Cadena de bloques protocolo se convierte en una herramienta de fraude: análisis de nuevas amenazas como la autorización de contratos inteligentes y el phishing de firmas.
Nuevas amenazas en el mundo de la cadena de bloques: el protocolo se convierte en una herramienta de fraude
Las criptomonedas y la tecnología de cadena de bloques están remodelando el concepto de libertad financiera, pero esta revolución también ha traído nuevos desafíos. Los estafadores ya no se limitan a aprovechar las vulnerabilidades tecnológicas, sino que han convertido el protocolo de contratos inteligentes de la cadena de bloques en un medio de ataque. A través de trampas de ingeniería social cuidadosamente diseñadas, utilizan la transparencia y la irreversibilidad de la cadena de bloques para transformar la confianza de los usuarios en una herramienta para robar activos. Desde falsificar contratos inteligentes hasta manipular transacciones entre cadenas, estos ataques no solo son difíciles de rastrear, sino que son aún más engañosos debido a su apariencia "legalizada". Este artículo analizará casos reales para revelar cómo los estafadores convierten los protocolos en vehículos de ataque y ofrecerá soluciones integrales que van desde la protección técnica hasta la prevención conductual, ayudándole a avanzar de manera segura en un mundo descentralizado.
Uno, ¿cómo se convierte un protocolo en una herramienta de fraude?
El protocolo de la cadena de bloques debería garantizar la seguridad y la confianza, pero los estafadores aprovechan sus características, combinadas con la negligencia de los usuarios, para crear diversas formas de ataque encubiertas. A continuación se presentan algunos métodos y sus detalles técnicos:
(1) autorización de contrato inteligente malicioso
Principio técnico:
En cadenas de bloques como Ethereum, el estándar de tokens ERC-20 permite a los usuarios autorizar a terceros (generalmente contratos inteligentes) a extraer una cantidad específica de tokens de su billetera a través de la función "Approve". Esta funcionalidad se utiliza ampliamente en protocolos DeFi, donde los usuarios necesitan autorizar contratos inteligentes para completar transacciones, hacer staking o minería de liquidez. Sin embargo, los estafadores aprovechan este mecanismo para diseñar contratos maliciosos.
Forma de operar:
Los estafadores crean un DApp que se disfraza de un proyecto legítimo, a menudo promocionándolo a través de sitios de phishing o redes sociales. Los usuarios conectan sus billeteras y son inducidos a hacer clic en "Approve", que aparentemente autoriza una cantidad limitada de tokens, pero en realidad puede ser un límite infinito. Una vez que se completa la autorización, la dirección del contrato del estafador obtiene permisos, pudiendo llamar en cualquier momento a la función "TransferFrom" para extraer todos los tokens correspondientes de la billetera del usuario.
Caso real:
A principios de 2023, un sitio web de phishing disfrazado de "actualización de Uniswap V3" llevó a que cientos de usuarios perdieran millones de dólares en USDT y ETH. Los datos en la cadena muestran que estas transacciones cumplían completamente con el estándar ERC-20, y las víctimas ni siquiera pudieron recuperar su dinero a través de medios legales, ya que la autorización fue firmada de forma voluntaria.
(2) phishing de firma
Principio técnico:
Las transacciones en la cadena de bloques requieren que los usuarios generen una firma a través de la clave privada para probar la legitimidad de la transacción. Las billeteras suelen mostrar una solicitud de firma, que, tras la confirmación del usuario, la transacción se transmite a la red. Los estafadores aprovechan este proceso para falsificar solicitudes de firma y robar activos.
Método de operación:
El usuario recibe un correo electrónico o mensaje disfrazado como notificación oficial, por ejemplo, "Su airdrop de NFT está listo para ser reclamado, por favor verifique su billetera". Al hacer clic en el enlace, el usuario es dirigido a un sitio web malicioso que solicita conectar su billetera y firmar una "transacción de verificación". Esta transacción puede ser en realidad una llamada a la función "Transfer", que transfiere directamente ETH o tokens de la billetera a la dirección del estafador; o puede ser una operación "SetApprovalForAll" que autoriza al estafador a controlar la colección de NFT del usuario.
Caso real:
Una conocida comunidad de NFT sufrió un ataque de phishing por firma, varios usuarios perdieron NFT por un valor de millones de dólares al firmar transacciones "de recepción de airdrop" falsificadas. Los atacantes aprovecharon el estándar de firma EIP-712 para falsificar solicitudes que parecían seguras.
(3) Tokens falsos y ataques de "polvo"
Principio técnico:
La apertura de la cadena de bloques permite a cualquier persona enviar tokens a cualquier dirección, incluso si el destinatario no lo ha solicitado activamente. Los estafadores aprovechan esto, enviando pequeñas cantidades de criptomonedas a múltiples direcciones de billetera para rastrear la actividad de las billeteras y asociarlas con las personas o empresas que poseen las billeteras.
