Tài khoản Vitalik bị “hack” và đăng thông tin lừa đảo, những phương thức lừa đảo này rất đáng để người dùng cảnh giác.

Vào ngày 10 tháng 9, tài khoản nền tảng X (trước đây là Twitter) của người đồng sáng lập Ethereum Vitalik Buterin đã bị hack và một liên kết lừa đảo đã được đăng.Nội dung là đường link miễn phí để nhận NFT kỷ niệm về Danksharding. Mặc dù dòng tweet gần như đã bị xóa nhưng tin tặc vẫn kiếm được khoảng 700.000 USD.

Trước đó vào tháng 7, tài khoản nền tảng X (trước đây là Twitter) của người sáng lập Uniswap Hayden Adams cũng đã bị hack và tweet có chứa các liên kết lừa đảo.Có thể thấy, số lượng lớn các sự cố bảo mật như tấn công lừa đảo vẫn thường xuyên xảy ra trong hệ sinh thái blockchain thời gian gần đây.

Trước đây Beosin đã đưa ra bài giải thích chi tiết về các cuộc tấn công lừa đảo, bạn có thể đọc chi tiết:UNIBOT phổ biến, làm thế nào để ngăn chặn lừa đảo và lừa đảo liên quan đến bot Telegram?
Chữ ký có bị đánh cắp không? Hãy cẩn thận nếu bạn đã sử dụng Uniswap! Làm sáng tỏ giấy phép 2 lừa đảo chữ ký

Ngoài các cuộc tấn công lừa đảo, người dùng nên cảnh giác với những phương thức lừa đảo tiền nào khác? Gần đây, nhóm Beosin phát hiện ra rằng những kẻ lừa đảo và sự cố thao túng giá cũng gây ra tổn thất lớn cho quỹ của người dùng.

Khi công nghệ blockchain ngày càng hoàn thiện, ngày càng có ít vấn đề ở cấp độ mã, khiến nó dễ bị lừa đảo và các vấn đề về logic kinh doanh hơn. Trong bài viết này, chúng tôi xem xét các vấn đề bảo mật quỹ phổ biến gần đây để giúp người dùng về cơ bản tránh bị lừa gạt một số quỹ.

Trong các vụ việc gần đây như kẻ lừa đảo, các nhà điều hành chủ yếu lừa đảo tiền thông qua các cửa hậu hợp đồng, đĩa Pixiu, v.v. Trên thực tế, người dùng có thể tránh được những phương pháp này. Điều chính yếu là phải hiểu phương thức vận hành hợp đồng và nguyên tắc mã. Hãy lấy dự án gần đây để giải thích và tóm tắt đặc điểm của loại hình lừa đảo này.

1. Những điều cần lưu ý về backdoor của dự án

1. Sửa đổi số dư của địa chỉ đặc quyền

Nói chung, các dự án liên quan đến lừa đảo sẽ có một địa chỉ đặc quyền, có thể đúc, đốt hoặc thiết lập số dư của người khác theo ý muốn. Loại dự án này có nguy cơ bị bỏ trốn. Khi người dùng sử dụng một số tiền lớn để mua mã thông báo dự án, bên dự án sẽ trực tiếp mua lại tất cả các đồng tiền giá trị thông qua chức năng đặc quyền, khiến giá trị của mã thông báo dự án trở về 0 .

Lấy mã dự án CUZK làm ví dụ:

Có một cửa sau trong hợp đồng mã thông báo CUZK. Các địa chỉ đặc quyền có thể trực tiếp đặt mã thông báo vượt quá tổng nguồn cung cho tài khoản của chính họ, như được hiển thị trong mã sau:

Hàm ccvipaaaqqq() sẽ thêm một lượng lớn mã thông báo CUZK cho người gọi và cuối cùng xác định xem người gọi có phải là ciyuAdmintmrr hay không. Địa chỉ này là địa chỉ do người tạo đặt khi khởi tạo hợp đồng (0x f 719).

Bên dự án đã thêm một lượng lớn mã thông báo vào chính mình (0x f 719) bằng cách gọi hàm ccvipaaaqqq().

Sau đó, địa chỉ đặc quyền đã sử dụng mã thông báo đã đặt để đổi tất cả WBNB trong cặp, khiến giá tiền CUZK trở về 0.

