Tác giả gốc: Cobo Global
Nhóm bảo mật Cobo đã tổng hợp các điểm rủi ro phổ biến trong quy trình giao dịch trên chuỗi và biên soạn các nguyên tắc thực hiện bảo mật giao dịch, nhằm mục đích cho phép người dùng tránh rủi ro trong quá trình giao dịch, đảm bảo an toàn cho tiền và ngăn chặn các cuộc tấn công lừa đảo.
Lời nói đầu
Với sự thông qua của Bitcoin ETF, thị trường blockchain đang bắt đầu khởi sắc. Sự phục hồi của giá tiền tệ đã cho phép ngành này dần trở lại trạng thái thịnh vượng trước đây. Đồng thời, hoạt động của hacker cũng trở nên sôi động. Nhóm bảo mật Cobo đã nhận thấy tần suất các trường hợp lừa đảo gia tăng trong một hoặc hai tháng qua.
Gần đây, các điểm nóng ứng dụng mới như Đặt lại và BTC L2 đã bắt đầu xuất hiện, các giao dịch trực tuyến đã dần trở thành một phần không thể thiếu trong cuộc sống hàng ngày của người dùng Web3 và ngày càng có nhiều tiền của người dùng được chuyển vào chuỗi.
Không giống như các ứng dụng tập trung như sàn giao dịch, việc bảo mật tài khoản của các ứng dụng trên chuỗi cần phải được chính người dùng đảm bảo. Thực hiện các giao dịch blockchain một cách an toàn là khả năng cơ bản nhất của người bản địa Web3. Mặc dù nhiều cơ sở hạ tầng như ví plug-in của trình duyệt và thậm chí cả bản thân trình duyệt có những cảnh báo rủi ro nhất định chống lừa đảo, nhưng sự cố người dùng mất tài sản do giao dịch không an toàn vẫn thỉnh thoảng xảy ra (chẳng hạn như rò rỉ khóa riêng, lừa đảo chữ ký, v.v.) .
Nhóm bảo mật Cobo đã tổng hợp các điểm rủi ro phổ biến trong quy trình giao dịch trên chuỗi và biên soạn các nguyên tắc thực hiện bảo mật giao dịch, nhằm mục đích cho phép người dùng tránh rủi ro trong quá trình giao dịch, đảm bảo an toàn cho tiền và ngăn chặn các cuộc tấn công lừa đảo.
Trước khi bắt đầu phần giới thiệu, nhóm bảo mật Cobo tóm tắt các nguyên tắc cốt lõi về giao dịch an toàn cho mọi người như sau:
1. Từ chối ký một cách mù quáng và không ký các giao dịch hoặc tin nhắn mà bạn không hiểu;
2. Chịu khó xác minh nhiều lần.
Làm thế nào để giao dịch an toàn
Một quy trình giao dịch DApp hoàn chỉnh chứa nhiều liên kết:Cài đặt ví, truy cập vào DApp, kết nối ví, chữ ký tin nhắn, chữ ký giao dịch và xử lý sau giao dịch.Mỗi liên kết đều có những rủi ro an toàn nhất định, sau đây sẽ giới thiệu các biện pháp phòng ngừa trong hoạt động thực tế.
Lưu ý: Bài viết này chủ yếu giới thiệu quy trình tương tác an toàn trên Ethereum và các chuỗi tương thích EVM khác nhau, các công cụ và chi tiết kỹ thuật cụ thể được sử dụng bởi các chuỗi không phải EVM khác có thể khác nhau.
Cài đặt ví
Việc sử dụng DApps chủ yếu hiện nay là sử dụng ví plug-in của trình duyệt để tương tác. Các ví chính được chuỗi EVM sử dụng bao gồm Metamask và Rabby.
Sau khi trải nghiệm chuyên sâu, nhóm bảo mật Cobo khuyến nghị sử dụng ví plug-in Rabby làm ví tương tác chính trên chuỗi dựa trên các cảnh báo rủi ro. Lý do là vì so với ví Metamask, ví Rabby cung cấp các chức năng như phân tích dữ liệu giao dịch, thực hiện mô phỏng giao dịch, cảnh báo rủi ro giao dịch, truy vấn ủy quyền và truy vấn dữ liệu chữ ký lịch sử, có ưu điểm lớn hơn ví Metamask trong việc ngăn chặn lừa đảo.
