原文作者:Lisa&Kong
近期,我们发现多起关于eth_sign签名的钓鱼事件。
钓鱼网站1:https://moonbirds-exclusive.com/
当我们连接钱包后并点击Claim后,弹出一个签名申请框,同时MetaMask显示了一个红色提醒警告,而光从这个弹窗上无法辨别要求签名的到底是什么内容。
其实这是一种非常危险的签名类型,基本上就是以太坊的「空白支票」。通过这个钓鱼,子可以使用您的私钥签署任何交易。
除此之外,还有一种钓鱼:在你拒绝上述的sign后,它会在你的MetaMask自动显示另一个签名框,趁你没注意就到你的签名。而看看签名内容,使用了SetApprovalForAll方法,同时Approvedasset?的目标显示为AllofyourNFT,也就是说,一旦你签名,子就可以毫无节制地盗走你的所有NFT。如下:
慢雾:6月24日至28日Web3生态因安全问题损失近1.5亿美元:7月3日消息,慢雾发推称,自6月24日至6月28日,Web3生态因安全问题遭遇攻击损失149,658,500美元,包括Shido、Ichioka Ventures、Blockchain for dog nose wrinkles、Chibi Finance、Biswap、Themis等。[2023/7/3 22:14:33]
钓鱼网站2:https://dooooodles.org/
我们使用MistTrack来分析下子地址:
0xa594f48e80ffc8240f2f28d375fe4ca5379babc7
通过分析,子多次调用SetApprovalForAll盗取用户资产,子地址目前已收到33个NFT,售出部分后获得超4ETH。
慢雾:警惕QANX代币的双花攻击风险:据慢雾区消息,近期存在恶意用户利用QANX代币的转账锁定、解锁功能(transferLocked/unlock)触发的事件记录与正常使用transfer功能转账触发的Transfer事件记录相同而进行双花攻击。
慢雾安全团队建议已上架此币种的平台及时自查,未上架的平台在对接此类币种时应注意以上风险。
QANX: 0xaaa7a10a8ee237ea61e8ac46c50a8db8bcc1baaa[2022/3/26 14:18:46]
回到正题,我们来研究下这种钓鱼方法。首先,我们看看MetaMask官方是如何说明的:
也就是说,MetaMask目前有六种签名方法,只有一种方式会出现MetaMask警告,发生在?eth_sign?的签名情况下,原因是eth_sign方法是一种开放式签名方法,它允许对任意Hash进行签名,这意味着它可用于对交易或任何其他数据进行签名,从而构成危险的网络钓鱼风险。
动态 | 慢雾:Electrum“更新钓鱼”盗币攻击补充预警:Electrum 是全球知名的比特币轻钱包,支持多签,历史悠久,具有非常广泛的用户群体,许多用户喜欢用 Electrum 做比特币甚至 USDT(Omni) 的冷钱包或多签钱包。基于这种使用场景,Electrum 在用户电脑上使用频率会比较低。Electrum 当前最新版本是 3.3.8,而已知的 3.3.4 之前的版本都存在“消息缺陷”,这个缺陷允许攻击者通过恶意的 ElectrumX 服务器发送“更新提示”。这个“更新提示”对于用户来说非常具有迷惑性,如果按提示下载所谓的新版本 Electrum,就可能中招。据用户反馈,因为这种攻击,被盗的比特币在四位数以上。本次捕获的盗币攻击不是盗取私钥(一般来说 Electrum 的私钥都是双因素加密存储的),而是在用户发起转账时,替换了转账目标地址。在此我们提醒用户,转账时,需要特别注意目标地址是否被替换,这是近期非常流行的盗币方式。并建议用户使用 Ledger 等硬件钱包,如果搭配 Electrum,虽然私钥不会有什么安全问题,但同样需要警惕目标地址被替换的情况。[2020/1/19]
根据MetaMask官方文档说明,eth_sign方法是可以对任意哈希进行签名的,而我们在签署一笔交易时本质上也是对一串哈希进行签名,只不过这中间的编码过程都由MetaMask替我们处理了。我们可以再简单回顾下从编码到交易广播的过程:
动态 | 慢雾: 警惕利用EOS及EOS上Token的提币功能恶意挖矿:近期由于EIDOS空投导致EOS主网CPU资源十分紧张,有攻击者开始利用交易所/DApp提币功能恶意挖矿,请交易所/DApp在处理EOS及EOS上Token的提币时,注意检查用户提币地址是否是合约账号,建议暂时先禁止提币到合约账号,避免被攻击导致平台提币钱包的CPU资源被恶意消耗。同时,需要注意部分交易所的EOS充值钱包地址也是合约账号,需要设置白名单避免影响正常用户的提币操作。[2019/11/6]
