คู่มือต่อต้านฟิชชิ่งเชิงลึกที่สุดสำหรับระบบนิเวศ Bitcoin บนอินเทอร์เน็ต
ผู้เขียนต้นฉบับ: OneKey Chinese (X: @OneKeyCN)
หมายเหตุบรรณาธิการ: การอัพเกรด Taproot และ Segwit ได้นำเสนอคุณสมบัติใหม่ให้กับเครือข่าย BTC และยังอนุญาตให้ข้อมูลบล็อกสามารถขยายทางอ้อมได้ ซึ่งมีส่วนทำให้เกิดการระเบิดของระบบนิเวศ BTC ตั้งแต่ปี 2023 อย่างไรก็ตาม การเปิดตัวสินทรัพย์และฟีเจอร์ใหม่ยังมาพร้อมกับความท้าทายด้านความปลอดภัยใหม่ๆ อีกด้วย จะเพิ่มความปลอดภัยของสินทรัพย์ในระบบนิเวศ BTC ด้วยโครงสร้างพื้นฐานความปลอดภัยที่จำกัดได้อย่างไร OneKey Chinese ได้จัดทำคู่มือต่อต้านฟิชชิ่งสำหรับผู้เล่นในระบบนิเวศ Bitcoin Odaily ได้รวบรวมไว้ดังนี้:
ในช่วงปลายปี 2021 การอัปเกรด Taproot มีผลที่บล็อก 709, 632 ในเวลานั้น ผู้คนหมกมุ่นอยู่กับความนิยมของ Ethereum NFT และไม่มีใครรู้ว่านี่จะเป็นการอัพเกรด BTC ที่ สร้างความมั่งคั่ง มากที่สุด
การอัพเกรด Taproot และ Segwit ได้นำเสนอคุณสมบัติใหม่ให้กับเครือข่าย BTC และยังอนุญาตให้ขยายข้อมูลบล็อกทางอ้อม (เทียบเท่า 1 MB ถึง 4 MB) ซึ่งกลายเป็นจุดชนวนให้เกิดการระเบิดของระบบนิเวศ BTC ตั้งแต่ปี 2566 จนถึงปัจจุบัน การเกิดขึ้นของสินทรัพย์ใหม่ เช่น Taproot Assets, Ordinals BRC-20, ARC-20, Runes ฯลฯ ยังทำให้อัตราการรับโอนของ Taproot อยู่ที่ครึ่งหนึ่งหรือมากกว่านั้น
อย่างไรก็ตาม การเปิดตัวสินทรัพย์และฟีเจอร์ใหม่ๆ ก็มาพร้อมกับความท้าทายด้านความปลอดภัยใหม่。
ระบบนิเวศของ Bitcoin มีโมเดลพื้นฐานที่แตกต่างจากระบบนิเวศของ Ethereum สถานการณ์ปัจจุบันในระบบนิเวศสินทรัพย์ใหม่ของ BTC ซึ่ง จำเป็นต้องสร้างหลายสิ่ง และ เกณฑ์ในการทำความเข้าใจค่อนข้างสูง เชื่อกันว่าทำให้ผู้ใช้หลายคนตื่นเต้น - ท้ายที่สุดแล้ว นี่มักจะหมายถึงโอกาสที่จะ รวย
แต่สิ่งนี้ยังจะทำให้เกิดข้อกำหนดใหม่สำหรับการรับรู้ของผู้ใช้เกี่ยวกับการดำเนินงานที่ปลอดภัย มิฉะนั้นจะสูญเสียเหรียญได้ง่ายโดยไม่รู้ตัว มีเหตุการณ์ต่างๆ เช่น อุบัติเหตุครั้งก่อนซึ่งตลาด Atomic ใช้ประเภทลายเซ็นอย่างไม่ถูกต้อง ซึ่งนำไปสู่การโจมตีของแฮ็กเกอร์