Để cài đặt ví plug-in Chrome, bạn cần xác nhận rằng nó đã được tải xuống và cài đặt từ Chrome App Store. Không cài đặt ví từ trang web của bên thứ ba để tránh cài đặt phần mềm ví có cửa hậu.
Người dùng đủ điều kiện được khuyến nghị sử dụng ví phần cứng kết hợp với nhau, điều này có thể cải thiện đáng kể tính bảo mật tổng thể trong bộ lưu trữ khóa riêng.
Ghé thăm DApp
Lừa đảo trên web là một phương thức tấn công phổ biến trong các cuộc tấn công Web3. Một trường hợp điển hình là xúi giục người dùng truy cập vào các ứng dụng DApp lừa đảo dưới danh nghĩa airdrop. Sau khi người dùng kết nối với ví của họ, họ sẽ bị buộc phải ký ủy quyền mã thông báo, giao dịch chuyển khoản hoặc chữ ký ủy quyền mã thông báo , dẫn đến tổn thất tài sản của người dùng.
Vì vậy, người dùng cần luôn cảnh giác khi truy cập DApps để tránh rơi vào bẫy lừa đảo trên web.
Bạn nên xác nhận tính chính xác của URL DApp trước khi truy cập DApp. gợi ý:
Cố gắng không truy cập trực tiếp từ từ khóa tìm kiếm đầu tiên của Google. Những kẻ tấn công lừa đảo có thể mua không gian quảng cáo để đưa thứ hạng tìm kiếm trang web lừa đảo của chúng lên hàng đầu, vì vậy thứ hạng đầu tiên không nhất thiết phải là trang web chính thức.
Tránh nhấp trực tiếp vào x.com và các URL được xuất bản trong nhận xét và tin nhắn của những người dùng khác trong các phần mềm xã hội khác nhau. Các URL như vậy có thể là liên kết lừa đảo.
Liên tục xác nhận tính chính xác của URL DApp trước khi truy cập. Nó có thể được xác minh dựa trên các thị trường DApp như DefiLlama, tài khoản X chính thức của bên dự án và kết quả tìm kiếm của Google.
Các trang web được xác nhận là an toàn đã được thêm vào mục yêu thích của trình duyệt và có thể truy cập trực tiếp từ mục yêu thích sau này.
Sau khi mở trang web DApp, bạn cũng cần thực hiện kiểm tra bảo mật trên thanh địa chỉ:
Kiểm tra tên miền và URL.Thông thường DApps sử dụng tên miền và URL tương đối ngắn gọn. Chẳng hạn như https://app.uniswap.org/; nếu bạn gặp một tên miền đặc biệt dài, nó có thể ở dạng https://zk-polyhedra.network-8jb.xyz/ hoặc một tên miền tương tự như tên của một trang web nổi tiếng, chẳng hạn như https:// Puffer.fi (lưu ý thêm f), đó có thể là một trang web lừa đảo và cần phải đăng xuất ngay lập tức.Khi xác định tên miền cần đặc biệt chú ý đến 1 il, oO 0 và các ký tự tương tự khác.
Kiểm tra trạng thái liên kết https của trình duyệt.Hiện tại, các DApp chính thống đều sử dụng liên kết https và trình duyệt sẽ hiển thị dấu hiệu hình 🔒. Nếu đó không phải là liên kết https hoặc trình duyệt nhắc ngoại lệ chứng chỉ, trang web bạn đang truy cập có thể không phải là trang web chính thức hoặc có thể bị tấn công chiếm quyền điều khiển và bạn nên ngừng truy cập trang web đó ngay lập tức.
