Ví tiền di động Web3 đối mặt với tấn công lừa đảo mới: Lừa đảo qua cửa sổ bật lên

Gần đây, một loại kỹ thuật lừa đảo mới nhắm đến ví tiền di động Web3 đã thu hút sự chú ý của các nhà nghiên cứu an ninh. Kỹ thuật tấn công được gọi là "Modal Phishing" (Modal Phishing), khai thác những thiếu sót trong thiết kế của cửa sổ modal trong ứng dụng ví tiền di động, có thể khiến người dùng vô tình chấp thuận giao dịch độc hại.

Cửa sổ mô-đun là phần tử giao diện thường thấy trong ứng dụng di động, thường hiển thị ở tầng trên cùng của giao diện chính, dùng để thao tác nhanh như phê duyệt giao dịch. Cửa sổ mô-đun của Ví tiền Web3 thường sẽ hiển thị chi tiết giao dịch và nút phê duyệt/từ chối. Tuy nhiên, nghiên cứu cho thấy các phần tử giao diện này có thể bị kẻ tấn công thao túng, để thực hiện các cuộc tấn công lừa đảo.

Cụ thể, kẻ tấn công có thể thực hiện lừa đảo theo mô hình thông qua hai cách chính sau:

1. Tận dụng lỗ hổng giao thức Wallet Connect Khi sử dụng giao thức Wallet Connect để kết nối với DApp, kẻ tấn công có thể giả mạo thông tin DApp, như tên, biểu tượng, v.v. Ứng dụng ví không xác minh tính xác thực của những thông tin này mà hiển thị trực tiếp cho người dùng, tạo cơ hội cho kẻ tấn công.

2. Thao tác thông tin hợp đồng thông minh Một số Ví tiền như MetaMask sẽ hiển thị tên hàm hợp đồng thông minh trong cửa sổ modal. Kẻ tấn công có thể đăng ký tên hàm gây hiểu lầm ( như "SecurityUpdate" ), dẫn dụ người dùng phê duyệt giao dịch độc hại.

Nguyên nhân cơ bản của loại tấn công này là do ứng dụng ví tiền không xác minh đầy đủ tính hợp pháp của thông tin được hiển thị, mà chỉ tin tưởng và hiển thị dữ liệu từ bên ngoài. Để đối phó với mối đe dọa này, các nhà phát triển ví tiền nên luôn giả định rằng dữ liệu từ bên ngoài không đáng tin cậy, cẩn thận lựa chọn thông tin hiển thị cho người dùng và xác minh tính hợp pháp của nó. Đồng thời, người dùng cũng nên cảnh giác với các yêu cầu giao dịch chưa biết, xác minh kỹ lưỡng các chi tiết giao dịch trước khi đưa ra quyết định.

Với sự phát triển của hệ sinh thái Web3, những thách thức về an ninh tương tự có thể sẽ tiếp tục xuất hiện. Ví tiền cần không ngừng hoàn thiện các cơ chế an ninh trong khi cung cấp sự tiện lợi, để đảm bảo an toàn cho tài sản của người dùng.