ด้านล่างนี้ OneKey อธิบายด้วยคำศัพท์ง่ายๆ ถึงวิธีการปกป้องความปลอดภัยของสินทรัพย์ในระดับสูงสุด และป้องกันฟิชชิ่งในระบบนิเวศ BTC ด้วยโครงสร้างพื้นฐานความปลอดภัยที่จำกัด
การวิเคราะห์โดยย่อเกี่ยวกับผลกระทบเฉพาะของการอัพเกรด Taproot
ก่อนที่จะอธิบายมาตรการป้องกันฟิชชิ่งโดยเฉพาะ เราต้องอธิบายผลกระทบของการอัพเกรด Taproot ก่อน
นอกเหนือจากการส่งเสริมความเจริญรุ่งเรืองทางอ้อมที่กล่าวถึงก่อนหน้านี้ของระบบนิเวศหลายสินทรัพย์ BTC แล้ว การเปลี่ยนแปลงครั้งใหญ่ได้เกิดขึ้นจริงที่ด้านล่างของธุรกรรม BTC โดยส่วนใหญ่มีสองประการ: ลายเซ็น Schnorr และเทคโนโลยี MAST การรวมกันของทั้งสองสิ่งนี้กับ PSBT (ธุรกรรมลายเซ็นบางส่วน) ช่วยให้แฮกเกอร์มีพื้นที่มากขึ้นสำหรับฟิชชิ่ง
หนึ่งคือลายเซ็น Schnorr ใช่แล้ว การอัปเกรดนี้ได้แทนที่ลายเซ็น ECDSA ในเอกสารไวท์เปเปอร์ ลักษณะทางเทคนิคของลายเซ็นนี้คือการรวมลายเซ็นหรือคีย์สาธารณะหลายรายการเข้าด้วยกัน ในอดีต งานที่ต้องใช้ลายเซ็นหลายฉบับในการยืนยัน ในตอนนี้จะต้องได้รับการตรวจสอบเพียงครั้งเดียว ซึ่งจะช่วยลดพื้นที่ว่างของลายเซ็นโดยตรง
หนึ่งคือเทคโนโลยี MAST หากแบบแรกเป็นลายเซ็นแบบรวม MAST จะถูกใช้เพื่อ รวม สคริปต์หลายตัว (สำหรับสคริปต์ คุณสามารถเข้าใจว่าสคริปต์เหล่านี้เป็น สัญญาอัจฉริยะ ที่จำกัดของ Bitcoin) ขณะเดียวกันเมื่อส่งเพื่อตรวจสอบการปลดล็อคการใช้จ่ายคุณจะต้องตรวจสอบเงื่อนไขการใช้จ่ายเพียงข้อใดข้อหนึ่งเท่านั้น พื้นที่ที่ถูกครอบครองโดยสคริปต์ที่ซับซ้อนซึ่งมีเงื่อนไขมากมายสามารถลดลงได้อย่างมาก
เทคโนโลยีทั้งสองนี้มีผลกระทบต่อความเป็นส่วนตัวมากที่สุด และยังแสดงถึงพื้นที่เสี่ยงด้านความปลอดภัยอีกด้วย
สำหรับบันทึกการถ่ายโอน การถ่ายโอน UTXO ทั้งหมดจะมีลักษณะเหมือนเดิมหลังจากการอัปเกรด ใน Mempool ประเภทการถ่ายโอนจะแสดงเป็น P2TR และที่อยู่คือที่อยู่ทั้งหมดที่มีความยาวเท่ากันโดยเริ่มจาก bc1p