Hiện tại, các ví plug-in trình duyệt chính thống trên thị trường đã tích hợp một số chức năng cảnh báo rủi ro nhất định, chẳng hạn như Metamask/Phantom, v.v. Khi truy cập một số URL nguy hiểm nằm trong danh sách đen, ví plug-in của trình duyệt hoặc thậm chí chính trình duyệt Chrome có thể hiển thị lời nhắc bảo mật mạnh (xem hình bên dưới).
Kết nối ví
Sau khi vào DApp, hoạt động kết nối với ví có thể được kích hoạt tự động hoặc sau khi chủ động nhấp vào Kết nối. Ví plug-in sẽ thực hiện một số kiểm tra, hiển thị thông tin, v.v. trên DApp hiện tại.
Sau đây là thông tin đánh giá trên web do Rabby Wallet cung cấp, thông tin này có thể được sử dụng để hỗ trợ đánh giá tính xác thực của DApp.
Sau khi kết nối với ví, thông thường DApp sẽ không chủ động kích hoạt ví plug-in khi người dùng không có thao tác nào khác. Nếu sau khi đăng nhập vào website, DApp thường xuyên gọi lên ví để yêu cầu các tin nhắn và giao dịch đã ký, thậm chí chữ ký vẫn tiếp tục hiện lên sau khi từ chối chữ ký thì rất có thể đó là một trang web lừa đảo và cần được xử lý. thận trọng.
Chữ ký tin nhắn
Ví dụ: trong những trường hợp cực đoan, kẻ tấn công tấn công trang web chính thức của giao thức hoặc thay thế nội dung trang thông qua các cuộc tấn công như chiếm quyền điều khiển giao diện người dùng. Người dùng thông thường khó có thể sàng lọc tính bảo mật của trang web trong tình huống này.
Lúc này, chữ ký của ví plug-in là rào cản cuối cùng để người dùng lưu tài sản của chính mình. Miễn là chữ ký độc hại bị từ chối, tài sản của bạn sẽ được bảo vệ khỏi bị mất mát.Người dùng nên xem kỹ nội dung chữ ký khi ký bất kỳ tin nhắn, giao dịch nào và từ chối ký mù.
Về mặt kỹ thuật, hiện có ba loại chữ ký phổ biến trong Ethereum:
Chữ ký băm eth_sign:Ký mã băm ban đầu của một số dữ liệu. Dữ liệu thô cho hàm băm có thể là một tin nhắn hoặc thậm chí là một giao dịch Ethereum.
Chữ ký tin nhắn cá nhân_sign:Việc ký văn bản thuần túy dữ liệu là phổ biến nhất trong quá trình xác minh đăng nhập của người dùng hoặc xác nhận thỏa thuận cấp phép.
Chữ ký dữ liệu có cấu trúc eth_signTypedData (EIP-712):Đối với chữ ký của các đối tượng dữ liệu được sử dụng trong giao thức DeFi, các chữ ký phổ biến bao gồm chữ ký ủy quyền ERC 20 Permit, chữ ký lệnh chờ NFT, v.v.
Để xác định rủi ro của chữ ký tin nhắn, người dùng có thể làm theo hướng dẫn sau:
Chữ ký ngôn ngữ tự nhiên thường được thông qua.Loại chữ ký này thường là Personal_sign, được sử dụng để xác nhận đăng nhập hoặc xác nhận hướng dẫn sản phẩm, là một mô tả ngôn ngữ tự nhiên lớn (chứ không phải là số, thập lục phân, v.v.). Bởi vì những tin nhắn như vậy bao gồm ngôn ngữ tự nhiên, chuỗi phức tạp và xử lý hợp đồng thông minh khó khăn nên chúng thường không được sử dụng để xác thực trên chuỗi mà được các trang web sử dụng để xác nhận danh tính địa chỉ. Vì vậy, rủi ro tương đối là thấp.
