Web3モバイルウォレットが新たなフィッシング攻撃に直面:モーダルウィンドウフィッシング

最近、Web3モバイルウォレットをターゲットにした新しいフィッシング技術がセキュリティ研究者の注目を集めています。この"モーダルフィッシング"(Modal Phishing)と呼ばれる攻撃手法は、モバイルウォレットアプリのモーダルウィンドウの設計上の欠陥を利用し、ユーザーを誤って悪意のある取引を承認させる可能性があります。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

モーダルウィンドウは、モバイルアプリで一般的に使用されるインターフェース要素であり、通常はメインインターフェースの最上部に表示され、取引の承認などの迅速な操作に使用されます。Web3ウォレットのモーダルウィンドウは、通常、取引の詳細と承認/拒否ボタンを表示します。しかし、研究によると、これらのインターフェース要素は攻撃者によって操作される可能性があり、フィッシング攻撃を実行するために使用されることがあります。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

具体的に言うと、攻撃者は次の2つの主要な方法でモーダルフィッシングを行うことができます:

1. Wallet Connectプロトコルの脆弱性を悪用する Wallet Connectプロトコルを使用してDAppに接続する際、攻撃者はDAppの情報（名称、アイコンなど）を偽造することができます。ウォレットアプリはこれらの情報の真実性を検証せずに直接ユーザーに表示するため、攻撃者に隙を与えます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

2. スマートコントラクト情報の操作 いくつかのウォレット、例えばMetaMaskはモーダルウィンドウにスマートコントラクトの関数名を表示します。攻撃者は誤解を招く関数名(を「SecurityUpdate」)として登録し、ユーザーに悪意のある取引を承認させることができます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃モーダルフィッシング

この種の攻撃の根本的な原因は、ウォレットアプリケーションが表示される情報の合法性を十分に検証せず、外部からのデータを直接信頼して表示していることにあります。この脅威に対処するために、ウォレットの開発者は常に外部データを信用できないと仮定し、ユーザーに表示する情報を慎重に選び、その合法性を検証すべきです。同時に、ユーザーも未知の取引要求に対して警戒を怠らず、取引の詳細を慎重に確認してから決定を下すべきです。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

! [Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃] (https://img-cdn.gateio.im/webp-social/moments-966a54698e22dacfc63bb23c2864959e.webp)

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

Web3エコシステムの発展に伴い、類似のセキュリティの課題が引き続き発生する可能性があります。ウォレットアプリは利便性を提供する一方で、ユーザー資産の安全をより確実に保証するために、セキュリティメカニズムを継続的に改善する必要があります。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃:モーダルフィッシング