ในอดีต คุณสามารถแยกแยะความแตกต่างระหว่างการถ่ายโอนไปยังที่อยู่ปกติ (P2PKH/P2WPKH) และการถ่ายโอนไปยังที่อยู่สคริปต์ (P2SH/P2WSH) ได้อย่างง่ายดาย
ก่อนที่คุณจะดูคนอื่นใช้จ่าย UTXO คุณไม่สามารถบอกความแตกต่างระหว่างการโอนไปยังที่อยู่ปกติและการโอนไปยังที่อยู่สคริปต์ได้
สำหรับสคริปต์ การตรวจสอบนักขุดจำเป็นต้องเปิดเผยเงื่อนไขการใช้จ่ายของสคริปต์เพียงเงื่อนไขเดียว และสคริปต์สาขาอื่น ๆ ไม่เป็นที่รู้จักต่อโลกภายนอก
5 เคล็ดลับในการป้องกันฟิชชิ่งสินทรัพย์ใหม่ในระบบนิเวศ Bitcoin
แน่นอนว่าโครงสร้างพื้นฐานด้านความปลอดภัยของระบบนิเวศสินทรัพย์เลเยอร์ BTC ในปัจจุบันนั้นมีประสิทธิภาพน้อยกว่า Ethereum มากและมีหลายสิ่งที่ผู้ใช้จำเป็นต้องเข้าใจและเรียนรู้ก่อน
ในขณะเดียวกัน หลักการของฟิชชิ่งก็แตกต่างจากหลักการของ Ethereum การโจมตีแบบฟิชชิ่งหลายครั้งอาจยังไม่เป็นที่เข้าใจกันดีนักทั่วทั้งตลาดก่อนที่จะถูกค้นพบ ตัวอย่างเช่น เหตุการณ์ความปลอดภัยลายเซ็น *SIGNHASH_NONE ในตลาด Atomic และกระเป๋าเงิน Unisat/Xverse ก็เพิ่มการแจ้งเตือนความปลอดภัยในภายหลัง
(1) เคล็ดลับแรก: ทักษะพื้นฐานทั่วไปของการรักษาความปลอดภัยการเข้ารหัส
กล่าวคือ ใส่ใจกับความปลอดภัยของการจัดเก็บคีย์ส่วนตัวแบบออฟไลน์ ใส่ใจว่าเป็นเว็บไซต์ที่เชื่อถือได้หรือไม่ ใส่ใจกับการปกป้องคอมพิวเตอร์จากการติดไวรัสโทรจัน เป็นต้น
อย่างไรก็ตาม ในตลาด FOMO ผู้ใช้อาจต้องการ เร่งรีบ ในโครงการใหม่ก่อนที่จะสร้างฉันทามติด้านความไว้วางใจ ในเวลานี้ เทคนิคสองสามข้อถัดไปมีความสำคัญอย่างยิ่ง
(2) เคล็ดลับที่สอง: ชี้แจงอินพุตและเอาต์พุต
Ethereum มี ลายเซ็นที่ไม่เปิดเผย กล่าวคือ เมื่อลงนาม หากกระเป๋าเงินไม่แยกวิเคราะห์ คุณจะเห็นเพียงตัวอักษรที่ยุ่งเหยิง และคุณไม่สามารถคาดเดาได้ว่าจะเกิดอะไรขึ้นกับสินทรัพย์หลังจากการลงนาม นอกจากนี้ยังสร้างความเสี่ยงในการสูญเสียเหรียญอีกด้วย
ใน Bitcoin ต้องกำหนดอินพุตและเอาท์พุตของธุรกรรมอย่างชัดเจน รวมถึงที่อยู่การโอนที่สอดคล้องกันของอินพุตและเอาท์พุต (คือ “มาจากไหน ได้มากี่เหรียญ” และ “ไปไหน ไปได้กี่เหรียญ”)