Cấm ký trực tiếp vào hàm băm thập lục phân ban đầu.Loại chữ ký này thường là chữ ký eth_sign, loại chữ ký này nguy hiểm nhất vì người dùng không thể xác định được nội dung dữ liệu gốc của hàm băm là gì. Do đó, hầu hết các ví đã vô hiệu hóa khả năng ký các giá trị băm thô (dữ liệu hex). Ví Metamask, bạn có thể xác nhận rằng cấu hình của nó đã bị tắt trong tab Cài đặt->Nâng cao->Yêu cầu Eth_sign. Ví Rabby, các cấu hình liên quan bị tắt theo mặc định, không cần cấu hình bổ sung.
Chữ ký dữ liệu có cấu trúc xem xét kỹ lưỡng nội dung chữ ký.Ví dụ: nếu đó là chữ ký ủy quyền Giấy phép ERC 20, bạn cần kiểm tra xem địa chỉ người chi tiêu có đáp ứng mong đợi hay không. Nếu đó là địa chỉ EOA, có khả năng bạn đã nhấp vào chữ ký lừa đảo và sẽ bị từ chối ngay lập tức.
Về việc ký tin nhắn, cần phải chú ý thêm ở đây. Mặc dù hoạt động eth_sign bị cấm theo mặc định trong ví plug-in của trình duyệt, nhưng ví vẫn có thể ký dữ liệu lớp băm thông qua Personal_sign. Loại chữ ký này không dẫn đến giấy phép ủy quyền hoặc bắt đầu giao dịch. Tuy nhiên, các giao thức riêng lẻ (chẳng hạn như một số ví AA) vẫn có thể sử dụng chữ ký Personal_sign để xác thực. Về nguyên tắc, để tránh thất thoát, không nên ký số thập lục phân. Tác dụng của loại chữ ký này như sau:
chữ ký giao dịch
Giao dịch chữ ký phải tuân theo nguyên tắc không ký một cách mù quáng. Hiện tại, nhiều ví plug-in sẽ giải mã thông báo được ký và hiển thị nội dung liên quan. Sau đây là ví dụ về ví Rabby phân tích giao dịch DEX:
Người dùng có thể xem một số thông tin liên quan về địa chỉ đích của giao dịch, chẳng hạn nhưCho dù đó là địa chỉ EOA, số dư địa chỉ, thời gian triển khai hợp đồng, v.v.Người dùng có thể đưa ra đánh giá rủi ro đối với các giao dịch sẽ được ký dựa trên thông tin này. Ví dụ: nếu địa chỉ tương tác là địa chỉ EOA hoặc thời gian triển khai hợp đồng tương tác dưới 7 ngày thì hoạt động này có thể được coi là rủi ro và cần được điều tra đầy đủ trước khi tiếp tục.
Đối với các giao thức nguồn mở, ví plug-in của trình duyệt chính thống đã hỗ trợ phân tích dữ liệu giao dịch. Bằng cách xem nội dung giao dịch sau khi giải mã ABI, bạn có thể hiểu rõ hơn về những hoạt động hiện đang được thực hiện. Tên hàm được gọi theo hợp đồng có thể cung cấp một số tham chiếu đến các chức năng của nó: chẳng hạn như phê duyệt, hoán đổi, chuyển khoản, gửi và rút tiền, v.v.
Rabby, ví imToken cũng tích hợp chức năng thực thi mô phỏng. Người dùng có thể trực tiếp xem kết quả thực hiện giao dịch trước khi giao dịch được xác nhận. Thông qua việc thực hiện mô phỏng giao dịch, người dùng có thể xem các giao dịch chuyển tiền khác nhau do giao dịch hiện tại gây ra. Người dùng nên kiểm tra cẩn thận và từ chối những chữ ký không đáp ứng được kết quả thực hiện như mong đợi.
Đối với người dùng có dự trữ kỹ thuật nhất định, nếu các công cụ tự động không thể phân tích thành công các giao dịch thì một số phương pháp kiểm tra thủ công phổ biến cũng có thể được sử dụng:
Bằng cách sao chép địa chỉ hợp đồng mục tiêu tương tác sang trình duyệt blockchain như etherscan để xem xét, việc đánh giá chủ yếu bao gồm xem hợp đồng có phải là nguồn mở hay không, gần đây có một số lượng lớn giao dịch hay không và liệu Etherscan có gắn nhãn địa chỉ đó là chính thức hay độc hại hay không .