2. Ẩn backdoor, gián tiếp bổ sung số dư

Ngoài ra còn có một số dự án không có chức năng thao túng trực tiếp số dư mã thông báo địa chỉ, nhưng các địa chỉ đặc quyền có thể gián tiếp thu được một lượng lớn mã thông báo, từ đó trao đổi tất cả các đồng tiền có giá trị, khiến giá mã thông báo trở về 0.

Lấy dự án Flashmall trên chuỗi BNB làm ví dụ:

Hợp đồng FlashMall có chức năng setPointRate, được sử dụng để đặt tỷ giá hối đoái. Chức năng này chỉ có thể được gọi bởi các địa chỉ đặc quyền.

Sự cố đang chạy này chủ yếu được chia thành các bước sau:

Đặt tỷ giá hối đoái->Trao đổi->Đặt tỷ giá hối đoái->Trao đổi

Sau đây là các bước chi tiết:

1. Tỷ lệ cài đặt địa chỉ đặc quyền là 10000.

Địa chỉ 2.0x 613 C có thể đổi MUSD lấy 10x MCoin.

3. Tỷ lệ cài đặt địa chỉ đặc quyền là 1000.

Địa chỉ 4.0x 613 C có thể đổi MCoin lấy cùng số lượng MUSD.

5. Qua nhiều lần chuyển đổi, 0x 613 C sở hữu một lượng lớn MUSD và cuối cùng đã trao đổi được tất cả USDT.

Sau đây là mã đổi MCoin và MUSD, số lượng được xác định theo pointRate.

Tóm tắt: Việc hợp đồng có cửa sau hay không chủ yếu phụ thuộc vào việc có chức năng đặc quyền có thể kiểm soát mã thông báo từ bất kỳ địa chỉ nào hay không hoặc liệu có chức năng logic nào để phát hành thêm mã thông báo từ một địa chỉ đặc quyền hay không. Ngoài ra, nếu bên tham gia dự án sở hữu hầu hết các chứng chỉ thanh khoản thì cũng có thể xảy ra hiện tượng bỏ chạy. Người dùng có thể đánh giá mức độ rủi ro bằng cách kiểm tra xem hợp đồng có từ bỏ địa chỉ đặc quyền hay địa chỉ đặc quyền có phải là địa chỉ hợp đồng kinh doanh thông thường hay không, đồng thời kiểm tra xem chứng chỉ thanh khoản thuộc sở hữu của tài khoản EOA hay địa chỉ thông thường. Hợp đồng kinh doanh.

2. Dự án Tỳ hưu Pan lừa đảo

Đặc điểm của loại dự án này chủ yếu thể hiện ở khả năng mua token dự án nhưng khi người dùng muốn bán thì giao dịch sẽ báo lỗi, biểu hiện chính của loại mã hợp đồng lừa đảo này là khi chuyển token lần đầu tiên. được thực hiện, một số trạng thái hợp đồng sẽ được đặt và sau đó không thể thực hiện chuyển khoản nữa, khiến người dùng phải mua mã thông báo, đặt trạng thái hợp đồng và sau đó không thể bán.

Lấy dự án token EDU giả làm ví dụ:

Địa chỉ hợp đồng của dự án này là 0x 4749, đây là dự án cùng tên với EDU. Chủ sở hữu mã thông báo (0x ac 15) mua và bán mã thông báo trong địa chỉ cặp EDU 0x E 3 f 2 và gửi mã thông báo được giữ đến ví Binance và trao đổi, tạo ảo giác rằng có nhiều người đang tham gia (như trong hình bên dưới) ) .

Trong đoạn mã sau, sau lần chuyển đầu tiên (mua xu), tokenGreylist[to] (đến là địa chỉ người dùng) sẽ được đặt thành true. Tuy nhiên, do trạng thái địa chỉ danh sách trắng trong mã không được tiết lộ nên chức năng chuyển không thể được thực hiện được gọi lần thứ hai. Chuyển đổi Trạng thái và địa chỉ danh sách trắng được kiểm soát bởi chủ sở hữu. Đối với người dùng tham gia dự án, mã thông báo không thể được bán theo mặc định.

Tóm tắt: Đặc điểm của dự án Pixiu Pan là có thể mua nhưng không thể bán, bằng cách kiểm tra logic thực tế của việc chuyển và chuyển từ, bạn có thể biết liệu có những hạn chế lẫn nhau hay không. Những người có trình độ kỹ thuật có thể mô phỏng và thực hiện các chức năng liên quan tại địa phương.