เมื่อลงนาม ไม่ว่าจะใช้ PSBT หรือไม่ก็ตาม การเปลี่ยนแปลงที่จะเกิดขึ้นก่อนและหลังการทำธุรกรรมจะแสดงอย่างชัดเจนในกระเป๋าเงิน ดังนั้นจึงเป็นเรื่องสำคัญมากที่จะต้องตรวจสอบว่าอินพุตและเอาท์พุตตรงตามความคาดหวังของคุณหรือไม่
ตัวอย่างเช่น หากแฮ็กเกอร์ต้องการขโมย Ordinals NFT ทั้งหมดของคุณในครั้งเดียว อินพุตธุรกรรม (INPUT) จะแสดงอย่างแน่นอนว่า Ordinals NFT ทั้งหมดของคุณถูกใส่เข้าไปแล้ว ขณะเดียวกันเอาต์พุต (OUTPUT) จะแสดงว่าได้ไปที่อยู่แปลกๆ
ใช้ Unisat เพื่อสั่งซื้อ Ordinals NFT บน MagicEden เป็นตัวอย่าง เมื่อคุณสั่งซื้อ NFT ที่มีจารึกตั้งแต่หนึ่งตัวขึ้นไปในตลาด MagiEden คำขอลายเซ็น PSBT แบบป็อปอัพจะแสดงให้เห็นว่าอินพุต (INPUT) ของธุรกรรมเป็นหนึ่งในคำจารึกของคุณหรือหลายคำจารึก และผลลัพธ์จะปรากฏขึ้น เมื่อการทำธุรกรรมสำเร็จ คุณจะได้รับ Bitcoin จำนวนเท่าใดที่จะได้รับ
(3) เคล็ดลับที่สาม: ระวังประเภทลายเซ็น
คุณสามารถดูข้อมูลเบื้องต้นเกี่ยวกับประเภทลายเซ็นปัจจุบันของ Bitcoin ได้ที่นี่ (https://btcstudy.org/2021/11/09/bitcoin-signature-types-sighash/…）。
ประเภทลายเซ็นเดียวที่ต้องให้ความสนใจที่นี่คือ SIGHASH_NONE (0x02) และ SIGHASH_NONE - SIGHASH_ANYONECANPAY (0x82) ทั้งสองอย่างนี้หมายความว่าคุณ ลงนามเฉพาะข้อมูลเข้าของธุรกรรมเท่านั้น โดยไม่คำนึงถึงผลลัพธ์ของธุรกรรม
สำหรับเนื้อหาการจารึกธุรกรรม ประเภทลายเซ็นที่ปลอดภัยควรเป็น SIGHASH_SINGLE - SIGHASH_ANYONECANPAY (0x83) ซึ่งสามารถสร้างธุรกรรมที่สมบูรณ์โดยไม่ต้องเชื่อถือผ่าน PSBT นี่เป็นประเภทลายเซ็นที่ใช้โดยตลาดซื้อขายจารึกกระแสหลักเช่น MagicEden และ OKX
นำข้อผิดพลาดก่อนหน้านี้ของตลาด Atomic ในการใช้ลายเซ็น SIGHASH_NONE - SIGHASH_ANYONECANPAY (0x 82) เป็นตัวอย่าง
เมื่อคุณสั่งซื้อสินทรัพย์จารึก Atom คุณจะเห็นอินพุตและเอาท์พุตที่ถูกต้องเมื่อคุณลงนาม นั่นคือ โดยระบุว่าสินทรัพย์ที่ฉันวางคำสั่งซื้อนั้นอยู่ในอินพุต และเอาต์พุตก็ประกอบด้วยเงินที่ฉันสามารถทำได้ด้วย รับ.
