۵ ترفند کلاهبرداران برای سرقت در دنیای رمزارزها
براساس گزارش SlowMist مشخص شد که در بین ۳۰۳ فقره حادثه امنیتی ثبت شده در بلاکچین در سال ۲۰۲۲، نزدیک به یک سوم از حملات را فیشینگ، راگ‌پول (rug pull) و کلاهبرداری تشکیل می‌دهد.
شرکت امنیتی بلاکچین SlowMist در این خبر به تفسیر پنج روش رایج فیشینگ پرداخته که شامل بوک‌مارک‌های مخرب مرورگر، سفارش‌های فروش ساختگی و بدافزار تروجان که در اپلیکیشن پیام‌رسان Discord منتشر شده، می‌شود.
بوک‌مارک‌های مخرب مرورگر
یکی از استراتژی‌های فیشینگ این است که از بوک‌مارک‌های مدیریتی استفاده می‌کند که در اکثر مرورگرهای مدرن وجود دارد. کلاهبرداران از این موارد سوء‌استفاده می‌کنند تا در نهایت بتوانند به حساب دیسکورد (Discord) مالک پروژه دسترسی پیدا کنند. این شرکت نوشت: «با قراردادن کد جاوا اسکریپت در بوک‌مارک‌ها از طریق این صفحات فیشینگ، مهاجمان به‌طور بالقوه می‌توانند به اطلاعات کاربران در دیسکورد دسترسی پیدا کرده و مجوزهای حساب مالک پروژه را در اختیار بگیرند.»
در این روش، پس از هدایت کاربر برای افزودن بوک‌مارک‌های مخرب از طریق یک صفحه فیشینگ، کلاهبردار منتظر می‌ماند تا کاربر در حالی که وارد دیسکورد شده، روی بوک‌مارک کلیک کند که کد جاوا اسکریپت داخل آن را فعال کرده و اطلاعات شخصی او را به کانال دیسکورد فرد کلاهبردار ارسال می‌کند.
در طی این فرآیند، کلاهبردار می‌تواند توکن دیسکورد کاربر را (شامل نام کاربری و رمز عبور دیسکورد رمزگذاری شده او) بدزدد و در نتیجه به حسابش دسترسی پیدا کند و از طریق ایجاد و ارسال پیام‌ها و لینک‌های جعلیکاربران بیشتری را طعمه این کلاهبرداری کند.
«خرید صفر دلاری» فیشینگ NFT
بر اساس گزارش SlowMist، از ۵۶ مورد نقض امنیت ۲۲ مورد از آنها در نتیجه حملات فیشینگ بوده است. یکی از محبوب‌ترین روش‌هایی که کلاهبرداران استفاده می‌کنند، این است که قربانیان را فریب می‌دهند تا از طریق یک سفارش فروش ساختگی و بدون هیچ هزینه‌ای NFTها را امضا کنند. هنگامی که قربانی سفارش را امضا می‌کند، کلاهبردار می‌تواند NFTهای این کاربر را از طریق یک بازار و با قیمتی که توسط او تعیین می‌شود خریداری کند.
شرکت SlowMist در پاسخ به روش‌های جلوگیری از این روش کلاهبرداری افزود: «متاسفانه امکان لغو مجوز امضای سرقت شده از طریق سایت‌هایی مانند Revoke وجود ندارد. با این حال، می‌توانید مجوز هرگونه سفارش معلق قبلی را که تنظیم کرده بودید لغو کنید، که همین موضوع می‌تواند به کاهش خطر حملات فیشینگ کمک کند و مانع از استفاده افراد کلاهبردار از امضای شما شود.»
سرقت ارز با تکنیک «اسب تروا»
به گفته SlowMist، این نوع حمله معمولاً از طریق پیام‌های خصوصی در دیسکورد رخ می‌دهد که در آن فرد کلاهبردار از کاربران دعوت می‌کند تا در آزمایش یک پروژه جدید شرکت کنند، سپس برنامه‌ای را در قالب یک فایل فشرده ارسال می‌کند که حاوی یک فایل اجرایی حدود ۸۰۰ مگابایت است. پس از دانلود، این برنامه فایل‌های حاوی عبارات کلیدی مانند «کیف پول» را اسکن کرده و آنها را در سرور فرد کلاهبردار آپلود می‌کند.
این شرکت همچنین اضافه کرد که: «آخرین نسخه بدافزار RedLine Stealer دارای قابلیت سرقت ارزهای دیجیتال، اسکن اطلاعات کیف پول ارز دیجیتال نصب شده بر روی کامپیوتر و آپلود آن بر روی یک دستگاه کنترل از راه دور است. علاوه‌بر سرقت ارزهای دیجیتال، RedLine Stealer می‌تواند فایل‌ها را آپلود و دانلود کند، دستورات را اجرا کند و اطلاعات دوره‌ای را درباره سیستمی که آلوده شده ارسال نماید.
فیشینگ eth_sign «چک خالی»
این حمله فیشینگ به کلاهبرداران اجازه می‌دهد تا از کلید خصوصی شما به عنوان یک کاربر برای امضای هر تراکنشی که خودشان انتخاب می‌کنند استفاده کنند. پس از اتصال کیف پول شما به یک سایت کلاهبرداری، ممکن است یک باکس برای امضا با هشدار قرمزرنگ از طرف MetaMask روصفحه ظاهر می‌شود. پس از امضای باکس موردنظر، کلاهبردار به امضای شما دسترسی پیدا می‌کند و به او این اجازه داده می‌شود داده‌‌های جدیدی ایجاد کند و از طریق eth_sign از شما درخواست امضا کند.
کلاهبرداری با شماره پایان انتقال یکسان
برای این کلاهبرداری، افراد کلاهبردار مقادیر کمی از توکن‌ها را–مثلاً یک‌صدم یا یک‌هزارم دلار آمریکا (USDT)–را به کاربرانی با آدرسی مشابه به جز چند رقم آخر ارسال می‌کنند. هدف از این کار فریب دادن کاربران برای کپی‌کردن آدرس اشتباه در تاریخچه انتقال وجهشان است.
ادامه گزارش ۲۰۲۲ سایر حوادث امنیتی بلاکچین را در طول سال پوشش می‌دهد که شامل آسیب‌پذیری‌های قرارداد و درز اطلاعات مربوط به کلید خصوصی می‌شود.
در طول این یک سال، تقریباً ۹۲ حمله کلاهبرداری با استفاده از آسیب‌پذیری‌های قراردادی رخ داد که مجموعاً به دلیل نقص در طراحی قراردادهای هوشمند و برنامه‌های هک شده، خسارتی به حدود ۱/۱ میلیارد دلار رسید. از سوی دیگر سرقت اطلاعات مربوط به کلید خصوصی تقریباً ۶/۶ درصد از حملات را به خود اختصاص داده است و حداقل ۷۶۲ میلیون دلار ضرر به دنبال داشته است.
