Ví tiền di động Web3.0 đối mặt với mối đe dọa lừa đảo mới: tấn công mô hình

Gần đây, một kỹ thuật lừa đảo mới nhắm vào Ví tiền di động Web3.0 đã được phát hiện, loại tấn công này chủ yếu lợi dụng cửa sổ mô-đun của Ví tiền di động để đánh lừa người dùng. Các nhà nghiên cứu đã đặt tên cho phương pháp tấn công mới này là "tấn công lừa đảo mô-đun" (Modal Phishing).

Trong cuộc tấn công này, tin tặc có thể gửi thông tin giả mạo đến ví tiền di động, mạo danh các ứng dụng phi tập trung hợp pháp (DApp). Bằng cách hiển thị thông tin gây hiểu lầm trong cửa sổ mô-đun của ví tiền, kẻ tấn công cố gắng lừa đảo người dùng chấp thuận giao dịch độc hại. Hiện tại, công nghệ lừa đảo này đã được sử dụng rộng rãi trên nhiều nền tảng.

Nguyên lý hoạt động của cuộc tấn công lừa đảo mô hình

Cuộc tấn công lừa đảo kiểu mô-đun chủ yếu nhắm vào các yếu tố giao diện người dùng (UI) của ví tiền tiền điện tử Web3.0. Kẻ tấn công có khả năng kiểm soát các yếu tố UI này, đặc biệt là cửa sổ mô-đun, để thực hiện các cuộc tấn công lừa đảo.

Cửa sổ mô-đun là một yếu tố UI thường thấy trong ứng dụng di động, thường hiển thị trên đỉnh cửa sổ chính, dùng để thao tác nhanh, như phê duyệt hoặc từ chối yêu cầu giao dịch. Thiết kế mô-đun điển hình của ví tiền Web3.0 thường chứa thông tin chi tiết giao dịch và nút phê duyệt/từ chối.

Tuy nhiên, những yếu tố UI này có thể bị kẻ tấn công thao túng. Ví dụ, kẻ tấn công có thể thay đổi chi tiết giao dịch, giả mạo yêu cầu giao dịch như một bản cập nhật an toàn từ nguồn đáng tin cậy, khiến người dùng chấp thuận.

Các phương thức tấn công chính

1. Thực hiện tấn công lừa đảo DApp thông qua giao thức Wallet Connect: Kẻ tấn công có thể kiểm soát các yếu tố UI thông tin DApp (như tên, biểu tượng, v.v.), làm giả DApp nổi tiếng. Bởi vì giao thức Wallet Connect không xác thực tính hợp pháp của thông tin DApp, những thông tin giả mạo này sẽ được ứng dụng ví tiền trực tiếp trình bày cho người dùng.

2. Thông tin hợp đồng thông minh lừa đảo: Một số ứng dụng ví tiền sẽ đọc byte chữ ký của hợp đồng thông minh và sử dụng phương pháp truy vấn bảng trên chuỗi để tìm tên phương thức tương ứng. Kẻ tấn công có thể lợi dụng cơ chế này để đăng ký các phương thức với tên gọi gây hiểu lầm (như "SecurityUpdate"), khiến yêu cầu giao dịch trông đáng tin cậy hơn.

Đề xuất phòng ngừa

1. Đối với các nhà phát triển Ví tiền:
   • Luôn giả định rằng dữ liệu được truyền vào từ bên ngoài là không đáng tin cậy.
   • Chọn kỹ lưỡng thông tin hiển thị cho người dùng và xác minh tính hợp pháp của thông tin đó
   • Thực hiện các biện pháp phòng ngừa, lọc các từ có thể được sử dụng cho các cuộc tấn công lừa đảo

2. Đối với người dùng:
   • Giữ cảnh giác với mỗi yêu cầu giao dịch không xác định
   • Kiểm tra chi tiết giao dịch một cách cẩn thận, đừng tin tưởng vào thông tin hiển thị trong cửa sổ mô phỏng.
   • Trước khi phê duyệt bất kỳ giao dịch nào, hãy xác nhận tính xác thực của nguồn giao dịch

Với sự phát triển không ngừng của công nghệ Web3.0, những phương thức tấn công mới này có thể ngày càng gia tăng. Người dùng và nhà phát triển cần nâng cao cảnh giác, cùng nhau bảo vệ an toàn cho tài sản kỹ thuật số.