Forma de operar:
Los atacantes envían pequeñas cantidades de criptomonedas a diferentes direcciones y luego intentan averiguar cuáles direcciones pertenecen a la misma cartera. En la mayoría de los casos, estas "migas" se distribuyen en forma de airdrop a las carteras de los usuarios, posiblemente con nombres o metadatos atractivos, lo que induce a los usuarios a visitar sitios web específicos para consultar detalles. Cuando los usuarios intentan canjear estos tokens, los atacantes pueden acceder a la cartera del usuario a través de la dirección del contrato que acompaña a los tokens. Más sutilmente, el ataque de migas puede utilizar ingeniería social, analizando las transacciones posteriores del usuario, para identificar las direcciones de carteras activas del usuario y así llevar a cabo estafas más precisas.
Caso real:
En la red de Ethereum, hubo un ataque de "tokens GAS" que afectó a miles de billeteras. Algunos usuarios, por curiosidad, perdieron ETH y tokens ERC-20.
Dos, ¿por qué son difíciles de detectar estos fraudes?
Estos fraudes son exitosos en gran medida porque se ocultan dentro de los mecanismos legítimos de la Cadena de bloques, lo que dificulta a los usuarios comunes discernir su naturaleza maliciosa. A continuación, se presentan algunas razones clave:
Complejidad técnica: El código del contrato inteligente y las solicitudes de firma son difíciles de entender para los usuarios no técnicos. Por ejemplo, una solicitud de "Approve" puede mostrarse como una cadena de datos hexadecimales, y el usuario no puede juzgar intuitivamente su significado.
**Legalidad en cadena: ** Todas las transacciones se registran en la Cadena de bloques, parecen transparentes, pero las víctimas a menudo se dan cuenta de las consecuencias de la autorización o firma solo después, momento en el cual los activos ya no pueden recuperarse.
Ingeniería social: Los estafadores aprovechan las debilidades humanas, como la codicia, el miedo o la confianza.
Disfraz sofisticado: Los sitios de phishing pueden usar URLs similares a los nombres de dominio oficiales, e incluso aumentar la credibilidad a través de certificados HTTPS.
Tres, ¿cómo proteger su billetera de criptomonedas?
Frente a estos fraudes que combinan aspectos técnicos y psicológicos, proteger los activos requiere una estrategia de múltiples niveles. A continuación se detallan las medidas de prevención:
Revisar y gestionar permisos de autorización
Utiliza la herramienta de verificación de autorización del explorador de cadenas de bloques para revisar regularmente los registros de autorización de la billetera.
Revocar autorizaciones innecesarias, especialmente las autorizaciones ilimitadas a direcciones desconocidas.
Antes de cada autorización, asegúrate de que el DApp provenga de una fuente confiable.
Verifica el valor de "Allowance"; si es "ilimitado", debe ser revocado de inmediato.
Verificar el enlace y la fuente
Introduzca manualmente la URL oficial, evite hacer clic en enlaces de redes sociales o correos electrónicos.
Asegúrese de que el sitio web utilice el nombre de dominio correcto y el certificado SSL.
Ten cuidado con los errores de ortografía o caracteres adicionales en el nombre de dominio.
usar billetera fría y firma múltiple
Almacene la mayoría de los activos en una billetera de hardware y conéctese a la red solo cuando sea necesario.
Para activos de gran valor, utiliza herramientas de firma múltiple que requieren la confirmación de la transacción por múltiples claves.
Maneje con cuidado las solicitudes de firma
Lea detenidamente los detalles de la transacción en la ventana emergente de la billetera.
Utilice la función de análisis del explorador de bloques para interpretar el contenido de la firma, o consulte a un experto técnico.
Crear una billetera independiente para operaciones de alto riesgo, almacenando una pequeña cantidad de activos.
hacer frente a ataques de polvo
Después de recibir un token desconocido, no interactúe. Márquelo como "basura" o escóndalo.
Confirma la fuente del token a través del explorador de la cadena de bloques, si es un envío masivo, mantén una alta alerta.
Evita hacer público tu dirección de billetera, o usa una nueva dirección para operaciones sensibles.
Conclusión
Implementar las medidas de seguridad mencionadas anteriormente puede reducir significativamente el riesgo de convertirse en víctima de un plan de fraude avanzado, pero la verdadera seguridad no depende únicamente de la tecnología. Cuando los monederos de hardware construyen una defensa física y la firma múltiple dispersa el riesgo, la comprensión del usuario sobre la lógica de autorización y la prudencia en las acciones en la cadena son la última línea de defensa contra los ataques. El análisis de datos previo a cada firma y la revisión de permisos después de cada autorización son un juramento a la soberanía digital propia.
