Web3 Sicherheitswarnung - Häufige Szenarien für den Diebstahl von Assets

Übersicht

● Häufige Situationen, die zu Asset-Verlust führen können

● Bitget's Schutzmaßnahmen zum Schutz der Nutzer-Assets

Web3 öffnet die Tür zu finanzieller Freiheit und bahnbrechenden Innovationen, aber es bringt auch neue Sicherheitsrisiken mit sich. In diesem Artikel werden die häufigsten Wege aufgezeigt, auf denen Nutzer Opfer von Asset-Diebstahl werden, von Datenlecks bei Private Keys und böswilligen Signaturgenehmigungen bis hin zu Überweisungsbetrug und anderen Angriffen. Hier teilen wir Fallstudien aus der Praxis und geben einen Überblick über die Schutzmaßnahmen von Bitget, um den Nutzern das Wissen zu vermitteln, das sie benötigen, um ihre digitalen Assets im Blockchain-Ökosystem besser zu schützen.

Datenlecks in der Seed-Phrase oder im Private Key

Gestohlen durch gefälschte Wallets

Angreifer geben sich oft als offizielle Teammitglieder oder Administratoren auf Plattformen wie Telegram oder Discord aus. Sie versenden Phishing-E-Mails oder geben gefälschte Download-Links für Wallets weiter, die oft als „Sicherheitsupdates“ von vertrauenswürdigen Namen wie MetaMask oder Trust Wallet getarnt sind. Einige schalten sogar Anzeigen in Suchmaschinen, um Nutzer auf Phishing-Seiten zu leiten. Sobald die Opfer diese gefälschten Anwendungen installieren und ihre Seed-Phrasen oder Private Keys eingeben, werden die Informationen sofort an von den Angreifern kontrollierte Server gesendet.

Durch Malware aus der Zwischenablage gestohlen

Diese bösartigen Anwendungen erscheinen oft als harmlose Tools, wie QR-Code-Scanner, Dateimanager, geknackte Spiele, Krypto-Preis-Tracker oder Airdrop-Checker. Nach der Installation fordern die Anwendungen Zugriff auf die Zwischenablage und überwachen deren Inhalt kontinuierlich. Wenn Nutzer sensible Daten wie Seed-Phrasen oder Private Keys kopieren (in der Regel während eines Backups oder einer Überweisung), erfassen diese Anwendungen die Informationen sofort und senden sie an die Server der Angreifer.

Unterschriften- oder Autorisierungsbetrug

eth_sign Betrügereien

eth_sign ist eine grundlegende Ethereum-Signaturmethode, die es Nutzern ermöglicht, beliebige Daten zu signieren. Das Problem ist, dass die Nutzer nur eine unleserliche Hexadezimalkode-Zeichenkette sehen, so dass sie oft nicht wissen, was sie eigentlich signieren. Angreifer nutzen dies aus, indem sie Nutzer dazu verleiten, bösartige Genehmigungen zu unterzeichnen - und ihnen manchmal sogar vollen Zugriff auf ihre Assets gewähren.

Permit2 Signatur Phishing

Permit2, ein von Uniswap Labs entwickeltes Token-Genehmigungsprotokoll, ist von Haus aus sicher, wurde aber bereits für Phishing-Angriffe missbraucht. Die Angreifer verleiten Nutzer dazu, Permit2-Autorisierungen unter dem Deckmantel der Wallet-Verifizierung oder Airdrop-Ansprüche zu unterschreiben. Nach dem Signieren kann der Angreifer die Token des Nutzers verschieben, ohne dass er weitere Berechtigungen benötigt.

Token-Autorisierungsbetrug

Einige böswillige Websites überreden Nutzer dazu, einem Smart Contract eine unbegrenzte Berechtigung für wertvolle Token zu erteilen, so dass die Website ihre Bestände manipulieren kann. Diese Websites geben sich oft als legitime DeFi- oder NFT-Plattformen aus und verlangen die Zustimmung des Nutzers zur Teilnahme. Angreifer erzeugen Dringlichkeit durch gefälschte zeitlich begrenzte Angebote oder Aktionen, um die Abwehrhaltung der Nutzer zu schwächen. Sobald sie autorisiert sind, können sie die Token des Opfers ohne weitere Bestätigung auszahlen.

NFT-Autorisierungsbetrug

Einige bösartige Websites fordern Nutzer auf, setApprovalForAll-Berechtigungen für ihre NFTs zu erteilen. Wird dies genehmigt, erhält der Angreifer die volle Kontrolle über die NFT-Sammlung des Nutzers und kann jederzeit ohne weiteres Zutun Assets überweisen.

Überweisungsbetrug

Hijacking von Wallet-Adressen in Nachrichten-Apps

Einige Angreifer verbreiten manipulierte Versionen von Messaging-Apps wie Telegram über inoffizielle Quellen. Diese modifizierten Apps enthalten bösartigen Code, der Chats überwacht und alle geteilten Krypto-Wallet-Adressen ersetzt. Wenn Nutzer eine Wallet-Adresse aus einem Chat kopieren, um Assets zu senden, können sie die Assets stattdessen unwissentlich an die Wallet des Angreifers senden. Im Jahr 2023 verloren über 500 Nutzer rund 8 Millionen $ in Kryptowährungen, indem sie unwissentlich Assets über eine manipulierte Version von Telegram überwiesen.