在进行交易广播前,MetaMask会获取我们转账的对象、转账的金额、附带的数据,以及MetaMask自动帮我们获取并计算的nonce、gasPrice、gasLimit参数进行RLP编码得到原始交易内容。如果是合约调用,那么to即为合约地址,data即为调用数据。
rlp=require('rlp');
//Usenon-EIP115standard
consttransaction={
nonce:'',
gasPrice:'',
gasLimit:'',
to:'0x',
value:'',
data:'0x'
};
//RLPencode
constrawTransaction=rlp.encode();
随后再对此内容进行keccak256哈希后得到一串bytes32的数据就是所需要我们签名的数据了。
//keccak256encode
constmsgHex=rawTransaction.toString('hex');
constmsgHash=Web3.utils.keccak256('0x'msgHex);
我们使用MetaMask对这串数据签名后就会得到r,s,v值,用这三个值再与nonce/gasPrice/gasLimit/to/value/data进行一次RLP编码即可得到签名后的原始交易内容了,这时候就可以广播发出交易了。
rlp=require('rlp');
consttransaction={
nonce:'',
gasPrice:'',
gasLimit:'',
to:'',
value:'',
data:'',
v:'',
r:'',
s:''
};
//RLPencode
constsignedRawTransaction=rlp.encode();
而如上所述,eth_sign方法可以对任意哈希进行签名,那么自然可以对我们签名后的bytes32数据进行签名。因此攻击者只需要在我们连接DApp后获取我们的地址对我们账户进行分析查询,即可构造出任意数据让我们通过eth_sign进行签名。
这种钓鱼方式对用户会有很强的迷惑性,以往我们碰到的授权类钓鱼在MetaMask会给我直观的展示出攻击者所要我们签名的数据。如下所示,MetaMask展示出了此钓鱼网站诱导用户将NFT授权给恶意地址。
而当攻击者使用eth_sign方法让用户签名时,如下所示,MetaMask展示的只是一串bytes32的哈希。
总结
本文主要介绍eth_sign签名方式的钓鱼手法。虽然在签名时MetaMask会有风险提示,但若结合钓鱼话术干扰,没有技术背景的普通用户很难防范此类钓鱼。建议用户在遇到此类钓鱼时提高警惕,?认准域名,仔细检查签名数据,必要时可以安装安全插件,如:RevokeCash、ScamSniffer等,同时注意插件提醒。
原文链接
标签:ETAMETTAMTAMAmetamask安卓MetaZoonMetaMask这个软件可靠吗metamask安卓下载
在遭受最新的大规模去中心化金融攻击后,Mango的MNGO代币下跌了40%以上。公众号:币圈一级市场阿生所有平台均为,由于平台限制,图片未能展现出来,大家可以到公众平台阅读此文托管在Solana区块链上的去中心化金融平台Mango已被.
1900/1/1 0:00:00最近「Uniswap最终会转向应用链的形式」是一个热门话题,应用链是比DApp更好的选择吗?Nascent的DanElitzer倡导应用链,表示构建于以太坊网路的去中心化交易所Uniswap最终将不得不改变为应用链的形式.
1900/1/1 0:00:00亲爱的BitMart用户:BitMart支持CUBE代币主网更换,向用户提供的置换服务即将完成,平台内的用户无需进行任何操作即可完成兑换.
1900/1/1 0:00:00美联储表示23年初利率将高于4.5%,美股顺势带动BTC跌破1.9万美元关口。预期利率持续上涨,前两天美债利率突破4%,创08年以来新高,这意味着通胀飙升,加息不能停,BTC正面临热钱疯狂流出,另一方面美元持续飙升,下图蓝色线是BTC.
1900/1/1 0:00:00比特币在过去24小时内下跌了1%。据CoinGecko称,在撰写本文时,最大的加密货币交易价格为19,355美元。全球加密货币市值目前为9.78亿美元。 比特币价格盘整 周末,比特币保持相对平静.
1900/1/1 0:00:00DearKuCoinUsers,?KuCoinwillsupporttheBNBSmartChain(BEP20)networkupgradeandhardfork.Thearrangementsareasfollows:?1.The.
1900/1/1 0:00:00