Ancaman Keamanan Baru untuk Dompet Mobile Web3.0: Serangan Phishing Modalis

Baru-baru ini, peneliti keamanan menemukan teknik phishing baru yang ditargetkan pada dompet mobile Web3.0, yang disebut "serangan phishing modal" (Modal Phishing ). Metode serangan ini terutama memanfaatkan jendela modal dalam dompet mobile untuk menyesatkan pengguna, memicu mereka untuk menyetujui transaksi jahat.

Prinsip Serangan Phishing Modus

Serangan phishing modal terutama menargetkan elemen UI jendela modal yang umum digunakan dalam aplikasi dompet kripto. Penyerang dapat memanipulasi beberapa informasi dalam jendela ini sehingga terlihat seperti berasal dari aplikasi terdesentralisasi yang sah (DApp), sehingga menipu pengguna untuk menyetujui transaksi berbahaya.

Metode serangan ini efektif karena banyak aplikasi Dompet gagal memverifikasi keakuratan informasi yang ditampilkan kepada pengguna. Misalnya:

1. Memanfaatkan kerentanan protokol Wallet Connect: Penyerang dapat mengontrol nama, ikon, dan informasi lainnya dari DApp, menyamar sebagai aplikasi terkenal.

2. Manipulasi informasi kontrak pintar: Beberapa Dompet akan menampilkan nama fungsi kontrak pintar, penyerang dapat mendaftar nama fungsi yang menyesatkan untuk membingungkan pengguna.

Skenario Serangan Tipikal

1. Phishing protokol Wallet Connect

Wallet Connect adalah protokol yang banyak digunakan untuk menghubungkan dompet pengguna dan DApp. Namun, protokol ini saat ini tidak memverifikasi keaslian informasi yang diberikan oleh DApp. Penyerang dapat memanfaatkan hal ini untuk menyamar sebagai DApp terkenal ( seperti Uniswap ) untuk membujuk pengguna menyetujui transaksi jahat.

2. Informasi Phishing Kontrak Pintar

Sebagai contoh MetaMask, antarmuka persetujuan transaksi akan menampilkan nama fungsi kontrak pintar. Penyerang dapat mendaftarkan fungsi dengan nama yang menipu ( seperti "SecurityUpdate" ), membuat transaksi tampak seperti pembaruan keamanan, yang menggoda pengguna untuk memberikan persetujuan.

Saran Pencegahan

1. Pengembang Dompet:
   • Selalu anggap data eksternal tidak dapat dipercaya
   • Memverifikasi dan menyaring informasi yang ditampilkan kepada pengguna dengan cermat
   • Mengambil langkah untuk memfilter kata kunci yang mungkin digunakan untuk phishing.

2. Pengguna:
   • Waspadai setiap permintaan transaksi yang tidak dikenal
   • Periksa detail transaksi dengan cermat, jangan mudah percaya pada informasi yang ditampilkan di antarmuka.
   • Menggunakan langkah keamanan tambahan seperti Dompet perangkat keras

3. Pengembang protokol:
   • Protokol seperti Wallet Connect harus mempertimbangkan untuk menambahkan mekanisme verifikasi informasi DApp.

Serangan phishing modal menyoroti pentingnya keamanan antarmuka pengguna dalam ekosistem Web3.0. Seiring dengan evolusi metode serangan semacam ini, seluruh industri perlu terus waspada dan memperbaiki mekanisme keamanan untuk melindungi keamanan aset pengguna.