En el futuro, independientemente de cómo evolucione la tecnología, la defensa más fundamental radica en: internalizar la conciencia de seguridad como un hábito y mantener un equilibrio entre confianza y verificación. En el mundo de la cadena de bloques donde el código es ley, cada clic y cada transacción se registra de forma permanente e inalterable. Mantenerse alerta y actuar con precaución es la única forma de avanzar de manera segura en este nuevo mundo lleno de oportunidades y riesgos.
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
11 me gusta
Recompensa
11
4
Republicar
Compartir
Comentar
0/400
BasementAlchemist
· 07-19 00:30
Nuevos trucos de estafa han aparecido de nuevo.
Ver originalesResponder0
MemeCurator
· 07-17 23:41
De verdad, es frustrante. Los demás están compitiendo en el mundo Cripto, incluso los estafadores están compitiendo.
Cadena de bloques protocolo se convierte en una herramienta de fraude: análisis de nuevas amenazas como la autorización de contratos inteligentes y el phishing de firmas.
Nuevas amenazas en el mundo de la cadena de bloques: el protocolo se convierte en una herramienta de fraude
Las criptomonedas y la tecnología de cadena de bloques están remodelando el concepto de libertad financiera, pero esta revolución también ha traído nuevos desafíos. Los estafadores ya no se limitan a aprovechar las vulnerabilidades tecnológicas, sino que han convertido el protocolo de contratos inteligentes de la cadena de bloques en un medio de ataque. A través de trampas de ingeniería social cuidadosamente diseñadas, utilizan la transparencia y la irreversibilidad de la cadena de bloques para transformar la confianza de los usuarios en una herramienta para robar activos. Desde falsificar contratos inteligentes hasta manipular transacciones entre cadenas, estos ataques no solo son difíciles de rastrear, sino que son aún más engañosos debido a su apariencia "legalizada". Este artículo analizará casos reales para revelar cómo los estafadores convierten los protocolos en vehículos de ataque y ofrecerá soluciones integrales que van desde la protección técnica hasta la prevención conductual, ayudándole a avanzar de manera segura en un mundo descentralizado.
Uno, ¿cómo se convierte un protocolo en una herramienta de fraude?
El protocolo de la cadena de bloques debería garantizar la seguridad y la confianza, pero los estafadores aprovechan sus características, combinadas con la negligencia de los usuarios, para crear diversas formas de ataque encubiertas. A continuación se presentan algunos métodos y sus detalles técnicos:
(1) autorización de contrato inteligente malicioso
Principio técnico:
En cadenas de bloques como Ethereum, el estándar de tokens ERC-20 permite a los usuarios autorizar a terceros (generalmente contratos inteligentes) a extraer una cantidad específica de tokens de su billetera a través de la función "Approve". Esta funcionalidad se utiliza ampliamente en protocolos DeFi, donde los usuarios necesitan autorizar contratos inteligentes para completar transacciones, hacer staking o minería de liquidez. Sin embargo, los estafadores aprovechan este mecanismo para diseñar contratos maliciosos.
Forma de operar:
Los estafadores crean un DApp que se disfraza de un proyecto legítimo, a menudo promocionándolo a través de sitios de phishing o redes sociales. Los usuarios conectan sus billeteras y son inducidos a hacer clic en "Approve", que aparentemente autoriza una cantidad limitada de tokens, pero en realidad puede ser un límite infinito. Una vez que se completa la autorización, la dirección del contrato del estafador obtiene permisos, pudiendo llamar en cualquier momento a la función "TransferFrom" para extraer todos los tokens correspondientes de la billetera del usuario.
Caso real:
A principios de 2023, un sitio web de phishing disfrazado de "actualización de Uniswap V3" llevó a que cientos de usuarios perdieran millones de dólares en USDT y ETH. Los datos en la cadena muestran que estas transacciones cumplían completamente con el estándar ERC-20, y las víctimas ni siquiera pudieron recuperar su dinero a través de medios legales, ya que la autorización fue firmada de forma voluntaria.
(2) phishing de firma
Principio técnico:
Las transacciones en la cadena de bloques requieren que los usuarios generen una firma a través de la clave privada para probar la legitimidad de la transacción. Las billeteras suelen mostrar una solicitud de firma, que, tras la confirmación del usuario, la transacción se transmite a la red. Los estafadores aprovechan este proceso para falsificar solicitudes de firma y robar activos.