อย่างไรก็ตาม แฮกเกอร์สามารถรับเอาต์พุตการแก้ไข PSBT ได้อย่างสมบูรณ์ และธุรกรรมที่ส่งมาจะถูกบรรจุโดยนักขุดด้วย ซึ่งท้ายที่สุดจะป้องกันไม่ให้คุณรับเงินสำหรับคำสั่งซื้อที่รอดำเนินการ กล่าวโดยสรุป เป็นเพราะประเภทลายเซ็นที่ใช้เพียงการลงนามในส่วนอินพุต ซึ่งท้ายที่สุดจะนำไปสู่การ ซื้อเป็นศูนย์ดอลลาร์
โชคดีที่กระเป๋าเงินระบบนิเวศ BTC กระแสหลักในปัจจุบัน เช่น Unisat และ Xverse รองรับการเน้นการแจ้งเตือนหรือห้ามประเภทลายเซ็นเช่น SIGHASH_NONE แล้ว หากคุณเห็นข้อความแจ้งเกี่ยวกับประเภทลายเซ็นที่เกี่ยวข้อง อย่าใช้ลายเซ็นนี้ เว้นแต่จะมีไว้เพื่อวัตถุประสงค์พิเศษ
(4) เคล็ดลับที่สี่: ระมัดระวังเมื่อใช้สคริปต์
หากโปรเจ็กต์หรือแพลตฟอร์มกำหนดให้คุณต้องโอนสินทรัพย์ไปยังที่อยู่สคริปต์ คุณจะต้องใช้ความระมัดระวังเป็นพิเศษ เมื่อลงนาม คุณจะเห็นทรัพย์สินของคุณไปยังที่อยู่ที่ไม่คุ้นเคยในผลลัพธ์
ตามเนื้อหาก่อนหน้านี้ คุณจะรู้ว่าหลังจากอัปเกรด Taproot แล้ว ที่อยู่สคริปต์และที่อยู่รหัสส่วนตัวของผู้ใช้จะเหมือนกัน
หากโจรพยายามใช้ที่อยู่คีย์ส่วนตัวเพื่อปลอมแปลง ทรัพย์สินที่ได้รับสามารถโอนได้โดยตรง หากเป็นที่อยู่สคริปต์จริง ขึ้นอยู่กับว่าพวกเขาเปิดเผยเนื้อหาทั้งหมดของที่อยู่สคริปต์หรือไม่ หากมีการเผยแพร่เนื้อหาที่ไม่สมบูรณ์ แม้ว่าโดยปกติผู้ใช้สามารถลงนามและโอนสินทรัพย์ระหว่างการใช้งานได้ เงื่อนไขการปลดล็อค UTXO ที่เป็นอันตรายอย่างน้อยหนึ่งเงื่อนไขอาจถูกซ่อนไว้ อาจเป็นได้ว่าวันหนึ่งในอนาคต สินทรัพย์ UTXO ทั้งหมดจะถูก ปิด และโอนออกไปทันที
แม้ว่าพวกเขาจะเปิดซอร์สสคริปต์ทั้งหมด แต่ปัจจุบัน wallets ในตลาดไม่มีฟังก์ชันในการตรวจสอบความสมบูรณ์ของสคริปต์ MAST และความสอดคล้องของที่อยู่เอาต์พุต ผู้ใช้ที่เชี่ยวชาญทางเทคนิคจำเป็นต้องใช้อัลกอริทึมของ Taproot เพื่อยืนยัน หรือไว้วางใจโครงการและทีมงานเป็นอย่างมาก
ธุรกรรมของเนื้อหาการจารึกต่างๆ ไม่จำเป็นต้องใช้สคริปต์ที่ซับซ้อน PSBT (ธุรกรรมลายเซ็นบางส่วน) สามารถใช้เพื่อระบุอินพุตและเอาต์พุตได้
อย่างไรก็ตาม ในการดำเนินงาน BTC L2 ในอนาคต มีความเป็นไปได้สูงที่สคริปต์ Bitcoin ที่ซับซ้อนและหลายเงื่อนไขจะเข้ามาเกี่ยวข้อง ตัวอย่างเช่น บาบิโลน (@babylon_chain) สคริปต์การวางเดิมพัน Bitcoin นั้นมีลอจิกการเฉือนและตรรกะการปลดล็อคที่ค่อนข้างซับซ้อน
หากคุณต้องการใช้สคริปต์ Bitcoin แบบเนทีฟนี้ จำเป็นอย่างยิ่งที่จะต้องเปิดสคริปต์และตรวจสอบความปลอดภัยและความสมบูรณ์ของสคริปต์ มิฉะนั้น ผู้ใช้จะต้องเชื่อใจฝั่งโปรเจ็กต์อย่างแน่นอน
