑपरेटर अनुमोदन, या एक परमिट-शैली टाइप किए गए डेटा हस्ताक्षर।
• धोखाधड़ी आमतौर पर दो-चरणीय होती है: पहले अनुमति प्राप्त करना, फिर तुरंत या बाद में transferFrom या setApprovalForAll जैसी कार्यक्षमताओं का उपयोग करके स्वचालित स्वीप करना।
• हस्ताक्षर फ़िशिंग अक्सर उतनी खतरनाक होती है जितनी यह दिखती है क्योंकि टाइप किए गए डेटा हस्ताक्षर को बाद में ऑन-चेन अनुमोदनों में बदला जा सकता है।
• ड्रेनर्स अक्सर वैध DEX राउटर्स के माध्यम से मार्ग प्रशस्त करते हैं ताकि ऑन-चेन ट्रेस सामान्य स्वैप जैसा दिखे, जो पहचान और प्रतिक्रिया में देरी करता है।

वॉलेट ड्रेनर्स और अनुमोदन फ़िशिंग के मूल बातें

मुख्य चाल सरल है: हमलावर को वॉलेट क्रिप्टोग्राफी को तोड़ने की आवश्यकता नहीं होती है यदि पीड़ित को हमलावर को खर्च करने के लिए अधिकृत करने के लिए मनाया जा सके। यही कारण है कि एक वॉलेट ड्रेनर सामान्य DeFi उपयोगकर्ता अनुभव के भीतर बैठता है, न कि इसके बाहर। पीड़ित एक वॉलेट कनेक्ट करता है, एक परिचित संकेत देखता है, और कुछ ऐसा हस्ताक्षर करता है जो सामान्य लगता है। फिर ब्लॉकचेन वही करता है जो इसे करने के लिए डिज़ाइन किया गया है, जो कि हस्ताक्षरित के रूप में सटीक रूप से प्राधिकरण को लागू करना है।

यही कारण है कि अनुमोदन फ़िशिंगसही मानसिक मॉडल है। हमलावर पीड़ित के रूप में "लॉग इन" नहीं कर रहा है। हमलावर एक अनुमति प्राप्त कर रहा है जिसे प्रोटोकॉल पहचानता है, फिर इसका उपयोग एक स्थायी क्रेडिट लाइन की तरह कर रहा है। FinanceFeeds का Trust Wallet ड्रेनर अभियान लेखन स्पष्ट है कि ये प्रवाह "दूसरे जब एक उपयोगकर्ता अनुमोदित क्लिक करता है" वॉलेट को खाली कर सकते हैं, और कि यांत्रिकी वैध DeFi उपयोग को दर्शाती हैं न कि मैलवेयर या एक शोषण।

एक उपयोगी भेद जो Web2 सुरक्षा से आने वाले पाठकों के लिए है, वह यह है कि एक वॉलेट "समझौता" किया जा सकता है इस अर्थ में कि इसे बिना ड्रेन किया जा सकता है।निजी कुंजीकभी भी डिवाइस को छोड़े बिना। CryptoAdventure इसे सहमति के रूप में प्रस्तुत करता है: उपयोगकर्ता हस्ताक्षर करता है, श्रृंखला मान्य करती है, हमलावर स्थानांतरित करता है। यही कारण है कि "मैं एक उपयोग करता हूँ"हार्डवेयर वॉलेट"पूर्ण रक्षा नहीं है। FinanceFeeds नोट करता है"हार्डवेयर वॉलेट्सनिजी-कुंजी चोरी के जोखिम को कम करें, लेकिन यदि उपयोगकर्ता गलत अनुमोदन पर हस्ताक्षर करता है, तो वे उपयोगकर्ता द्वारा अनुमोदित निकासी को रोकते नहीं हैं।

यह व्याख्या क्रिप्टो वॉलेट धोखाधड़ी और उनसे कैसे बचें, के व्यापक विषय के अंतर्गत है क्योंकि सुरक्षा मुख्य रूप से अनुमति स्वच्छता है, न कि एंटीवायरस।

