La billetera móvil Web3 enfrenta nuevos ataques de phishing: phishing modal

Recientemente, una nueva técnica de phishing dirigida a billeteras móviles Web3 ha llamado la atención de los investigadores de seguridad. Este método de ataque, conocido como "Modal Phishing"(Modal Phishing), explota un defecto de diseño en las ventanas modales de las aplicaciones de billetera móvil, lo que podría engañar a los usuarios para que aprueben transacciones maliciosas.

Las ventanas modales son elementos de interfaz comúnmente utilizados en aplicaciones móviles, que generalmente se muestran en la parte superior de la interfaz principal y se utilizan para operaciones rápidas como aprobar transacciones. La ventana modal de la billetera Web3 generalmente muestra los detalles de la transacción y los botones de aprobar/rechazar. Sin embargo, se ha descubierto que estos elementos de interfaz pueden ser manipulados por atacantes para llevar a cabo ataques de phishing.

En concreto, los atacantes pueden llevar a cabo el phishing modal de las siguientes dos maneras principales:

1. Aprovechar la vulnerabilidad del protocolo Wallet Connect Al utilizar el protocolo Wallet Connect para conectar a DApp, los atacantes pueden falsificar la información de DApp, como el nombre, el ícono, etc. La aplicación de billetera no verifica la autenticidad de esta información y la muestra directamente al usuario, lo que le da una oportunidad al atacante.

2. Manipulación de la información del contrato inteligente Algunas billeteras como MetaMask mostrarán el nombre de la función del contrato inteligente en una ventana modal. Los atacantes pueden registrar nombres de funciones engañosos ( como "SecurityUpdate" ), induciendo a los usuarios a aprobar transacciones maliciosas.

La causa fundamental de este tipo de ataques radica en que las aplicaciones de billetera no verifican adecuadamente la legitimidad de la información mostrada, sino que confían y presentan directamente los datos entrantes externos. Para hacer frente a esta amenaza, los desarrolladores de billetera deben asumir siempre que los datos externos no son confiables, elegir cuidadosamente la información que se muestra a los usuarios y verificar su legitimidad. Al mismo tiempo, los usuarios también deben estar alerta ante solicitudes de transacciones desconocidas y verificar detenidamente los detalles de la transacción antes de tomar una decisión.

Con el desarrollo del ecosistema Web3, es probable que surjan desafíos de seguridad similares de manera continua. Las aplicaciones de Billetera, al proporcionar conveniencia, también necesitan mejorar constantemente los mecanismos de seguridad para ofrecer una protección más confiable para los activos de los usuarios.