(5) เคล็ดลับที่ห้า: ใส่ใจกับการพัฒนาด้านความปลอดภัยและใช้ความระมัดระวังก่อนที่จะเกิดขึ้น
ให้ความสนใจกับบัญชีชั้นนำในด้านการรักษาความปลอดภัยเพื่อให้แน่ใจว่าคุณสามารถติดตามเทคนิคฟิชชิ่งล่าสุดและรับคำเตือนโดยเร็วที่สุด โคไซน์ เช่น SlowMist@evilcos,เจ้าหน้าที่รักษาความปลอดภัยโกพลัส@GoPlusSecurity、Scam Sniffer@realScamSnifferบัญชีทางการ OneKey ของเรา@OneKeyCN 。
ในการป้องกันปัญหาก่อนที่จะเกิดขึ้น เราสามารถถ่ายทอดประสบการณ์ด้านความปลอดภัยจากที่อื่นได้ ตัวอย่างเช่น ใน Ethereum มีวิธีฟิชชิ่ง นั่นคือ การสร้างที่อยู่ที่มีส่วนหัวและส่วนท้ายที่คล้ายกัน ทำให้ผู้ใช้คัดลอกประวัติโดยไม่ได้ตั้งใจและสูญเสียทรัพย์สินของตน เมื่อสร้างธุรกรรมลายเซ็น BTC ก็เป็นไปได้ที่จะก้าวเข้าสู่กับดักเนื่องจากที่อยู่เอาต์พุตไม่ได้รับการตรวจสอบอย่างชัดเจน
ในกระเป๋าเงินระบบนิเวศ BTC กระแสหลัก เช่น Unisat/Xverse ที่อยู่ Taproot จะแสดงเป็น bc1px…e9wh0 (ตัวอย่าง) และ bc1p เป็นจุดเริ่มต้นคงที่ของที่อยู่ Taproot
จำนวนนี้จะแสดงเพียง 6 ตัวอักษรเพื่อยืนยัน มีฟังก์ชันสมุดที่อยู่ทั่วไปและโดยทั่วไปจะแสดงตัวเลขมากกว่า 10 หลักเป็นมาตรฐานสำหรับกระเป๋าเงิน Ethereum ซึ่งเห็นได้ชัดว่าไม่เพียงพอ
ซึ่งหมายความว่าค่อนข้างเป็นไปได้ที่แฮกเกอร์จะทำฟิชชิ่งแบบกำหนดเองโดยการสร้างที่อยู่ที่ตรงกัน (แม้ว่าจะยังไม่ค่อยมี Bitcoin มากนัก)
ดังนั้นหากคุณทำอะไรสุดโต่งและงับมัน คุณควรตรวจสอบที่อยู่ให้ครบถ้วนที่สุด
ถึงอย่างไร...
Study Bitcoin.
Study Bitcoin Security.
เนื่องจาก Taproot แนะนำสินทรัพย์ใหม่และสถานการณ์ใหม่ให้กับ Bitcoin เราต้องเรียนรู้เกี่ยวกับภัยคุกคามความปลอดภัยรูปแบบใหม่ด้วย โดยเฉพาะอย่างยิ่งการพัฒนาเทคนิคฟิชชิ่ง
โดยเฉพาะอย่างยิ่งในขณะนี้ที่โครงสร้างพื้นฐานทางนิเวศไม่สมบูรณ์ แม้แต่การดำเนินการที่ผิดพลาด เช่น การสูญหายของเหรียญและการเผาเหรียญก็เกิดขึ้นเป็นครั้งคราว ไม่ต้องพูดถึงการทำประมงที่มีการวางแผนอย่างดี
สุดท้าย: OneKey ให้ความสำคัญกับความปลอดภัยเป็นอันดับแรกเสมอ ติดตามการพัฒนาทางเทคโนโลยีและอัปเดตนโยบายความปลอดภัยที่ใช้ร่วมกัน ระบบนิเวศ BTC เป็นหนึ่งในตัวเอกของตลาดกระทิงนี้ เราจะยังคงให้ความสนใจกับความท้าทายด้านความปลอดภัยของระบบนิเวศ BTC และทำงานร่วมกันเพื่อส่งเสริมและสร้างสภาพแวดล้อมสินทรัพย์ crypto ที่ปลอดภัยยิ่งขึ้น