कनेक्ट-और-स्वीकृति हमले का प्रवाह

सबसे उच्च-संभावना ड्रेनर पथ पहले एक वितरण समस्या है और एकस्मार्ट अनुबंधसमस्या दूसरी है। FinanceFeeds भारत के राष्ट्रीय साइबर अपराध सलाहकार TAU/ADV/013 से जुड़े पांच-चरणीय प्लेबुक का वर्णन करता है: टेलीग्राम, डिस्कॉर्ड या एक्स पर धोखाधड़ी, एक क्लोन साइट, वॉलेट कनेक्शन प्रॉम्प्ट वॉलेटकनेक्ट के माध्यम से या एक इन-वॉलेट ब्राउज़र, एकल स्वीकृति, फिर एक स्वचालित स्वीप। Blockaid का teardown एक और वितरण वेक्टर जोड़ता है जो तेज़ी से चलने वाले व्यापारियों के लिए महत्वपूर्ण है: फ्रंट-एंड हाईजैकिंग, जहां एक वैध साइट का UI एक दुर्भावनापूर्ण संस्करण से बदल दिया जाता है।

सम्पूर्ण, प्रवाह आमतौर पर है:

1. उपयोगकर्ता को एक समान डोमेन या हाईजैक किए गए फ्रंट एंड पर लुभाना। लुभाना अक्सर "सत्यापित करें," "दावा करें," या "एयरड्रॉप," होता है, और यह तात्कालिकता पैदा करने के लिए डिज़ाइन किया गया है। 2. जल्दी वॉलेट कनेक्शन को मजबूर करें। Blockaid ने एक पृष्ठ का अवलोकन किया जहां कोई भी बटन कनेक्ट संवाद को ट्रिगर करता है, जो एक सामान्य व्यवहारिक संकेत है। 3.

वॉलेट संदर्भ एकत्र करें। Blockaid दिखाता है कि ड्रेनर कमांड-एंड-कंट्रोल अवसंरचना के साथ संवाद कर रहा है और यह जानने के लिए JSON-RPC पढ़ता है जैसे eth_call कि वह किन संपत्तियों और नॉनस स्थिति को लक्षित कर सकता है। 4. अनुमति को काटें। यह वह क्षण है जब पीड़ित सोचता है कि वे कुछ हानिरहित कर रहे हैं, जैसे कि स्वैप के लिए एक टोकन को मंजूरी देना, या "एक संदेश पर हस्ताक्षर करना।" 5.

स्वीप को निष्पादित करें। FinanceFeeds "सेकंड में सब कुछ स्वीप करता है," और कोका जोर देती है कि ड्रेन को विलंबित किया जा सकता है, यही कारण है कि पीड़ित यह समझने में भ्रमित हो जाते हैं कि किस क्रिया ने हानि का कारण बना।

"ड्रेनर एज़ ए सर्विस" कोण महत्वपूर्ण है क्योंकि यह बताता है कि ये प्रवाह क्यों टेम्पलेटेड लगते हैं। कोका ड्रेनर्स का वर्णन स्कैमर्स को बेचे जाने वाले किट के रूप में करती है, और वह पैकेजिंग यही है कि क्यों समान UX पैटर्न श्रृंखलाओं और वॉलेट्स में दोहराए जाते हैं।

अनुमतियाँ ड्रेनर्स ऑन-चेन का दुरुपयोग करती हैं

ERC-20 अनुमतियाँ कार्यकर्ता हैं। एक सामान्य dApp स्वीकृति के लिए पूछता है ताकि वह उपयोगकर्ता की ओर से स्वैप या जमा के दौरान टोकन स्थानांतरित कर सके। एक क्रिप्टो ड्रेनर उसी स्वीकृति के लिए पूछता है, लेकिन खर्च करने वाले को एक हमलावर-नियंत्रित अनुबंध या पते की ओर इंगित करता है और अक्सर एक असीमित कैप को धक्का देता है। एक बार जब वह स्वीकृति मौजूद होती है, तो हमलावर बाद में वापस आ सकता है और बिना किसी नए प्रॉम्प्ट के पीड़ित से टोकन स्थानांतरित कर सकता है। FinanceFeeds और कोका दोनों इस असीमित अनुमतियों को उस लीवर के रूप में बताते हैं जो इसे स्केलेबल बनाता है।

डिले-ड्रेन पैटर्न वह है जहां लोग यह गलत निदान करते हैं कि क्या हुआ। कोका उस अनुक्रम का वर्णन करती है जहां एक उपयोगकर्ता आज स्वीकृति देता है, तत्काल कोई आंदोलन नहीं देखता, फिर बाद में वॉलेट को टॉप अप करता है और सेकंड के भीतर ड्रेन हो जाता है क्योंकि खड़ी स्वीकृति पहले से ही मौजूद थी। यही कारण है कि स्वीकृति को पढ़ने का सही तरीका यह नहीं है कि "क्या पैसा अभी बाहर गया," बल्कि "मैंने अभी किसे पैसे खींचने के लिए अधिकृत किया।"