Khi gặp giao dịch mà ví plug-in không thể nhận dạng, bạn có thể sao chép thủ công 8 chữ số đầu tiên trong dữ liệu giao dịch gốc (raw_data, hiển thị qua dữ liệu thập lục phân) sang https://openchain.xyz/signatures để truy vấn và nhận chức năng ban đầu.Tên để xác định đại khái hành vi của giao dịch.
Sử dụng các công cụ mô phỏng giao dịch như Phalcon, Tenderly và Dedaub để mô phỏng việc thực hiện và xem chi tiết thực hiện cụ thể của giao dịch.
Xử lý sau giao dịch
Sau khi trốn tránh các trang lừa đảo và chữ ký độc hại, không có nghĩa là mọi chuyện sẽ ổn, việc quản lý rủi ro vẫn cần được thực hiện sau khi giao dịch.
Sau khi giao dịch, bạn nên nhanh chóng kiểm tra trạng thái giao dịch trên chuỗi để xác nhận xem nó có phù hợp với trạng thái dự kiến khi ký hay không. Nếu phát hiện ra điều bất thường, các hoạt động dừng lỗ như chuyển giao tài sản và hủy ủy quyền có thể được thực hiện kịp thời.
Quản lý ủy quyền phê duyệt ERC 20 cũng rất quan trọng. Trong một số trường hợp, sau khi người dùng ủy quyền mã thông báo cho một số hợp đồng nhất định, các hợp đồng này đã bị tấn công nhiều năm sau đó. Những kẻ tấn công đã sử dụng hạn mức ủy quyền mã thông báo của các hợp đồng bị tấn công để đánh cắp tiền của người dùng.
Để tránh những tình huống như vậy, nhóm bảo mật Cobo khuyến nghị người dùng nên tuân theo các tiêu chuẩn sau để phòng ngừa rủi ro:
Giảm thiểu ủy quyền.Khi ủy quyền mã thông báo, số lượng mã thông báo tương ứng có giới hạn phải được ủy quyền dựa trên nhu cầu của giao dịch. Nếu giao dịch yêu cầu ủy quyền 100 USDT, số lượng ủy quyền sẽ bị giới hạn ở 100 USDT thay vì sử dụng ủy quyền không giới hạn mặc định.
Kịp thời thu hồi ủy quyền mã thông báo không cần thiết.Truy vấn trạng thái ủy quyền của địa chỉ tương ứng thông qua chức năng Phê duyệt của ví Rabby hoặc đăng nhập vào revoke.cash và thu hồi ủy quyền của giao thức đã lâu không được tương tác để ngăn chặn các lỗ hổng tiếp theo trong giao thức gây ra tổn thất tài sản do sử dụng hạn mức ủy quyền của người dùng.
Lời khuyên khác
Ngoài những rủi ro trong quá trình giao dịch nêu trên, một số rủi ro cũng có thể tránh được bằng cách sử dụng hợp lý các chức năng được tích hợp trong một số công cụ nhất định.
Một số ví có chức năng nhập ví tích hợp (chẳng hạn như Rabby). Rủi ro lừa đảo có thể được giảm thiểu bằng cách nhập địa chỉ của các ví di động khác và thực hiện xác nhận phụ bắt buộc khi thực hiện giao dịch (yêu cầu đánh thức ví, quét mã và nhập mật khẩu để xác nhận). Đồng thời, bạn có thể tận hưởng tính năng kiểm tra bảo mật giao dịch của ví di động (danh sách trắng, thực thi mô phỏng, mẹo lừa đảo, v.v.)
Một số ví hỗ trợ ví quan sát viên được nhập khẩu (chẳng hạn như Rabby, OneKey, TokenPocket, imToken, v.v.) và bạn có thể truy cập một số trang web lạ thông qua ví quan sát viên. Trang chữ ký tin nhắn hoặc bắt đầu giao dịch vẫn được hiển thị bình thường, lúc này bạn có thể xem kỹ nội dung cần ký. Đồng thời, vì không có khóa riêng nên không cần lo lắng về việc xác nhận hoạt động sai.
