تهديدات جديدة للتصيد في المحفظة المتنقلة Web3.0: هجمات التصيد المودالية

في الآونة الأخيرة، تم اكتشاف تقنية جديدة للتصيد تستهدف المحفظة المحمولة في Web3.0، حيث تستغل هذه الهجمات نافذة الوضع للمحفظة المحمولة لخداع المستخدمين. أطلق الباحثون على هذه الطريقة الجديدة في الهجوم اسم "هجوم التصيد عبر الوضع" (Modal Phishing).

في هذا الهجوم، يتمكن القراصنة من إرسال معلومات مزيفة إلى المحفظة المحمولة، متظاهرين بأنهم تطبيقات لامركزية (DApp) شرعية. من خلال عرض معلومات مضللة في نافذة الوضع الخاصة بالمحفظة، يحاول المهاجمون خداع المستخدمين للموافقة على معاملات خبيثة. حتى الآن، تم استخدام هذه التقنية في التصيد على نطاق واسع في العديد من المنصات.

كيفية عمل هجوم التصيد

تستهدف هجمات التصيد الاحتيالي المودالي بشكل رئيسي عناصر واجهة المستخدم (UI) لمحافظ العملات المشفرة Web3.0. يستطيع المهاجمون السيطرة على هذه العناصر، وبشكل خاص النوافذ المودالية، لتنفيذ هجمات التصيد.

نافذة النموذج هي عنصر واجهة مستخدم شائع الاستخدام في تطبيقات الهواتف المحمولة، وعادة ما تظهر في الجزء العلوي من النافذة الرئيسية، وتستخدم لعمليات سريعة مثل الموافقة أو رفض طلبات المعاملات. التصميم النموذجي لنافذة النموذج في المحفظة الرقمية Web3.0 يتضمن عادةً تفاصيل المعاملة وأزرار الموافقة/الرفض.

ومع ذلك، قد يتم التلاعب بهذه العناصر من قبل المهاجمين. على سبيل المثال، يمكن للمهاجمين تغيير تفاصيل المعاملة، وتزييف طلب المعاملة ليبدو وكأنه تحديث أمان قادم من مصدر موثوق، مما يخدع المستخدمين للموافقة.

أساليب الهجوم الرئيسية

1. هجوم تصيد على DApp من خلال بروتوكول Wallet Connect: يمكن للمهاجمين السيطرة على عناصر واجهة مستخدم معلومات DApp (مثل الاسم، الرمز، إلخ) لتزوير DApp معروف. نظرًا لأن بروتوكول Wallet Connect لم يتحقق من مشروعية معلومات DApp، سيتم عرض هذه المعلومات المزورة مباشرةً على المستخدم من قبل تطبيق المحفظة.

2. معلومات العقد الذكي التصيد: بعض تطبيقات المحفظة تقرأ بايتات توقيع العقد الذكي، وتستخدم طرق الاستعلام على السلسلة لاسترجاع أسماء الطرق المناسبة. يمكن أن يستغل المهاجمون هذه الآلية لتسجيل طرق بأسماء مضللة (مثل "SecurityUpdate")، مما يجعل طلبات المعاملات تبدو أكثر موثوقية.

نصائح للوقاية

1. لمطوري المحفظة:
   • دائمًا افترض أن البيانات المدخلة من الخارج غير موثوقة
   • اختيار المعلومات التي تعرض للمستخدم بعناية والتحقق من شرعية هذه المعلومات
   • اتخاذ تدابير وقائية، وتصفيه الكلمات التي قد تستخدم في هجمات التصيد

2. للمستخدمين:
   • كن حذرًا من كل طلب تداول غير معروف
   • تحقق بعناية من تفاصيل الصفقة، ولا تثق بالمعلومات المعروضة في نافذة النموذج
   • قبل الموافقة على أي صفقة، تحقق من صحة مصدر الصفقة

مع استمرار تطور تقنيات Web3.0، قد تتزايد هذه الأنواع الجديدة من أساليب الهجوم. يحتاج المستخدمون والمطورون إلى توخي الحذر معًا للحفاظ على أمان الأصول الرقمية.