Uniswap'ı taklit eden sahte Google reklamları $400,000'lık…
Saldırı akışı, bir kopyalanmış ön uçta kullanıcı imzalı token onaylarına dayanıyordu, seed phrase çalınmasına veya kötü amaçlı yazılıma değil.
Sahte Google Arama reklamları kullanan bir Uniswap taklit kampanyası, mağduru klonlanmış bir arayüze yönlendirip, çekim işlemlerini mümkün kılan token onaylarını aldırarak bir tüccardan en az 400.000 dolar çaldı. Bu durum, donanım cüzdanlarının kullanıcıların kötü niyetli talepleri imzaladığında doğrudan önleyemediği 'arama-cüzdan' riskini öne çıkarıyor.
Anahtar Çıkarımlar
- Bir Uniswap benzeri, Google Arama reklamları aracılığıyla tanıtıldı ve bir mağdurun çekim işlemlerini mümkün kılan izinleri onaylamasının ardından en az 400.000 dolarlık bir hırsızlıkla ilişkilendirildi.
- Açıklanan akıtma işlemi, seed phrases, kötü amaçlı yazılım veya kırık şifreleme gerektirmedi çünkü mağdur onayları ve işlemleri imzaladı.
- Organik arama da tehdit yüzeyinin bir parçasıdır; SEO zehirlenmesi, yazım hatası kullanımı ve taklit karakterler, oltalama sayfalarını en üst sonuçlara itmek için kullanılır.
- Donanım cüzdanlarıtutmaközel anahtarlarçevrimdışı, ancak genellikle niyet kötü niyetli olsa bile kullanıcı onaylı istekleri imzalarlar.
$400,000'lık Uniswap Benzeri Reklamın Cüzdan Boşaltmasına Yol Açması
Son zamanlarda gerçekleşen bir Uniswap taklit kampanyası, dağıtımın saldırganın avantajı olduğu durumlarda bir cüzdanı boşaltmak için ne kadar az “teknik uzlaşma” gerektiğini göstermektedir. Tanımlanan olayda, saldırganların bir tüccardan en az 400.000 dolar çaldığı iddia ediliyor; bu, “Uniswap” için yapılan bir Google Arama sorgusunun sayfanın üst kısmında resmi bir sponsorlu liste gibi görünen bir sonuç çıkarması sonrasında gerçekleşti.
Reklama tıklamak, kurbanı klonlanmış bir Uniswap benzeri arayüze yönlendirdiği bildirildi. Oradan akış normal görünüyordu: cüzdanı bağla, rutin işlemleri başlat ve devam etmek için gerekli görünen onayları ver. Kaybın yalnızca daha sonra, bu izinlerin cüzdandan doğrudan fon çekmek için kullanıldığında belirgin hale geldiği anlaşıldı.
Paket içinde anahtar detaylar doğrulanmamış durumda. Hiçbir işlem hash'i, zincir, cüzdan türü,varlıkİddia edilen 400.000 dolarlık hırsızlık için bir ayrıntı veya kesin bir tarih verilmedi ve mağdur sadece “bir trader” olarak tanımlandı. Bu belirsizlik, atıf için ve tam onchain yolunu haritalamak için önemlidir, ancak temel modeli değiştirmez: bu, mağdurun kendi imzalarının akışı sağladığı “izinli hırsızlık”tı.
Arama Sonuçları Nasıl DeFi Phishing'inde İlk Adım Haline Geldi
Arama yüksek niyetli trafiği temsil eder. 'Uniswap', 'MetaMask indir' veya 'Ledger Live indir' yazan bir kullanıcı zaten uygulama modundadır, bu da sayfanın üst kısmındaki yerleşimi dolandırıcılar için alışılmadık derecede değerli kılar.
Paket bu değişimi açıkça çerçeveliyor: 'Arama motoru sonuçları sessizce en çok göz ardı edilen zayıflıklardan biri haline geldi, 'kripto para' güvenliği.'Bu vektör ayrıca sıradan topluluk tespitinden kaçıyor çünkü arama sonuçları kişiselleştirilmiş. Konum, tarayıcı geçmişi ve cihaz türü aynı sorgu için görüneni değiştirebilir, bu nedenle bir yatırımcı kötü niyetli bir yerleşim görebilirken, diğer bir yatırımcı bunu tekrar edemez.Pazarlar için ikinci dereceden etki operasyoneldir, anlatı değil. Ön kapı oltalama ölçeklendiğinde, zorunlu 'tasfiyelerin' ve 'gizemli' cüzdan çıkışlarının arka plan oranını artırır, bu da daha ince on-chain alanlarda gürültülü satış baskısı olarak görünebilir. Saldırganın kriptografiyi yenmesine gerek yok. Tek yapmaları gereken tıklamayı kazanmaktır.