Método de operación:
El usuario recibe un correo electrónico o mensaje disfrazado como notificación oficial, por ejemplo, "Su airdrop de NFT está listo para ser reclamado, por favor verifique su billetera". Al hacer clic en el enlace, el usuario es dirigido a un sitio web malicioso que solicita conectar su billetera y firmar una "transacción de verificación". Esta transacción puede ser en realidad una llamada a la función "Transfer", que transfiere directamente ETH o tokens de la billetera a la dirección del estafador; o puede ser una operación "SetApprovalForAll" que autoriza al estafador a controlar la colección de NFT del usuario.
Caso real:
Una conocida comunidad de NFT sufrió un ataque de phishing por firma, varios usuarios perdieron NFT por un valor de millones de dólares al firmar transacciones "de recepción de airdrop" falsificadas. Los atacantes aprovecharon el estándar de firma EIP-712 para falsificar solicitudes que parecían seguras.
(3) Tokens falsos y ataques de "polvo"
Principio técnico:
La apertura de la cadena de bloques permite a cualquier persona enviar tokens a cualquier dirección, incluso si el destinatario no lo ha solicitado activamente. Los estafadores aprovechan esto, enviando pequeñas cantidades de criptomonedas a múltiples direcciones de billetera para rastrear la actividad de las billeteras y asociarlas con las personas o empresas que poseen las billeteras.
Forma de operar:
Los atacantes envían pequeñas cantidades de criptomonedas a diferentes direcciones y luego intentan averiguar cuáles direcciones pertenecen a la misma cartera. En la mayoría de los casos, estas "migas" se distribuyen en forma de airdrop a las carteras de los usuarios, posiblemente con nombres o metadatos atractivos, lo que induce a los usuarios a visitar sitios web específicos para consultar detalles. Cuando los usuarios intentan canjear estos tokens, los atacantes pueden acceder a la cartera del usuario a través de la dirección del contrato que acompaña a los tokens. Más sutilmente, el ataque de migas puede utilizar ingeniería social, analizando las transacciones posteriores del usuario, para identificar las direcciones de carteras activas del usuario y así llevar a cabo estafas más precisas.
Caso real:
En la red de Ethereum, hubo un ataque de "tokens GAS" que afectó a miles de billeteras. Algunos usuarios, por curiosidad, perdieron ETH y tokens ERC-20.
Dos, ¿por qué son difíciles de detectar estos fraudes?
Estos fraudes son exitosos en gran medida porque se ocultan dentro de los mecanismos legítimos de la Cadena de bloques, lo que dificulta a los usuarios comunes discernir su naturaleza maliciosa. A continuación, se presentan algunas razones clave:
Complejidad técnica: El código del contrato inteligente y las solicitudes de firma son difíciles de entender para los usuarios no técnicos. Por ejemplo, una solicitud de "Approve" puede mostrarse como una cadena de datos hexadecimales, y el usuario no puede juzgar intuitivamente su significado.
**Legalidad en cadena: ** Todas las transacciones se registran en la Cadena de bloques, parecen transparentes, pero las víctimas a menudo se dan cuenta de las consecuencias de la autorización o firma solo después, momento en el cual los activos ya no pueden recuperarse.
Ingeniería social: Los estafadores aprovechan las debilidades humanas, como la codicia, el miedo o la confianza.
Disfraz sofisticado: Los sitios de phishing pueden usar URLs similares a los nombres de dominio oficiales, e incluso aumentar la credibilidad a través de certificados HTTPS.
Tres, ¿cómo proteger su billetera de criptomonedas?
Frente a estos fraudes que combinan aspectos técnicos y psicológicos, proteger los activos requiere una estrategia de múltiples niveles. A continuación se detallan las medidas de prevención:
Revisar y gestionar permisos de autorización
Verificar el enlace y la fuente
usar billetera fría y firma múltiple
Maneje con cuidado las solicitudes de firma
hacer frente a ataques de polvo
Conclusión
Implementar las medidas de seguridad mencionadas anteriormente puede reducir significativamente el riesgo de convertirse en víctima de un plan de fraude avanzado, pero la verdadera seguridad no depende únicamente de la tecnología. Cuando los monederos de hardware construyen una defensa física y la firma múltiple dispersa el riesgo, la comprensión del usuario sobre la lógica de autorización y la prudencia en las acciones en la cadena son la última línea de defensa contra los ataques. El análisis de datos previo a cada firma y la revisión de permisos después de cada autorización son un juramento a la soberanía digital propia.
En el futuro, independientemente de cómo evolucione la tecnología, la defensa más fundamental radica en: internalizar la conciencia de seguridad como un hábito y mantener un equilibrio entre confianza y verificación. En el mundo de la cadena de bloques donde el código es ley, cada clic y cada transacción se registra de forma permanente e inalterable. Mantenerse alerta y actuar con precaución es la única forma de avanzar de manera segura en este nuevo mundo lleno de oportunidades y riesgos.