Leerüberweisung Phishing

Angreifer nutzen ein Verhalten in der USDT transferFrom-Funktion aus, das Überweisungen im Wert von Null ermöglicht, ohne dass die Zustimmung des Absenders erforderlich ist. So können sie TransferFrom-Operationen für aktive Nutzerkonten einleiten und deren Transaktionsverlauf fluten. Da einige Nutzer häufig Wallet-Adressen aus ihrem eigenen Transaktionsverlauf kopieren, könnten sie versehentlich die Adresse eines Angreifers wiederverwenden und Assets an den falschen Empfänger senden. Nach Angaben von SlowMist wurden allein in der ersten Hälfte des Jahres 2022 über 20 Millionen $ mit dieser Methode gestohlen.

Bitgets Sicherheitsmaßnahmen

Die meisten Assets werden in Cold Wallets aufbewahrt

Die meisten digitalen Assets auf Bitget werden in offline, Multi-Signatur Cold Wallets gespeichert. Dieser vorsichtige Ansatz, bei dem die Wallets nicht mit dem Internet verbunden sind, verringert das Risiko von Cyberangriffen erheblich.

Protection-Fonds

Bitget führt einen Protection-Fonds in Höhe von 700 Millionen $. Wenn Ihr Bitget-Konto kompromittiert wird oder Ihre Assets gestohlen werden oder verloren gehen (mit Ausnahme von Verlusten durch persönliche Handlungen oder Transaktionen), können Sie einen Anspruch über den Bitget Protection-Fonds beantragen.

Offizieller Verifizierungs-Kanal

Um den Nutzern zu helfen, Phishing und Betrug zu vermeiden, bietet Bitget einen offiziellen Verifizierungskanal. Sie können damit überprüfen, ob eine E-Mail, eine Webseite oder ein Social-Media-Konto wirklich von Bitget stammt.

Bildung im Bereich Sicherheit

Bitget stellt regelmäßig Bildungsinhalte zur Verfügung, um das Bewusstsein zu schärfen und den Nutzern zu helfen, ihre Sicherheitskenntnisse und -praktiken zu verbessern.

Bewährte Praktiken für Nutzer

Schutz Ihrer Seed-Phrasen und Private Keys

● Laden Sie Ihre Seed-Phrase oder Ihren Private Key niemals unverschlüsselt in einen Cloud-Speicher hoch.

● Vermeiden Sie es, Ihre Seed-Phrase oder Ihren Private Key vollständig in die Zwischenablage zu kopieren, da Malware sie abfangen könnte.

● Laden Sie Wallet-Apps nur von offiziellen Quellen herunter und überprüfen Sie immer den Herausgeber und die Signatur der Software.

Signatur- und Berechtigungsmanagement

● Unterschreiben Sie nie etwas, das Sie nicht vollständig verstehen, und lesen Sie den Inhalt immer sorgfältig durch, bevor Sie unterschreiben.

● Legen Sie für unbekannte Projekte ein Minimum an Berechtigungen fest, anstatt unbegrenzten Zugang zu gewähren.

● Verwenden Sie Tools zur Verwaltung von Berechtigungen (z. B. Revoke.cash), um unnötige Berechtigungen regelmäßig zu überprüfen und zu widerrufen.

Sichere Überweisungspraktiken

● Testen Sie vor großen oder wichtigen Überweisungen immer mit einer kleinen Menge.

● Speichern Sie häufig verwendete Wallet-Adressen im Adressbuch.

Abschließende Gedanken

Der Schutz digitaler Assets erfordert gemeinsame Bemühungen. Während Börsen wie Bitget umfassende Sicherheitsrahmen aufbauen, müssen auch die Nutzer wachsam und informiert bleiben. Das traditionelle Finanzwesen brauchte Jahrhunderte, um sichere Praktiken zu entwickeln. Auch das Web3 befindet sich noch in der Entwicklung. Aus jedem Sicherheitsvorfall lassen sich wertvolle Lehren ziehen. Bitget wird auch weiterhin in die Sicherheit der Plattform investieren und die Lerninhalte erweitern, um den Nutzern zu helfen, ihre Verteidigung zu stärken. Wir glauben, dass die Plattform und die Nutzer zusammenarbeiten müssen, um ein wirklich sicheres und vertrauenswürdiges Web3-Ökosystem zu schaffen, in dem Blockchain-Innovationen gedeihen können, während die Risiken minimiert werden.

Verwandte Artikel:

Web3-Sicherheitswarnung – SMS-Spoofing

Web3-Sicherheitswarnung – Payzero

Web3-Sicherheitswarnung – Hochriskante Token

Web3-Sicherheitswarnung – Gefälschte Apps

Web3-Sicherheitswarnung – Böswillige Genehmigungen