NFTs के पास उसी जाल का अपना संस्करण है। FinanceFeeds और कोका दोनों setApprovalForAll की ओर इशारा करते हैं, जो एक ऑपरेटर को उस वॉलेट के लिए एक संग्रह में सभी NFTs को स्थानांतरित करने की क्षमता प्रदान करता है। उपयोगकर्ता अक्सर इसे सूचीबद्ध करने या मिंट करने के लिए एक एकल कदम के रूप में मानते हैं। एक ड्रेनर के लिए, यह उस संग्रह के लिए एक मास्टर कुंजी है।

इससे दो व्यावहारिक निहितार्थ निकलते हैं:

1. हमलावर का लाभ निरंतरता है। एकल स्वीकृति तब तक मान्य रह सकती है जब तक कि इसे रद्द न किया जाए। 2. पीड़ित का लाभ अनुमतियों की उलटने की क्षमता है। FinanceFeeds और Coca दोनों Revoke.cash और Etherscan के टोकन स्वीकृति चेकर्स जैसे उपकरणों की ओर इशारा करते हैं ताकि अनुमतियों और ऑपरेटर अनुमतियों की समीक्षा और रद्द किया जा सके।

यहां वह स्थान भी है जहां 'वॉलेट ड्रेनर' की व्याख्या की जानी चाहिए: यह कोई जादुई अनुबंध नहीं है जो वॉलेट को "तोड़ता" है। यह स्वचालन है जो DeFi पर निर्भर सटीक अनुमति रेल का दुरुपयोग करता है।

हस्ताक्षर-आधारित ड्रेनर और अनुमति जाल

सबसे महंगे पॉप-अप अक्सर वे होते हैं जो लेनदेन की तरह नहीं दिखते। Blockaid का 2024-10-13 का विश्लेषण एक ड्रेनर को दिखाता है जो EIP-712 टाइप-डेटा हस्ताक्षर को कैप्चर करने के लिए eth_signTypedData_v4 का उपयोग करता है जो EIP-2612 अनुमति को एन्कोड करता है। ड्रेनर ने पहले nonce और टोकन मेटाडेटा को eth_call के माध्यम से एकत्र किया, फिर पीड़ित को एक बहुत बड़े मूल्य के लिए एक खर्च करने वाले को अधिकृत करने वाले संरचित डेटा पर हस्ताक्षर करने के लिए प्रेरित किया। मुख्य बिंदु यह है कि हस्ताक्षर उस क्षण में ऑफ-चेन होता है जब पीड़ित इसे हस्ताक्षर करता है, लेकिन इसे बाद में टोकन के अनुमति कार्य के माध्यम से ऑन-चेन प्रस्तुत किया जा सकता है।

यह अपने सबसे स्वच्छ रूप में हस्ताक्षर फ़िशिंग है। पीड़ित सोचता है "मैंने कोई लेनदेन नहीं भेजा।" हमलावर सोचता है "मुझे एक स्वीकृति मिली है जिसे मैं जब चाहूं निष्पादित कर सकता हूं।" Coca आधुनिक ड्रेनर किट के हिस्से के रूप में अनुमति और Permit2-शैली के हस्ताक्षर जोखिमों को चिह्नित करता है, और CryptoAdventure इनको क्लासिक ऑन-चेन स्वीकृति ड्रेनरों से अलग हस्ताक्षर-आधारित ड्रेनर के रूप में समूहित करता है।

Blockaid ने उसी प्रवाह में wallet_switchEthereumChain को भी देखा, जो BNB Chain एयरड्रॉप के रूप में पृष्ठ प्रस्तुत करने के बावजूद Arbitrum One पर स्विच करने के लिए मजबूर करता है। वह चेन-स्विच अनुरोध कॉस्मेटिक नहीं है। यह उस नेटवर्क को लक्षित करने का एक तरीका है जहां पीड़ित वास्तव में संपत्ति रखता है।

उपयोगकर्ताओं के लिए दो परिणाम महत्वपूर्ण हैं:

1. टाइप-डेटा हस्ताक्षर ऑन-चेन स्वीकृति प्रॉम्प्ट की तुलना में समझने में कठिन हो सकते हैं क्योंकि वे "एक संदेश पर हस्ताक्षर करना" के रूप में प्रस्तुत होते हैं। Blockaid का तर्क है कि अधिकांश वॉलेट इन ऑफ-चेन हस्ताक्षरों का अनुकरण नहीं कर सकते जिस तरह से वे ऑन-चेन लेनदेन का अनुकरण कर सकते हैं। 2. हमलावर अनुमति कैप्चर को निष्पादन से अलग कर सकता है। वह समय लचीलापन ही है कि ड्रेनर कम-फीस क्षणों या वॉलेट को टॉप अप करने के लिए इंतजार कर सकते हैं।

यह भी है कि अंधे हस्ताक्षर क्यों एक पुनरावृत्त विफलता मोड है। यदि वॉलेट UI स्पष्ट रूप से नहीं दिखाता है कि टाइप डेटा क्या अधिकृत करता है, तो उपयोगकर्ता प्रभावी रूप से अंधे में हस्ताक्षर कर रहा है।

ड्रेन सामान्य गतिविधि की तरह क्यों दिखते हैं

एक ड्रेनर ऑपरेटर चाहता है कि श्रृंखला उबाऊ दिखे। Blockaid एक स्वदेशी-आसेट ड्रेन को एक वैध SushiSwap राउटर अनुबंध के माध्यम से दिखाता है, जो swapETHForExactTokens को कॉल करता है, न कि हमलावर पते पर सीधे ETH ट्रांसफर करने के बजाय। मुद्दा यह नहीं है कि SushiSwap समझौता किया गया है। मुद्दा यह है कि एक व्यापक रूप से उपयोग किए जाने वाले राउटर के माध्यम से रूटिंग करने से लेनदेन नियमित स्वैपिंग व्यवहार के समान दिखता है।

FinanceFeeds पीड़ित के दृष्टिकोण से वही अवलोकन करता है: Darktrace ने एक वैरिएंट का पता लगाया जिसने दो मिनट में एक ही पीड़ित से $470,000 निकाल लिए, और ऑन-चेन लेनदेन "एक नियमित Uniswap स्वैप से अलग नहीं दिखता।" यही छलावरण परत है। यदि चोरी स्वैप की तरह पढ़ी जाती है, तो आकस्मिक पर्यवेक्षक और यहां तक कि कुछ स्वचालित ह्यूरिस्टिक्स भी समय बर्बाद करते हैं।

यहां पर थीसिस का असर होता है: प्राधिकरण उत्पाद है। एक बार जब हमलावर के पास एक वैध अनुमति, ऑपरेटर अनुमोदन, या अनुमति हस्ताक्षर होता है, तो ब्लॉकचेन इसे बाद में, तेजी से, और एक तरीके से निष्पादित करेगा जिसे वैध अनुबंधों के माध्यम से रूट किया जा सकता है।

व्यापारियों और पावर उपयोगकर्ताओं के लिए, संचालन का takeaway यह है कि "ऑन-चेन चोरी का पता लगाना" एक कमजोर रक्षा है। जब तक स्वैप-जैसे ड्रेन दिखाई देता है, तब तक संपत्तियां पहले से ही स्थानांतरित हो चुकी होती हैं और अक्सर पहले से ही अधिक तरल टोकनों में स्वैप हो चुकी होती हैं। उच्च-सिग्नल क्षण पहले होता है, अनुमति सीमा पर: अप्रत्याशित चेन-स्विच प्रॉम्प्ट, बार-बार कनेक्ट डायलॉग, और एक साइट जो कुछ उपयोगी करने से पहले अनुमोदनों को बढ़ावा देती है।

ड्रेनर जोखिम को कैसे कम करें

रक्षा ज्यादातर इस बारे में है कि किसी एक क्लिक से कितनी अधिक प्राधिकरण दिया जा सकता है, और उस प्राधिकरण के पीछे कितनी अधिक मूल्य बैठी है उसे कम करना। FinanceFeeds अनुशंसा करता है कि आप वॉलेट के अपने "कनेक्टेड साइट्स" या "अनुमतियों" पैनल से शुरू करें ताकि कुछ भी रद्द किया जा सके जो सक्रिय रूप से उपयोग नहीं किया जा रहा है, फिर Revoke.cash के साथ टोकन अनुमतियों की जांच करें। Coca रद्दीकरण को एक नियमित प्रक्रिया के रूप में फ्रेम करता है, आपात स्थिति के रूप में नहीं, क्योंकि ड्रेन को विलंबित किया जा सकता है।