Donanım Cüzdanları Neden Kullanıcı İmzalı Kötü Niyetli Onayları Durdurmaz
Donanım cüzdanları bir işte güçlüdür: özel anahtarları çevrimdışı tutmak. Diğer bir işte zayıftırlar: niyeti değerlendirmek. Paket bunu şöyle ifade ediyor: 'Bir donanım cüzdanı, bir işlemin kullanıcıya fayda sağlayıp sağlamadığını güvenilir bir şekilde değerlendiremez.'
Eğer bir klon ön yüz kötü niyetli bir onay sunuyorsa ve kullanıcı bunu onaylarsa, cihaz genellikle gösterildiği şeyi imzalar ve yayınlar.Mekanizma genellikleArama motorları, kullanıcıların niyetlerini anlamakta zayıf kalıyor.
Kötü niyetli onaylar, kullanıcıların cüzdanlarında beklenmedik sonuçlara yol açabilir.
Donanım cüzdanları, çevrimdışı güvenlik sağlarken, çevrimiçi tehditlere karşı yeterince koruma sunmaz.
Kullanıcıların dikkatli olması gereken birçok tuzak var.token onayları, aynı zamanda izinler olarak da adlandırılır. Bir onay, bir akıllı sözleşme cüzdandan token harcama izni verir. Bir oltalama akışında, kullanıcı, rutin kullanım için meşru bir sözleşmeyi onayladığını düşünür, ancak onay, bir saldırganın kontrolündeki sözleşmeye daha sonra varlıkları transfer etme yetkisi verecek şekilde yapılandırılabilir.
Bu nedenle bu kampanyanın seed kelimelere, kötü amaçlı yazılımlara veya bozuk şifrelemeye ihtiyacı yoktu. İmza, istismardı.
Sponsorlu Bağlantıların Ötesinde: SEO Zehirlenmesi, Yazım Hataları ve Homoglif URL'ler
Sponsorlu bağlantılardan kaçınmak, eksik bir savunmadır. Aynı oltalama hedeflerine, SEO zehirlenmesi de dahil olmak üzere manipüle edilmiş organik sıralamalar aracılığıyla ulaşılabilir; paket, bunu “kötü niyetli sayfaların ödenmiş tanıtım olmadan en üstte görünmesi için organik arama sıralamalarının kasıtlı olarak manipüle edilmesi” olarak tanımlar.
Saldırganlar ayrıca, küçük yazım değişiklikleri veya benzer karakterlerin kullanıldığı yazım hataları ve homoglif URL'lerine de başvuruyor; bu, sahte bir alan adının hızlı bir göz kontrolünden geçmesini sağlıyor.
İleriye dönük soru, arama motorlarının kripto reklam uygulamalarını ve reklamveren doğrulamasını sıkılaştırıp sıkılaştırmayacağı ya da bu durumun yeni hesaplar ve alan adları altında yeniden ortaya çıkan bir whack-a-mole oyunu olup olmayacağıdır.
Daha acil sinyaller, ekosistemden gelecek: arama motorlarında büyük DeFi ve cüzdan markalarının taklit edildiğine dair ek raporlar, iddia edilen 400.000 dolarlık dava için onchain kanıtların yayınlanması ve olağandışı geniş izinler konusunda uyarı yapan cüzdan tarafı simülasyonu veya izin bayrağı uygulamasının daha geniş bir şekilde devreye alınması.
Yeni sıralanan yazım hatası ve homoglif alan adları için topluluk izleme, ardından hızlı bir kaldırma ve kara liste yanıtları, bu vektörün ne kadar maliyetli hale geleceğini belirleyecektir.
Marcus Hale’in Görüşü: Tüccarların Sadece Anahtar Hijyeni Değil, ‘Navigasyon Hijyeni’ Oyun Kitabına İhtiyacı Var
Bunu bir güvenlik problemi olarak maskelemeye çalışan bir dağıtım problemi olarak görüyorum. Saldırganın avantajı, bir kullanıcının ticaret yapmak istediği tam anda önüne geçmek ve ardından kullanıcının klonlanmış bir kullanıcı arayüzünde onay imzalayarak ‘uzlaşmayı’ kendisinin yapmasına izin vermektir.
Önemli olan eşik, cüzdanların ve arama platformlarının anahtar saklama ile işlem niyeti arasındaki farkı kapatmaya başlayıp başlamadığıdır. Eğer simülasyon ve izin bayraklama varsayılan hale gelirse ve arama motorları kripto reklamveren doğrulamasını anlamlı bir şekilde güçlendirirse, bu yapı anlatı odaklı değil, yapısal görünmeye başlar.
Aksi takdirde, ‘arama-cüzdan’ ölçeklenebilir bir boşaltma yolu olmaya devam eder çünkü başarısızlık noktası, cüzdan istemi bile görünmeden önce gerçekleşir ve para tam olarak oradadır.
