जाली Google विज्ञापन Uniswap से जुड़े 400,000 डॉलर के धोखे…
हमला प्रवाह उपयोगकर्ता द्वारा हस्ताक्षरित टोकन अनुमतियों पर निर्भर था जो एक क्लोन किए गए फ्रंट-एंड पर था, न कि बीज वाक्यांश चोरी या मैलवेयर पर।
एक Uniswap-नकली अभियान जिसने नकली Google खोज विज्ञापनों का उपयोग किया, कथित तौर पर एक व्यापारी से कम से कम $400,000 चुरा लिए, जब पीड़ित को एक क्लोन किए गए इंटरफेस पर रूट किया गया और टोकन अनुमतियों को प्रेरित किया गया जिसने निकासी की अनुमति दी। यह मामला "सर्च-से-वॉलेट" को एक फ्रंट-डोर जोखिम के रूप में उजागर करता है जिसे हार्डवेयर वॉलेट स्वाभाविक रूप से रोकते नहीं हैं जब उपयोगकर्ता दुर्भावनापूर्ण अनुरोधों पर हस्ताक्षर करते हैं।
मुख्य बिंदु
- एक Uniswap जैसा दिखने वाला जो Google खोज विज्ञापनों के माध्यम से प्रचारित किया गया था, कथित तौर पर कम से कम $400,000 की चोरी से जुड़ा था जब एक पीड़ित ने उन अनुमतियों को मंजूरी दी जो निकासी की अनुमति देती थीं।
- वर्णित निकासी के लिए seed phrases, मैलवेयर, या टूटी हुई एन्क्रिप्शन की आवश्यकता नहीं थी क्योंकि पीड़ित ने अनुमतियों और लेनदेन पर हस्ताक्षर किए।
- ऑर्गेनिक खोज भी खतरे की सतह का हिस्सा है, जिसमें SEO विषाक्तता, टाइपोसक्वाटिंग, और फ़िशिंग पृष्ठों को शीर्ष परिणामों में धकेलने के लिए समान दिखने वाले अक्षरों का उपयोग किया जाता है।
- हार्डवेयर वॉलेटकीपप्राइवेट कीज़ऑफलाइन, लेकिन वे आमतौर पर उपयोगकर्ता-स्वीकृत अनुरोधों पर हस्ताक्षर करते हैं, भले ही इरादा दुर्भावनापूर्ण हो।
$400,000 का यूनिस्वाप लुकअलाइक विज्ञापन जिसने एक वॉलेट ड्रेन की ओर ले गया
हालिया यूनिस्वाप-नकली अभियान यह दर्शाता है कि जब वितरण हमलावर का लाभ होता है, तो एक वॉलेट को खाली करने के लिए कितनी कम "तकनीकी समझौता" की आवश्यकता होती है। वर्णित घटना में, हमलावरों ने कथित तौर पर एक व्यापारी से कम से कम $400,000 चुराए, जब "यूनिस्वाप" के लिए एक गूगल सर्च क्वेरी ने पृष्ठ के शीर्ष पर एक आधिकारिक प्रायोजित लिस्टिंग दिखाई।
विज्ञापन पर क्लिक करने से पीड़ित को एक क्लोन किए गए यूनिस्वाप-जैसे इंटरफेस पर भेजा गया। वहां से, प्रवाह सामान्य लग रहा था: वॉलेट कनेक्ट करें, नियमित क्रियाएं शुरू करें, और अनुमतियां दें जो आगे बढ़ने के लिए आवश्यक लग रही थीं। नुकसान केवल बाद में स्पष्ट हुआ, जब उन अनुमतियों का उपयोग सीधे वॉलेट से धन निकालने के लिए किया गया।
