Web3 Security Alert — Common Asset Theft Scenarios

Overview

● Mga karaniwang sitwasyon na maaaring humantong sa pagkawala ng asset

● Mga hakbang sa proteksyon ng Bitget para pangalagaan ang mga pondo ng user

Binubuksan ng Web3 ang pinto sa kalayaan sa pananalapi at makabagong pagbabago, ngunit nagpapakilala rin ito ng mga bagong panganib sa seguridad. Pinaghiwa-hiwalay ng artikulong ito ang mga pinakakaraniwang paraan na nagiging biktima ng pagnanakaw ng asset ang mga user, mula sa mga private key leaks at malisyosong pag-apruba ng signature hanggang sa paglipat ng panloloko at iba pang pag-atake. Dito, ibinabahagi namin ang real-world na mga pag-aaral ng kaso at nagbibigay ng pangkalahatang-ideya ng mga hakbang sa proteksyon ng Bitget, na naglalayong bigyan ang mga user ng kaalaman na kailangan nila para mas mapangalagaan ang kanilang mga digital na asset sa blockchain ecosystem.

Seed phrase o private key leaks

Ninakaw ng mga pekeng wallet

Ang mga umaatake ay madalas na nagpapanggap bilang mga opisyal na miyembro ng koponan o admin sa mga platform tulad ng Telegram o Discord. Nagpapadala sila ng mga email sa phishing o nagbabahagi ng mga pekeng link sa pag-download ng wallet, na kadalasang nakakubli bilang "mga update sa seguridad" mula sa mga pinagkakatiwalaang pangalan tulad ng MetaMask o Trust Wallet. Ang ilan ay nagpapatakbo pa ng mga ad sa mga search engine upang idirekta ang mga user sa mga phishing site. Kapag na-install ng mga biktima ang mga pekeng app na ito at naipasok ang kanilang mga seed phrase o pribadong key, ang impormasyon ay agad na ipapadala sa mga server na kinokontrol ng mga umaatake.

Ninakaw mula sa clipboard ng malware

Ang mga nakakahamak na app na ito ay madalas na lumalabas bilang hindi nakakapinsalang mga tool, gaya ng mga QR code scanner, file manager, mga basag na laro, crypto price tracker, o airdrop checker. Kapag na-install na, humihiling ang mga app ng access sa clipboard at patuloy na sinusubaybayan ang mga nilalaman nito. Kung kinokopya ng mga user ang sensitibong data tulad ng mga seed na parirala o pribadong key (karaniwang sa panahon ng pag-backup o paglilipat), agad na kinukuha ng mga app na ito ang impormasyon at ipinapadala ito sa mga server ng mga umaatake.

Mga pandaraya sa lagda o awtorisasyon

eth_sign mga scam

Ang eth_sign ay isang pangunahing paraan ng pag-sign ng Ethereum na nagbibigay-daan sa mga user na pumirma ng arbitrary na data. Ang problema ay, nakikita lang ng mga user ang isang hindi nababasang string ng hexadecimal code, kaya madalas silang walang ideya kung ano talaga ang kanilang pinipirmahan. Sinasamantala ito ng mga attacker sa pamamagitan ng panlilinlang sa mga user na pumirma ng mga nakakahamak na pag-apruba — minsan ay nagbibigay pa nga ng ganap na access sa kanilang mga asset.

Permit2 signature phishing

Ang Permit2, isang protocol ng pag-apruba ng token na binuo ng Uniswap Labs, ay ligtas sa pamamagitan ng disenyo ngunit pinagsamantalahan sa mga pag-atake ng phishing. Nililinlang ng mga attacker ang mga user na pumirma sa mga awtorisasyon ng Permit2 sa ilalim ng pagkukunwari ng pag-verify ng wallet o airdrop claim. Kapag nalagdaan na, maaaring ilipat ng umaatake ang mga token ng user nang hindi nangangailangan ng anumang karagdagang pahintulot.

Mga scam sa awtorisasyon ng token

Ang ilang mga nakakahamak na website ay nagkukumbinsi sa mga user na magbigay ng walang limitasyong awtorisasyon para sa mahahalagang token sa isang matalinong kontrata, na nagpapahintulot sa site na manipulahin ang kanilang mga hawak. Ang mga site na ito ay madalas na nagpapanggap bilang mga lehitimong DeFi o NFT platform, at nangangailangan ng pahintulot ng user para sa pakikilahok. Lumilikha ang mga umaatake ng madaliang pagkilos sa pamamagitan ng mga pekeng alok o promosyon na may limitadong oras upang mapababa ang mga depensa ng user. Kapag pinahintulutan, maaari nilang bawiin ang mga token ng biktima nang walang karagdagang kumpirmasyon.

Mga scam sa awtorisasyon ng NFT

Ang ilang mga nakakahamak na site ay nag-uudyok sa mga user na magbigay ng setApprovalForAll ng mga pahintulot sa kanilang mga NFT. Kung maaprubahan, ang umaatake ay magkakaroon ng ganap na kontrol sa koleksyon ng NFT ng user at maaaring maglipat ng mga asset anumang oras nang walang karagdagang aksyon.