Kiểm tra trạng thái ủy quyền của địa chỉ thông qua chức năng Phê duyệt của ví Rabby và thu hồi các ủy quyền có rủi ro cao một cách kịp thời. Mẹo: Rabby sử dụng nhiều thứ nguyên trong chức năng này (tổng số liên kết ủy quyền lịch sử/số lần hủy trong 24 giờ/thời gian ủy quyền/số tài sản được ủy quyền) để đánh giá rủi ro ủy quyền, điều này có thể giúp người dùng xác định rủi ro ủy quyền hiệu quả hơn.
Sau khi ký nhầm, hãy sử dụng chức năng Signature Record của ví Rabby để kiểm tra kịp thời các giao dịch đã ký và dữ liệu văn bản của bạn nhằm khắc phục kịp thời các rủi ro về ủy quyền.
Với nhận thức về rủi ro và phòng ngừa rủi ro đầy đủ, việc cách ly vốn hiệu quả vẫn cần thiết để giảm mức độ thiệt hại về vốn trong những trường hợp cực đoan. Nhóm bảo mật Cobo khuyên bạn nên sử dụng các giải pháp sau để lưu trữ tiền:
Sử dụng ví đa chữ ký Gnosis Safe hoặc ví lạnh để lưu trữ số tiền lớn;
Sử dụng địa chỉ được tạo bởi ví trình duyệt hoặc ví EOA khác để lưu trữ số tiền nhỏ cho tương tác của người dùng và thường xuyên thay đổi địa chỉ ví nóng.
Nếu vô tình bị lừa đảo, bạn có thể thực hiện ngay các thao tác sau để giảm tổn thất:
Revoke.cash hủy bỏ ủy quyền ngay lập tức;
Nếu thông báo giấy phép lừa đảo được ký và số tiền không được chuyển, hãy ký ngay vào một tin nhắn mới và thực hiện lệnh gọi cấp phép để vô hiệu hóa tin nhắn lừa đảo không có giá trị;
Chuyển tiền tài khoản khi cần thiết.
Cách nhận airdrop một cách an toàn
Phát hành airdrop hiện là phương pháp phổ biến được các bên dự án sử dụng để thu hút người dùng và đây cũng là lĩnh vực bị ảnh hưởng nặng nề nhất khi người dùng bị tấn công bởi các cuộc tấn công lừa đảo. Vì mục đích này, dựa trên các nguyên tắc giao dịch an toàn ở trên, nhóm bảo mật Cobo đã biên soạn một bộ quy trình tương tác an toàn để nhận airdrop trên chuỗi:
Trước tiên, hãy sử dụng ví quan sát Rabby để kiểm tra quá trình tương tác và xác nhận rằng không có giao dịch ủy quyền hoặc chuyển mã thông báo nào.
Chữ ký thông báo cho phép không được thực hiện trong quá trình nhận airdrop. Không có cuộc gọi hợp đồng Phê duyệt nào được thực hiện.
Hãy thử sử dụng tài khoản nhỏ để nhận airdrop.
Kiểm tra kết quả thực hiện mô phỏng của giao dịch airdrop để xác nhận rằng không có mã thông báo nào được chuyển ra ngoài.
Lựa chọn công cụ plug-in
Có rất nhiều nội dung trong mã bảo mật blockchain và có thể không phải mọi tương tác đều có thể được kiểm tra cẩn thận, vậy có plug-in trình duyệt hữu ích nào giúp chúng ta đưa ra phán đoán rủi ro không?
Nhóm bảo mật Cobo đã trải nghiệm các plug-in kiểm tra rủi ro giao dịch phổ biến hơn trên thị trường và đã học được từChặn trang web lừa đảo, Kiểm tra địa chỉ được ủy quyền độc hại và Liệu đó có phải là nguồn mởBa chiều được tổ chức thành các bảng và bạn có thể chọn sử dụng chúng tùy theo tình huống của mình, như sau:
