인터넷상의 비트코인 생태계에 대한 가장 심층적인 피싱 방지 가이드
원저자: OneKey 중국어(X: @OneKeyCN)
편집자 주: Taproot 및 Segwit의 업그레이드는 BTC 네트워크에 새로운 기능을 도입했으며 블록 데이터를 간접적으로 확장할 수 있게 하여 2023년 이후 BTC 생태계 폭발에 기여했습니다. 그러나 새로운 자산과 기능의 도입으로 인해 새로운 보안 문제도 발생합니다. 제한된 보안 인프라로 BTC 생태계에서 자산 보안을 극대화하는 방법은 무엇입니까? OneKey Chinese는 비트코인 생태계 플레이어를 위한 피싱 방지 가이드를 준비했으며, Odaily는 이를 다음과 같이 편집했습니다:
2021년 말, Taproot 업그레이드가 블록 709, 632에서 시행되었습니다. 당시 사람들은 이더리움 NFT 열풍에 푹 빠져 있었고 이것이 BTC의 가장 부 창출적인 업그레이드가 될 것이라는 것을 아무도 몰랐습니다.
Taproot 및 Segwit 업그레이드는 BTC 네트워크에 새로운 기능을 도입했으며, 블록 데이터를 간접적으로 확장(1MB에서 4MB까지)할 수 있게 했으며, 이는 2023년부터 현재까지 BTC 생태계 폭발의 계기가 되었습니다. Taproot Assets, Ordinals BRC-20, ARC-20, Runes 등과 같은 새로운 자산의 출현으로 인해 Taproot의 전송 채택률도 절반 이상으로 유지되었습니다.
그러나 새로운 자산과 기능이 도입되면서새로운 보안 과제。
비트코인 생태계는 이더리움 생태계와 다른 기본 모델을 가지고 있습니다. 구축해야 할 것이 많다, 이해의 문턱이 상대적으로 높다는 BTC 신자산 생태계의 현 상황은 많은 사용자들을 설레게 만드는 것으로 여겨지며, 이는 결국 부자가 될 수 있는 기회를 의미하는 경우가 많습니다.
그러나 이는 또한 안전한 작동에 대한 사용자의 인식에 대한 새로운 요구 사항을 제시할 것입니다. 그렇지 않으면 이를 알지 못한 채 코인을 잃어버리기 쉬울 것입니다. 이전 사고와 같이 Atomic 시장에서 서명 유형을 잘못 사용하여 해커 공격으로 이어지는 사건도 있었습니다.
아래에서 OneKey는 제한된 보안 인프라로 BTC 생태계에서 자산 보안을 최대한 보호하고 피싱을 방지하는 방법을 간단한 용어로 설명합니다.
Taproot 업그레이드의 구체적인 영향에 대한 간략한 분석
구체적인 피싱 방지 조치를 설명하기 전에 Taproot 업그레이드의 영향을 먼저 설명해야 합니다.
앞서 언급한 BTC 다중 자산 생태계의 번영을 간접적으로 촉진하는 것 외에도 실제로 BTC 거래의 바닥에는 Schnorr 서명과 MAST 기술이라는 두 가지 큰 변화가 일어났습니다. 이 두 가지를 PSBT(부분 서명 거래)와 결합하면 해커에게 피싱에 더 많은 공간이 제공됩니다.
하나는 Schnorr 서명입니다. 맞습니다. 이번 업그레이드는 백서의 ECDSA 서명을 대체했습니다. 이 서명의 기술적 특징은 여러 개의 서명이나 공개키가 하나로 통합된다는 것입니다. 과거에는 확인을 위해 여러 서명이 필요했던 작업을 이제는 한 번만 확인하면 되므로 서명이 차지하는 공간이 직접적으로 줄어듭니다.
하나는 MAST 기술입니다. 전자가 집계된 서명인 경우 MAST는 여러 스크립트를 집계하는 데 사용됩니다(스크립트의 경우 비트코인의 제한된 스마트 계약으로 이해할 수 있음). 동시에 지출 잠금 해제 확인을 위해 제출할 때 지출 조건 중 하나만 확인하면 됩니다. 조건이 많은 복잡한 스크립트가 차지하는 공간을 대폭 줄일 수 있습니다.
이 두 가지 기술은 개인 정보 보호에 가장 큰 영향을 미치며 보안 위험의 여지도 내포하고 있습니다.
전송 기록의 경우 모든 UTXO 전송은 업그레이드 후에도 동일하게 보입니다. Mempool에서는 전송 유형이 P2TR로 표시되며 주소는 모두 bc1p로 시작하는 동일한 길이의 주소입니다.
기존에는 일반 주소(P2PKH/P2WPKH)로 전송하는 것과 스크립트 주소(P2SH/P2WSH)로 전송하는 것을 쉽게 구분할 수 있었습니다.
이제 다른 사람들이 UTXO를 사용하는 것을 보기 전에는 일반 주소로 전송하는 것과 스크립트 주소로 전송하는 것의 차이를 알 수 없습니다.
스크립트의 경우 채굴자 검증은 스크립트의 지출 조건 하나만 노출하면 되며, 다른 분기 스크립트는 외부 세계에 알려지지 않습니다.
비트코인 생태계의 새로운 자산 피싱을 방지하기 위한 5가지 팁
분명히 현재 BTC 레이어 자산 생태계의 보안 인프라는 이더리움보다 강력하지 않으며 사용자가 먼저 이해하고 배워야 할 사항이 많습니다.
동시에 피싱의 원리는 이더리움의 원리와 다르며, 많은 피싱 공격은 발견되기 전에 전체 시장에서 잘 이해되지 않을 수 있습니다. 예를 들어 Atomic 시장의 *SIGNHASH_NONE 서명 보안 사고와 Unisat/Xverse 지갑도 나중에 보안 알림을 추가했습니다.
(1) 첫 번째 비결: 암호화 보안의 흔한 기본 기술
즉, 개인 키의 오프라인 저장 보안에 주의하고, 신뢰할 수 있는 웹사이트인지 여부에 주의하고, 컴퓨터가 트로이 목마 바이러스 등에 감염되지 않도록 보호하는 데 주의를 기울이십시오.
그러나 FOMO 시장에서 사용자는 신뢰 합의가 형성되기 전에 새로운 프로젝트를 서두르고 싶어할 수 있으며, 이때 다음 몇 가지 트릭이 특히 중요합니다.
(2) 두 번째 요령: 입력과 출력을 명확하게 합니다.
이더리움에는 블라인드 서명이 있습니다. 즉, 서명할 때 지갑이 구문 분석하지 않으면 엉망인 문자만 볼 수 있고 서명 후 자산에 어떤 일이 일어날지 예측할 수 없습니다. 이는 또한 동전을 잃을 위험이 있습니다.
비트코인에서는 거래의 입력과 출력이 명확하게 정의되어야 하며 입력과 출력의 해당 전송 주소도 명확하게 정의되어야 합니다. (즉, 그것은 어디서 왔는지, 얼마나 많은 동전이 왔는지 그리고 그것은 어디로 갔는지, 얼마나 많은 동전이 갔는가입니다.)
서명 시 PSBT 사용 여부에 관계없이 거래 전후에 발생하는 변경 사항이 지갑에 명확하게 표시됩니다. 따라서 입력과 출력이 기대에 부합하는지 확인하는 것이 매우 중요합니다.
예를 들어, 해커가 모든 Ordinals NFT를 한 번에 훔치려는 경우 거래 입력(INPUT)에는 모든 Ordinals NFT가 입력되었음을 확실히 표시합니다. 동시에 출력(OUTPUT)에는 이상한 주소로 이동했음이 표시됩니다.
Unisat를 사용하여 MagicEden에서 Ordinals NFT를 주문하는 경우를 예로 들어 보겠습니다. MagiEden 마켓에서 하나 이상의 비문 NFT를 주문하면 팝업 PSBT 서명 요청에 거래의 입력(INPUT)이 귀하의 비문 또는 여러 비문 중 하나임을 표시하고 출력이 표시됩니다. 거래가 성공하면 얻을 수 있는 비트코인 수를 받게 됩니다.
(3) 세 번째 요령: 서명 유형에 주의하세요.
여기에서 비트코인의 현재 서명 유형에 대한 일반적인 소개를 볼 수 있습니다(https://btcstudy.org/2021/11/09/bitcoin-signature-types-sighash/…）。
여기서 주의가 필요한 유일한 서명 유형은 SIGHASH_NONE(0x02) 및 SIGHASH_NONE - SIGHASH_ANYONECANPAY(0x82)입니다. 이 두 가지 모두 트랜잭션 출력에 관계없이 트랜잭션 입력에만 서명한다는 의미입니다.
거래 비문 자산의 경우 안전 서명 유형은 SIGHASH_SINGLE - SIGHASH_ANYONECANPAY(0x83)이어야 하며 PSBT를 통해 신뢰 없이 완전한 거래를 구성할 수 있습니다. 이는 MagicEden 및 OKX와 같은 주류 비문 거래 시장에서 사용되는 서명 유형이기도 합니다.
SIGHASH_NONE - SIGHASH_ANYONECANPAY(0x 82) 서명을 사용하는 Atomic 시장의 이전 실수를 예로 들어 보겠습니다.
Atom 비문 자산을 주문할 때 서명할 때 올바른 입력 및 출력이 표시됩니다. 즉, 내가 주문한 자산이 입력에 있고 출력에도 내가 할 수 있는 돈이 포함되어 있음을 지정합니다. 받다.
그러나 해커는 PSBT 수정 출력을 완전히 얻을 수 있으며, 제출된 거래도 채굴자에 의해 패키지화되어 궁극적으로 보류 중인 주문에 대한 돈을 받을 수 없게 됩니다. 간단히 말해서, 사용된 서명형은 입력 부분에만 서명을 하게 되어 결국 제로달러 구매로 이어지기 때문입니다.
다행스럽게도 Unisat 및 Xverse와 같은 현재 주류 BTC 생태 지갑은 이미 알림 강조 표시 또는 SIGHASH_NONE과 같은 서명 유형 금지를 지원합니다. 관련 서명 유형에 대한 프롬프트가 표시되면 특별한 목적이 아닌 이상 이 서명을 사용하지 마십시오.
(4) 네 번째 팁: 스크립트를 사용할 때 주의하세요
프로젝트나 플랫폼에서 자산을 스크립트 주소로 전송해야 하는 경우 각별히 주의해야 합니다. 서명할 때 출력에서 자산이 익숙하지 않은 주소로 이동하는 것을 볼 수 있습니다.
이전 내용에 따르면 Taproot가 업그레이드된 후 스크립트 주소와 사용자 개인 키 주소가 동일한 것을 알 수 있습니다.
도둑이 개인키 주소를 이용해 스푸핑을 시도할 경우, 받은 자산을 직접 양도할 수 있다. 실제 스크립트 주소인 경우. 이는 스크립트 주소의 전체 내용을 공개하는지 여부에 따라 다릅니다. 불완전한 콘텐츠가 게시되면 사용자는 일반적으로 사용 중에 자산에 서명하고 전송할 수 있지만 하나 이상의 악의적인 UTXO 잠금 해제 조건이 숨겨질 수 있습니다. 미래의 어느 날, 모든 UTXO 자산이 갑자기 폐쇄되어 이전될 수도 있습니다.
전체 스크립트를 오픈소스로 공개하더라도 현재 시중에 나와 있는 지갑에는 스크립트 MAST의 무결성과 출력 주소의 일치성을 검증하는 기능이 없기 때문에 기술에 능숙한 사용자는 Taproot의 알고리즘을 사용하여 확인해야 합니다. 아니면 프로젝트와 팀을 매우 신뢰하십시오.
다행스럽게도 현재 애플리케이션의 경우 다양한 비문 자산의 거래에는 복잡한 스크립트를 사용할 필요가 없으며 PSBT(부분 서명 거래)를 사용하여 입력 및 출력을 지정할 수 있습니다.
그러나 향후 BTC L2 작업에는 복잡하고 다중 조건의 비트코인 스크립트가 포함될 가능성이 높습니다. 예를 들어 바빌론(@babylon_chain)의 비트코인 스테이킹 스크립트는 상대적으로 복잡한 슬래싱 논리와 잠금 해제 논리를 가지고 있습니다.
비트코인 스크립트의 기본 스테이킹 방법을 사용하려면 스크립트를 오픈 소스로 공개하고 보안 및 무결성을 확인하는 것이 특히 중요합니다. 그렇지 않으면 사용자는 프로젝트 측을 절대적으로 신뢰해야 합니다.
(5) 다섯 번째 팁: 안전 개발에 주의를 기울이고 발생하기 전에 예방 조치를 취하세요.
최신 피싱 기술을 따라잡고 가능한 한 빨리 경고를 받을 수 있도록 보안 분야의 주요 계정에 주의를 기울이십시오. SlowMist와 같은 코사인@evilcos, 고플러스 보안 담당자@GoPlusSecurity、Scam Sniffer@realScamSniffer, OneKey 공식 계정@OneKeyCN 。
문제가 발생하기 전에 예방하는 것과 관련하여 다른 곳의 보안 경험을 이전할 수 있습니다. 예를 들어, 이더리움에는 이러한 피싱 방법이 있습니다. 즉, 유사한 머리와 꼬리로 주소를 구성하여 사용자가 실수로 기록을 복사하여 자산을 잃게 만드는 피싱 방법이 있습니다. BTC 서명 거래를 구성할 때 출력 주소가 명확하게 확인되지 않아 함정에 빠질 수도 있습니다.
Unisat/Xverse와 같은 주류 BTC 생태 지갑에서는 Taproot 주소가 bc1px…e9wh0(예)으로 표시되며 bc1p는 Taproot 주소의 고정된 시작 부분입니다.
이는 확인을 위해 6글자만 표시하는 것과 같습니다. 공통 주소록 기능을 가지고 있으며 기본적으로 이더리움 지갑의 표준으로 10자리 이상의 숫자를 표시하는데 이는 분명히 충분하지 않습니다.
이는 해커가 일치하는 주소를 생성하여 맞춤형 피싱을 수행하는 것이 상당히 가능하다는 것을 의미합니다(비트코인에서는 아직 많지는 않지만).
따라서 극단적인 일을 하다가 싹을 틔운 경우에는 주소를 최대한 완벽하게 확인해야 합니다.
그래도...
Study Bitcoin.
Study Bitcoin Security.
Taproot가 비트코인에 새로운 자산과 새로운 시나리오를 도입함에 따라 우리는 새로운 형태의 보안 위협, 특히 진화하는 피싱 기술에 대해서도 배워야 합니다.
특히 생태 인프라가 불완전한 지금은 잘 계획된 낚시는커녕 코인 분실, 코인 소각 등의 오작동도 수시로 발생하고 있습니다.
마지막으로 OneKey는 항상 보안을 최우선으로 생각하며 기술 발전에 발맞추고 공유 보안 정책을 업데이트합니다. BTC 생태계는 이번 강세장의 주역 중 하나이며, 우리는 BTC 생태계의 보안 문제에 지속적으로 관심을 갖고 보다 안전한 암호화폐 자산 환경을 촉진하고 구축하기 위해 함께 노력할 것입니다.