पैकेट में प्रमुख विवरण सत्यापित नहीं हैं। कथित $400,000 चोरी के लिए कोई लेनदेन हैश, श्रृंखला, वॉलेट प्रकार,एसेटब्रेकडाउन, या सटीक तिथि प्रदान नहीं की गई, और पीड़ित को केवल "एक व्यापारी" के रूप में वर्णित किया गया है। यह अनिश्चितता श्रेय के लिए और सटीक ऑनचेन पथ को मानचित्रित करने के लिए महत्वपूर्ण है, लेकिन यह मुख्य पैटर्न को नहीं बदलता: यह "अनुमत चोरी" थी, जहां पीड़ित के अपने हस्ताक्षर ने ड्रेन को सक्षम किया।
कैसे सर्च परिणाम DeFi फ़िशिंग में पहला कदम बने
खोज उच्च-इरादे वाला ट्रैफ़िक है। एक उपयोगकर्ता "Uniswap," "MetaMask डाउनलोड," या "Ledger Live डाउनलोड" टाइप कर रहा है, जो पहले से ही क्रियान्वयन मोड में है, जिससे शीर्ष-पृष्ठ स्थान स्कैमर्स के लिए असामान्य रूप से मूल्यवान हो जाता है। पैकेट इस बदलाव को स्पष्ट रूप से प्रस्तुत करता है: "खोज इंजन परिणाम चुपचाप सबसे कम आंका जाने वाला कमजोरियों में से एक बन गए हैं।"क्रिप्टोक्यूरेंसीसुरक्षा।
यह वेक्टर आकस्मिक समुदाय पहचान से भी बचता है क्योंकि खोज परिणाम व्यक्तिगत होते हैं। स्थान, ब्राउज़िंग इतिहास और डिवाइस प्रकार एक ही क्वेरी के लिए जो दिखाई देता है, उसे बदल सकते हैं, इसलिए एक व्यापारी एक दुर्भावनापूर्ण प्लेसमेंट देख सकता है जिसे दूसरा व्यापारी पुन: उत्पन्न नहीं कर सकता।
मार्केट्स के लिए दूसरे क्रम का प्रभाव परिचालनात्मक है, कथाात्मक नहीं। जब फ्रंट-डोर फ़िशिंग बढ़ती है, तो यह मजबूर करने की पृष्ठभूमि दर को बढ़ा देती है।लिक्विडेशनऔर "रहस्यमय" वॉलेट आउटफ्लोज, जो पतले ऑनचेन स्थलों में शोर वाले बिक्री दबाव के रूप में दिखाई दे सकते हैं। हमलावर को क्रिप्टोग्राफी को हराने की आवश्यकता नहीं है। उन्हें बस क्लिक जीतने की जरूरत है।
क्यों हार्डवेयर वॉलेट उपयोगकर्ता द्वारा हस्ताक्षरित दुर्भावनापूर्ण अनुमतियों को रोकते नहीं हैं
हार्डवेयर वॉलेट एक काम में मजबूत होते हैं: निजी कुंजियों को ऑफ़लाइन रखना। वे एक अन्य काम में कमजोर होते हैं: इरादे का मूल्यांकन करना। जैसा कि पैकेट में कहा गया है, "एक हार्डवेयर वॉलेट यह विश्वसनीयता से नहीं आंक सकता कि क्या एक लेनदेन उपयोगकर्ता के लिए लाभकारी है।" यदि एक क्लोन किए गए फ्रंट-एंड पर एक दुर्भावनापूर्ण स्वीकृति प्रस्तुत की जाती है और उपयोगकर्ता इसे पुष्टि करता है, तो डिवाइस आमतौर पर जो दिखाया गया है उसे साइन और प्रसारित करेगा।
यह तंत्र आमतौर परटोकन अनुमतियाँ, जिसे भत्ते भी कहा जाता है। एक अनुमति एक स्मार्ट कॉन्ट्रैक्ट को एक वॉलेट से टोकन खर्च करने की अनुमति देती है। एक फ़िशिंग प्रवाह में, उपयोगकर्ता मानता है कि वे नियमित उपयोग के लिए एक वैध कॉन्ट्रैक्ट को अनुमोदित कर रहे हैं, लेकिन अनुमति इस तरह से संरचित की जा सकती है कि एक हमलावर-नियंत्रित कॉन्ट्रैक्ट को बाद में संपत्तियों को स्थानांतरित करने की क्षमता मिल जाए। यही कारण है कि इस अभियान को बीज वाक्यांशों, मैलवेयर, या टूटे हुए एन्क्रिप्शन की आवश्यकता नहीं थी। हस्ताक्षर ही शोषण था।
प्रायोजित लिंक से परे: SEO विषाक्तता, टाइपोसक्वाट्स, और होमोग्लिफ यूआरएल
प्रायोजित लिंक से बचना अधूरा बचाव है। समान फ़िशिंग गंतव्यों तक हेरफेर किए गए जैविक रैंकिंग के माध्यम से पहुंचा जा सकता है, जिसमें SEO विषाक्तता शामिल है, जिसे पैकेट ने "जैविक खोज रैंकिंग का जानबूझकर हेरफेर करना ताकि दुर्भावनापूर्ण पृष्ठ बिना भुगतान किए प्रचार के शीर्ष के करीब दिखाई दें" के रूप में परिभाषित किया है।
हमलावर टाइपोसक्वाटिंग और होमोग्लिफ यूआरएल पर भी निर्भर करते हैं, जहां छोटे वर्तनी परिवर्तन या समान दिखने वाले अक्षर एक नकली डोमेन को तेज़ नज़र की जांच पास करने में मदद करते हैं। आगे देखने वाला सवाल यह है कि क्या खोज इंजन क्रिप्टो-एड प्रवर्तन और विज्ञापनदाता सत्यापन को कड़ा करते हैं, या क्या यह एक व्हैक-ए-मोल खेल बना रहता है जहां अभियान नए खातों और डोमेन के तहत फिर से प्रकट होते हैं।
अधिक तात्कालिक संकेत पारिस्थितिकी तंत्र से आएंगे: खोज में प्रमुख DeFi और वॉलेट ब्रांडों के अनुकरण की अतिरिक्त रिपोर्ट, कथित $400,000 मामले के लिए ऑनचेन साक्ष्य का प्रकाशन, और असामान्य रूप से व्यापक भत्तों पर चेतावनी देने वाले वॉलेट-साइड सिमुलेशन या अनुमति-झंडा लगाने का व्यापक रोलआउट। नए रैंकिंग वाले टाइपोसक्वाट और होमोग्लिफ डोमेन की सामुदायिक निगरानी, इसके बाद तेजी से नष्ट करने और ब्लैकलिस्ट प्रतिक्रियाएँ, यह निर्धारित करने में मदद करेंगी कि यह वेक्टर कितना महंगा हो जाता है।
मार्कस हेले का विचार: व्यापारियों को 'नेविगेशन हाइजीन' प्लेबुक की आवश्यकता है, न कि केवल कुंजी हाइजीन
मैं इसे एक वितरण समस्या के रूप में मानता हूं जो एक सुरक्षा समस्या के रूप में प्रकट हो रही है। हमलावर का लाभ यह है कि वह उपयोगकर्ता के सामने उस क्षण में आता है जब वे व्यापार करना चाहते हैं, फिर उपयोगकर्ता को एक क्लोन किए गए UI पर अनुमोदन पर हस्ताक्षर करके 'समझौता' करने देता है।
जो सीमा महत्वपूर्ण है वह यह है कि क्या वॉलेट और खोज प्लेटफार्मों के बीच कुंजी संरक्षण और लेनदेन के इरादे के बीच की खाई बंद होने लगती है। यदि सिमुलेशन और अनुमति-फ्लैगिंग डिफ़ॉल्ट बन जाते हैं, और यदि खोज इंजन क्रिप्टो विज्ञापनदाता सत्यापन को महत्वपूर्ण रूप से मजबूत करते हैं, तो सेटअप संरचनात्मक लगने लगता है न कि कथा-प्रेरित। यदि नहीं, तो 'खोज-से-वॉलेट' एक स्केलेबल ड्रेन पथ बना रहता है क्योंकि विफलता बिंदु वॉलेट प्रॉम्प्ट के दिखाई देने से पहले ही होता है, और वहीं पैसा होता है।
