Quảng cáo giả mạo Google liên quan đến vụ rút $400,000 từ…
Luồng tấn công dựa vào việc phê duyệt token được ký bởi người dùng trên một giao diện trước được sao chép, không phải là việc đánh cắp cụm từ hạt giống hay phần mềm độc hại.
Một chiến dịch giả mạo Uniswap sử dụng quảng cáo tìm kiếm Google giả mạo đã bị cáo buộc đánh cắp ít nhất 400.000 USD từ một nhà giao dịch sau khi dẫn nạn nhân đến một giao diện bị sao chép và kích thích các phê duyệt token cho phép rút tiền. Vụ việc làm nổi bật "tìm kiếm đến ví" như một rủi ro cửa trước mà ví phần cứng không ngăn chặn một cách tự nhiên khi người dùng ký các yêu cầu độc hại.
Điểm chính
- Một Uniswap giống như thật được quảng bá qua quảng cáo tìm kiếm Google đã liên quan đến một vụ đánh cắp ít nhất 400.000 USD sau khi một nạn nhân phê duyệt các quyền cho phép rút tiền.
- Sự rút tiền được mô tả không yêu cầu cụm từ hạt giống, phần mềm độc hại, hoặc mã hóa bị phá vỡ vì nạn nhân đã ký các phê duyệt và giao dịch.
- Tìm kiếm tự nhiên cũng là một phần của bề mặt mối đe dọa, với việc đầu độc SEO, typosquatting, và các ký tự giống như thật được sử dụng để đẩy các trang lừa đảo vào kết quả hàng đầu.
- Ví phần cứnggiữkhóa riêngngoại tuyến, nhưng chúng thường vẫn ký các yêu cầu được người dùng phê duyệt ngay cả khi ý định là độc hại.
Quảng cáo Giống Uniswap 400.000 USD đã dẫn đến việc rút tiền khỏi ví
Một chiến dịch giả mạo Uniswap gần đây cho thấy có bao nhiêu 'thỏa hiệp kỹ thuật' là cần thiết để làm rỗng một ví khi việc phân phối là lợi thế của kẻ tấn công. Trong sự cố được mô tả, kẻ tấn công bị cáo buộc đã đánh cắp ít nhất 400.000 USD từ một nhà giao dịch sau khi một truy vấn tìm kiếm Google cho 'Uniswap' xuất hiện một danh sách tài trợ chính thức gần đầu trang.
Nhấp vào quảng cáo được báo cáo đã dẫn nạn nhân đến một giao diện giống như Uniswap bị sao chép. Từ đó, quy trình trông có vẻ bình thường: kết nối ví, thực hiện các hành động thông thường và cấp quyền mà có vẻ cần thiết để tiếp tục. Mất mát chỉ trở nên rõ ràng sau đó, khi những quyền đó được sử dụng để rút tiền trực tiếp từ ví.
Các chi tiết chính vẫn chưa được xác minh trong gói. Không có mã giao dịch, chuỗi, loại ví,phân tích tài sảnhoặc ngày chính xác nào được cung cấp cho vụ đánh cắp 400.000 USD bị cáo buộc, và nạn nhân chỉ được mô tả là 'một nhà giao dịch.'
Sự không chắc chắn đó quan trọng cho việc quy trách nhiệm và để lập bản đồ con đường onchain chính xác, nhưng nó không thay đổi mẫu hình cốt lõi: đây là 'trộm có sự cho phép,' nơi chữ ký của chính nạn nhân đã cho phép việc rút tiền.
Cách Kết quả Tìm kiếm Trở Thành Bước Đầu Tiên Trong Lừa Đảo DeFi
Tìm kiếm là lưu lượng truy cập có ý định cao. Một người dùng gõ “Uniswap,” “tải xuống MetaMask,” hoặc “tải xuống Ledger Live” đã ở trong chế độ thực thi, điều này khiến vị trí ở đầu trang trở nên đặc biệt có giá trị đối với kẻ lừa đảo. Gói tin nêu rõ sự thay đổi: “Kết quả của công cụ tìm kiếm đã âm thầm trở thành một trong những điểm yếu bị đánh giá thấp nhất trongtiền điện tử“an ninh.”
Vecto này cũng né tránh việc phát hiện cộng đồng một cách ngẫu nhiên vì kết quả tìm kiếm được cá nhân hóa. Vị trí, lịch sử duyệt web và loại thiết bị có thể thay đổi những gì xuất hiện cho cùng một truy vấn, vì vậy một nhà giao dịch có thể thấy một vị trí độc hại mà một nhà giao dịch khác không thể tái tạo.