Transfer fraud

Pag-hijack ng wallet address sa mga messaging app

Ang ilang mga attacker ay namamahagi ng mga tampered na bersyon ng mga messaging app gaya ng Telegram sa pamamagitan ng hindi opisyal na mga source. Ang mga binagong app na ito ay naglalaman ng malisyosong code na sumusubaybay sa mga chat at pumapalit sa anumang mga address ng crypto wallet na ibinahagi. Kapag ang mga user ay kumopya ng wallet address mula sa isang chat upang magpadala ng mga pondo, sa halip ay maaari nilang ipadala ang mga pondo sa wallet ng umaatake. Noong 2023, mahigit 500 user ang nawalan ng humigit-kumulang $8 milyon sa crypto sa pamamagitan ng hindi sinasadyang paglilipat ng mga pondo sa pamamagitan ng tampered na bersyon ng Telegram.

Walang laman ang paglilipat ng phishing

Sinasamantala ng mga attacker ang isang gawi sa USDT transferFrom function na nagbibigay-daan sa mga zero-value transfer nang hindi nangangailangan ng pag-apruba ng nagpadala. Nagbibigay-daan ito sa kanila na simulan ang mga operasyon ng TransferFrom sa mga aktibong user account at bahain ang kanilang kasaysayan ng transaksyon. Dahil madalas na kinokopya ng ilang user ang mga address ng wallet mula sa sarili nilang history ng transaksyon, maaari nilang hindi sinasadyang magamit muli ang address ng attacker at magpadala ng mga pondo sa maling tatanggap. Ayon sa SlowMist, mahigit $20 milyon ang ninakaw sa pamamagitan ng pamamaraang ito sa unang kalahati ng 2022 lamang.

Bitget's security measures

Karamihan sa mga asset ay nakaimbak sa malamig na mga wallet

Karamihan sa mga digital asset sa Bitget ay naka-store sa offline, multi-signature cold wallet. Ang maingat na pamamaraang ito ng pagpapanatiling nakadiskonekta ang mga wallet sa internet ay makabuluhang binabawasan ang panganib ng cyberattacks.

Proteksyon ng fund

Bitget maintains a $700 million Protection Fund. Kung ang iyong Bitget account ay nakompromiso, o ang iyong mga asset ay nanakaw o nawala (hindi kasama ang mga pagkalugi dahil sa mga personal na aksyon o transaksyon), maaari kang mag-apply para sa isang paghahabol sa pamamagitan ng Bitget Protection Fund.

Opisyal na channel ng pag-verify

To help users avoid phishing and scams, Bitget offers an official verification channel. Magagamit mo ito upang kumpirmahin kung ang isang email, webpage, o social media account ay tunay na mula sa Bitget.

Edukasyon sa seguridad

Regular na nagbabahagi ang Bitget ng nilalamang pang-edukasyon upang itaas ang kamalayan at tulungan ang mga user na palakasin ang kanilang kaalaman at kasanayan sa seguridad.

Pinakamahuhusay na kagawian para sa mga user

Pagprotekta sa iyong mga seed na parirala at pribadong key

● Huwag kailanman i-upload ang iyong seed phrase o pribadong key sa cloud storage nang walang encryption.

● Iwasang kopyahin nang buo ang iyong seed na parirala o pribadong key sa clipboard, dahil maaaring makuha ito ng malware.

● Mag-download lamang ng mga wallet na app mula sa mga opisyal na mapagkukunan, at palaging i-verify ang pirma ng publisher at software.

Pamamahala ng lagda at awtorisasyon

● Huwag kailanman lagdaan ang anumang bagay na hindi mo lubos na nauunawaan at palaging suriing mabuti ang mga nilalaman bago pumirma.

● Magtakda ng minimum na kinakailangang limitasyon sa pahintulot para sa mga hindi pamilyar na proyekto sa halip na magbigay ng walang limitasyong pag-access.

● Gumamit ng mga tool sa pamamahala ng awtorisasyon (hal., Revoke.cash) upang regular na suriin at bawiin ang mga hindi kinakailangang awtorisasyon.

Mga kasanayan sa ligtas na paglipat

● Bago gumawa ng anumang malaki o mahalagang paglilipat, palaging subukan na may maliit na halaga.

● I-save ang mga address ng madalas na ginagamit na wallet sa address book.

Final thoughts

Ang pagprotekta sa mga digital asset ay nangangailangan ng magkasanib na pagsisikap. Habang ang mga palitan tulad ng Bitget ay bumubuo ng mga komprehensibong balangkas ng seguridad, ang mga user ay dapat ding manatiling mapagbantay at may kaalaman. Ang tradisyunal na pananalapi ay tumagal ng maraming siglo upang bumuo ng mga ligtas na kasanayan. Katulad nito, umuunlad pa rin ang Web3. Ang bawat insidente sa seguridad ay nag-aalok ng mahahalagang aral. Nananatiling nakatuon ang Bitget sa pamumuhunan sa seguridad ng platform at pagpapalawak ng nilalamang pang-edukasyon upang matulungan ang mga user na palakasin ang kanilang mga depensa. Naniniwala kami na ang platform at mga user ay dapat magtulungan upang lumikha ng isang tunay na secure at mapagkakatiwalaang Web3 ecosystem, kung saan ang blockchain innovation ay maaaring umunlad habang pinapaliit ang mga panganib.

Mga kaugnay na artikulo:

Web3 Security Alert - SMS Spoofing

Web3 Security Alert - Payzero

Web3 Security Alert - High-risk Tokens

Web3 Security Alert - Fake Apps

Web3 Security Alert - Malicious Approvals