تواجه المحفظة المحمولة Web3 تهديدات جديدة من التصيد: هجمات التصيد النموذجية

في الآونة الأخيرة، تم اكتشاف تقنية جديدة للتصيد، قد تضلل المستخدمين عند الاتصال بتطبيقات لامركزية (DApp) مما يؤدي إلى اتخاذ قرارات خاطئة. وقد تم تسمية هذا الهجوم الجديد "هجوم التصيد النمطي" (Modal Phishing).

المهاجمون يقومون بإرسال معلومات مزورة إلى المحفظة المحمولة، متظاهرين بأنهم DApp شرعي، ويعرضون محتوى مضللاً في نافذة المحفظة، مما يخدع المستخدمين للموافقة على الصفقة. هذه الطريقة أصبحت مستخدمة على نطاق واسع حالياً. قال مطورو المكونات ذات الصلة أنهم سيطلقون واجهة برمجة تطبيقات جديدة للتحقق للحد من المخاطر.

مبدأ هجمات التصيد الاحتيالي

عند إجراء أبحاث الأمان على المحفظة المحمولة، اكتشف الباحثون أن بعض عناصر واجهة المستخدم في محافظ Web3 يمكن أن يتحكم فيها المهاجمون، مما يسهل تنفيذ التصيد. يُطلق عليه "صيد النماذج" لأن الهجمات تستهدف بشكل أساسي النوافذ النموذجية لمحافظ التشفير.

نافذة الحالة هي عنصر واجهة مستخدم شائع في التطبيقات المحمولة، وعادة ما تظهر في أعلى النافذة الرئيسية، وتستخدم للعمليات السريعة، مثل الموافقة/رفض طلبات المعاملة. توفر تصميمات الحالة الشائعة لمحافظ Web3 المعلومات الضرورية لفحصها من قبل المستخدم، بالإضافة إلى أزرار الموافقة أو الرفض.

ومع ذلك، قد يتم التلاعب بهذه العناصر من قبل المهاجمين. على سبيل المثال، يمكن للمهاجمين تغيير تفاصيل المعاملة، وتزييف الطلب ك"تحديث أمان" قادم من "Metamask"، مما يؤدي إلى خداع المستخدمين للموافقة.

حالتان نموذجيتان للهجمات

1. هجوم تصيد عبر Wallet Connect على DApp

بروتوكول Wallet Connect هو بروتوكول مفتوح المصدر شائع، يُستخدم لربط محفظة المستخدم وDApp من خلال رمز الاستجابة السريعة أو رابط عميق. أثناء عملية الاقتران، ستعرض محفظة Web3 نافذة نموذجية تُظهر معلومات الميتا الخاصة بالطلب الوارد، بما في ذلك اسم DApp، وعنوان الموقع، ورمز، ووصف.

المشكلة هي أن هذه المعلومات مقدمة من DApp، ولا تتحقق المحفظة من صحتها. يمكن للمهاجمين انتحال DApp شرعي، وخداع المستخدمين للاتصال والموافقة على المعاملات.

2. من خلال MetaMask التصيد بمعلومات العقود الذكية

تظهر MetaMask نوع المعاملة في وضع الموافقة، مثل "Confirm" أو "Unknown Method". يتم الحصول على هذا العنصر من واجهة المستخدم من خلال قراءة بايتات التوقيع للعقد الذكي واستعلام سجل الأساليب على السلسلة.

يمكن للمهاجمين إنشاء عقد ذكي للتصيد، وتسجيل توقيع الأسلوب كسلسلة مضللة، مثل "SecurityUpdate". عندما يقوم MetaMask بتحليل هذا العقد، سيظهر هذا الاسم المضلل للمستخدم في نموذج الموافقة.

نصائح الوقاية

1. يجب على مطوري المحفظة افتراض أن البيانات الخارجية غير موثوقة دائمًا، واختيار المعلومات التي تعرض للمستخدمين بعناية والتحقق من مشروعيتها.

2. يمكن اعتبار بروتوكول Wallet Connect للتحقق المسبق من صحة وشرعية معلومات DApp.

3. يجب على تطبيق المحفظة مراقبة المحتوى المقدم للمستخدم، وتصفيه الكلمات التي قد تُستخدم في هجمات التصيد.

4. يجب على المستخدم أن يظل يقظاً تجاه كل طلب تداول غير معروف، والتحقق بعناية من تفاصيل التداول.

بشكل عام، السبب الجذري لهجمات التصيد Modal هو أن تطبيقات المحفظة لم تتمكن من التحقق بشكل كامل من شرعية عناصر واجهة المستخدم المقدمة. يحتاج المطورون والمستخدمون إلى أن يكونوا أكثر حذراً للحفاظ على أمان بيئة Web3.