Hiệu ứng bậc hai đối với thị trường là hoạt động, không phải là câu chuyện. Khi lừa đảo qua cửa trước gia tăng, nó làm tăng tỷ lệ nền của việc bị ép buộc.thanh lývà các dòng tiền ra từ ví “bí ẩn”, điều này có thể xuất hiện như áp lực bán ồn ào trong các nền tảng onchain mỏng hơn. Kẻ tấn công không cần phải vượt qua được mật mã. Họ chỉ cần thắng trong việc nhấp chuột.
Tại sao Ví Cứng không ngăn chặn được các phê duyệt độc hại do người dùng ký?
Ví phần cứng mạnh mẽ trong một nhiệm vụ: giữ khóa riêng ngoại tuyến. Chúng yếu trong một nhiệm vụ khác: đánh giá ý định. Như gói tin đã nói, “Một ví phần cứng không thể đánh giá một cách đáng tin cậy liệu giao dịch có lợi cho người dùng hay không.” Nếu một giao diện trước bị sao chép trình bày một sự chấp thuận độc hại và người dùng xác nhận, thiết bị thường sẽ ký và phát sóng những gì nó được hiển thị.
Cơ chế thường làphê duyệt token, còn được gọi là khoản cho phép. Một phê duyệt cấp cho một hợp đồng thông minh quyền chi tiêu token từ một ví. Trong một quy trình lừa đảo, người dùng tin rằng họ đang phê duyệt một hợp đồng hợp pháp cho việc sử dụng thường xuyên, nhưng phê duyệt có thể được cấu trúc để cho phép một hợp đồng do kẻ tấn công kiểm soát khả năng chuyển tài sản ra ngoài sau này.
Đó là lý do tại sao chiến dịch này không cần cụm từ hạt giống, phần mềm độc hại, hoặc mã hóa bị lỗi. Chữ ký chính là lỗ hổng.
Ngoài các Liên kết Tài trợ: Độc hại SEO, Typosquats và URL Homoglyph
Tránh các liên kết tài trợ là một sự phòng thủ không đầy đủ. Các điểm đến lừa đảo tương tự có thể được tiếp cận thông qua các xếp hạng tự nhiên bị thao túng, bao gồm độc hại SEO, mà gói định nghĩa là “sự thao túng có chủ đích các xếp hạng tìm kiếm tự nhiên để các trang độc hại xuất hiện gần đầu mà không cần quảng cáo trả tiền.”
Các kẻ tấn công cũng dựa vào typosquatting và URL homoglyph, nơi những thay đổi chính tả nhỏ hoặc các ký tự giống nhau khiến một miền giả có thể vượt qua một cái nhìn nhanh. Câu hỏi hướng tới là liệu các công cụ tìm kiếm có thắt chặt việc thực thi quảng cáo crypto và xác minh nhà quảng cáo hay không, hoặc liệu điều này vẫn là một trò chơi whack-a-mole nơi các chiến dịch xuất hiện lại dưới các tài khoản và miền mới.
Các tín hiệu ngay lập tức hơn sẽ đến từ chính hệ sinh thái: các báo cáo bổ sung về các thương hiệu DeFi và ví lớn bị giả mạo trong tìm kiếm, công bố bằng chứng onchain cho vụ việc bị cáo buộc trị giá 400.000 đô la, và việc triển khai rộng rãi hơn về mô phỏng bên ví hoặc đánh dấu quyền cho phép cảnh báo về các khoản cho phép bất thường.
Việc cộng đồng giám sát các miền typosquat và homoglyph mới xếp hạng, theo sau là phản ứng nhanh chóng để gỡ bỏ và đưa vào danh sách đen, sẽ xác định xem vector này trở nên tốn kém như thế nào.
Quan điểm của Marcus Hale: Các nhà giao dịch cần một cuốn sổ tay 'vệ sinh điều hướng', không chỉ là vệ sinh khóa
Tôi coi đây là một vấn đề phân phối giả dạng như một vấn đề bảo mật. Lợi thế của kẻ tấn công là xuất hiện trước mặt người dùng vào đúng thời điểm họ muốn giao dịch, sau đó để người dùng tự thực hiện 'thỏa hiệp' bằng cách ký phê duyệt trên giao diện người dùng bị sao chép.
Ngưỡng quan trọng là liệu các ví và nền tảng tìm kiếm có bắt đầu thu hẹp khoảng cách giữa việc giữ khóa và ý định giao dịch hay không. Nếu mô phỏng và đánh dấu quyền trở thành mặc định, và nếu các công cụ tìm kiếm củng cố một cách có ý nghĩa việc xác minh quảng cáo tiền điện tử, thì thiết lập bắt đầu trông giống như cấu trúc hơn là dựa trên câu chuyện.
Nếu không, 'tìm kiếm-đến-ví' vẫn là một con đường thoát quy mô vì điểm thất bại xảy ra trước khi lời nhắc ví xuất hiện, và đó là nơi có tiền.