एक साफ कार्यप्रवाह इस तरह दिखता है:

1. वॉलेट के बीच भूमिकाओं को अलग करें। एक "वॉल्ट" वॉलेट रखें जो कभी dApps से कनेक्ट नहीं होता है, और मिंट्स, एयरड्रॉप्स, और नए प्रोटोकॉल के लिए एक खर्च करने वाला या बर्नर वॉलेट। Coca इस संरचना की स्पष्ट रूप से अनुशंसा करता है ताकि विस्फोटक क्षेत्र को सीमित किया जा सके। 2.

हर अनुमोदन या हस्ताक्षर को एक स्थायी क्रेडिट लाइन के रूप में मानें। यदि प्रॉम्प्ट असीमित दिखता है, तो मान लें कि खर्च करने वाला बाद में पूर्ण संतुलन निकाल सकता है जब तक कि dApp एक कड़ा सीमा न पेश करे। 3. ड्रेनर्स के साथ सहसंबंधित UX लाल झंडों पर नज़र रखें। Blockaid का उदाहरण लगातार कनेक्ट प्रॉम्प्ट और एक wallet_switchEthereumChain अनुरोध शामिल करता है जो साइट की घोषित श्रृंखला के विपरीत है। 4.

एक शेड्यूल पर ऑडिट और रद्द करें। FinanceFeeds और Coca दोनों Revoke.cash और Etherscan के टोकन अनुमोदन चेकर्स की ओर इशारा करते हैं ताकि अनुमतियों की समीक्षा की जा सके और उन्हें रद्द किया जा सके। 5.

यदि लक्षित किया गया है, तो पहले अनुमतियों पर कार्य करें। कनेक्टेड साइट्स को डिस्कनेक्ट करें, अनुमतियों और NFT ऑपरेटर अनुमतियों को रद्द करें, और शेष फंड को एक नए पते पर स्थानांतरित करें। FinanceFeeds पर जोर देता है कि ड्रेनर स्वयं Trust Wallet का शोषण नहीं करता है, और यही जोखिम MetaMask और Phantom जैसे हॉट वॉलेट्स में भी लागू होता है।

यह क्रिप्टो वॉलेट धोखाधड़ी का वह हिस्सा है और उन्हें कैसे टाला जाए जो वास्तव में दबाव में टिकता है: मान लें कि खर्च करने वाला वॉलेट अंततः कुछ बेवकूफी भरा हस्ताक्षर करेगा, और सिस्टम को इस तरह डिज़ाइन करें कि वह गलती सहनीय हो।

ले लेना

मैंने बहुत से लोगों को एक ड्रेनर को "हैक" के रूप में फ्रेम करते हुए देखा है और फिर पहले घंटे को मैलवेयर के लिए शिकार करते हुए बर्बाद करते हुए देखा है जबकि असली समस्या ऑन-चेन एक अनुमति के रूप में बैठी होती है जिसे उन्होंने दिया है। महंगा मानसिक बदलाव यह है कि अनुमतियों और टाइप किए गए डेटा हस्ताक्षरों को एक स्थायी क्रेडिट लाइन खोलने की तरह माना जाए। एक बार जब वह लाइन मौजूद हो जाती है, तो हमलावर को फिर से पूछने की आवश्यकता नहीं होती। वे बस बाद में transferFrom या एक ऑपरेटर ट्रांसफर के साथ आते हैं और श्रृंखला इसे लागू करती है।

जिस विफलता का तरीका बार-बार दोहराया जा रहा है वह हानिरहित क्लिक के रूप में सजाया गया अंधा हस्ताक्षर है। Blockaid का 2024-10-13 का teardown साफ उदाहरण है: eth_signTypedData_v4 एक अनुमति को इकट्ठा करता है, फिर ड्रेन को एक असली राउटर के माध्यम से रूट किया जा सकता है ताकि यह सामान्य स्वैप की तरह पढ़ा जा सके। हार्डवेयर वॉलेट कुंजियों को सुरक्षित रखते हैं, लेकिन वे निर्णय को नहीं बचाते। अनुमति की स्वच्छता आवश्यक है।

स्रोत

• FinanceFeeds
• Blockaid
• कोका
• CryptoAdventure