Gần đây, một người dùng đã đăng về việc mất hàng triệu rmb trong tài sản do bị lừa đảo trên Solana. Theo mô tả, anh ấy đã nhấp nhầm vào một liên kết được đăng bởi một nhóm lừa đảo dưới một tweet từ dự án Maneki, dẫn anh ấy vào một trang web giả mạo.

điều làm anh ta bối rối là trong quá trình tương tác, trang web dường như không yêu cầu bất kỳ hoạt động xác thực thông qua mã thông báo nào, và kẻ tấn công đã thành công trong việc đánh cắp tài sản trực tiếp. khi anh ta nhận ra có thể có vấn đề với trang web và cố gắng chuyển các mã thông báo từ ví của mình để tránh bị đánh cắp, anh ta phát hiện rằng nhiều lần thử chuyển không thành công và anh ta không còn rút tài sản được nữa.

do vì thông tin cung cấp hạn chế, chúng tôi không thể đưa hoàn toàn lại cảnh vụ. Tuy nhiên, rõ ràng người dùng đã mất kiểm soát tài khoản maneki token, đó là lý do tại sao việc chuyển tài sản từ ví của anh ấy đã thất bại. Người dùng quen với evm có thể bối rối về ý nghĩa của việc kiểm soát tài khoản.

Điều này bởi vì Solana sử dụng một cách thực hiện khác biệt so với chuỗi EVM. Tiếp tục tương tác với Solana bằng các thói quen từ EVM giống như sử dụng một thanh kiếm lỗi thời để chiến đấu trong một trận đấu hiện đại, không thể tránh khỏi rủi ro đáng kể.

Để thưởng thức việc chơi trên Solana, hiểu rõ các đặc điểm của Solana và các chiến thuật lừa đảo là rất quan trọng. Vì lý do này, chúng tôi đã tổng hợp một số phương pháp tấn công trên Solana khác biệt so với các phương pháp trên EVM, hy vọng giúp người dùng không quen biết với Solana tránh những rủi ro.

1. con chim cu cu trong tổ: chuyển quyền sở hữu tài khoản mã thông báo

Nhân vật chính trong trường hợp mở đầu của chúng tôi đã gặp phải loại tấn công này. Trong ví Solana, mỗi token có một tài khoản riêng (tài khoản token), tương tự như cách một tài khoản ngân hàng có thể có các tài khoản riêng cho các loại tiền tệ khác nhau như rmb và usd, độc lập với nhau. Mỗi tài khoản token cũng có một thuộc tính sở hữu.

theo mặc định, chủ sở hữu của một tài khoản token được chỉ định là ví hiện tại. Tuy nhiên, điều này không phải là mã cứng. Bằng cách gọi thao tác createsetauthorityinstruction, quyền sở hữu của tài khoản token có thể được thay đổi. Hacker sử dụng thao tác này để lừa người dùng chuyển quyền sở hữu của tài khoản token từ ví của họ sang ví của hacker.

Một khi thành công, ngay cả khi các token vẫn ở trong ví, người dùng cũng không thể chuyển chúng ra ngoài, điều này về cơ bản cũng giống như việc mất token.

Do với mức độ rủi ro cao của hoạt động này, cả Phantom và @Backpack_CNví tiền điện tử chặn và cảnh báo người dùng về rủi ro giao dịch, yêu cầu xác nhận lần thứ hai cho giao dịch, trừ khi người dùng khăng khăng muốn phê duyệt nó.

2. không cần xác thực trước cho giao dịch trên Solana

trên EVM, một hợp đồng lừa đảo yêu cầu người dùng phải ủy quyền cho hợp đồng trên hợp đồng token trước khi nó có thể chuyển đổi token từ ví của người dùng. Hợp đồng lừa đảo chỉ có thể khởi tạo giao dịch để chuyển đổi tài sản của người dùng sau khi nhận được sự ủy quyền.

Tuy nhiên, trên Solana, “approve” không có nghĩa là ủy quyền mà là sự phê duyệt giao dịch. Nếu người dùng nhầm lẫn và coi đây như bước ủy quyền và phê duyệt nó, giao dịch lừa đảo sẽ được gửi đi, để lại ít cơ hội phục hồi.

Một tình huống nguy hiểm hơn là nếu người dùng bị lừa đảo để ủy quyền token trên EVM, chỉ có token được ủy quyền bị ảnh hưởng, và những token không được ủy quyền khác vẫn an toàn. Trên Solana, vì không cần phải ủy quyền và chỉ cần sự chấp thuận của người dùng để chuyển đổi token, kết hợp với điểm thứ ba mà chúng ta sẽ thảo luận tiếp theo, điều này có thể dẫn đến mất mát đáng kể cho người dùng.

3. cẩn thận tránh bị thuyết phục chuyển nhiều mã token

Thiết kế giao dịch của Solana cho phép nhiều giao dịch con được bao gồm trong một giao dịch duy nhất, với mỗi giao dịch con hoàn thành một tương tác cụ thể, như chuyển đổi một token cụ thể. So với EVM, nơi mà việc chuyển đổi mỗi token đều yêu cầu một giao dịch riêng biệt, tính năng này của Solana cung cấp một số tiện lợi.

Ví dụ, ví của bạn có thể chứa một số token có giá trị rất thấp, ít hơn 1 usd. Sol-incinerator sử dụng tính năng này để cho phép người dùng gửi hàng loạt token có giá trị nhỏ từ ví của họ và chuyển đổi chúng trở lại thành sol mà không cần phải chuyển đổi nhiều lần, điều này sẽ tiêu tốn rất nhiều gas và tiết kiệm thời gian vận hành.

Mặc dù tính năng này mang lại sự tiện lợi, nhưng cũng rất thuận lợi cho các hoạt động hack. Nếu một hacker thành công lừa dối người dùng xác nhận giao dịch, họ có thể rút tokens, NFT và thậm chí là sol từ ví của người dùng. Do đó, nếu bạn nhìn thấy một giao dịch liên quan đến việc chuyển nhiều tokens, hãy cẩn thận vì đó có thể là một hacker đang cố gắng làm trống ví của bạn bằng tính năng này.

4. lấy chữ ký giao dịch

Trong hệ sinh thái EVM, chữ ký cho phép được ưa chuộng bởi các nhóm lừa đảo vì tính ngầm và sự thực tế rằng chúng không xuất hiện trong ví của người ủy quyền. Hiện nay, hơn một nửa các cuộc tấn công lừa đảo sử dụng phương pháp này. Trong thế giới Solana, có một phương pháp tương tự: nonce bền vững.

hàm nonce bền vững hoạt động tương tự như permit. nếu người dùng ký một giao dịch mà họ không biết, họ sẽ không mất tài sản ngay lập tức hoặc thấy giao dịch này trong ví của họ. thay vào đó, thông tin giao dịch đã được ký được gửi đến nhóm lừa đảo, sau đó họ gửi giao dịch đến blockchain. đặc tính giao dịch ngoại tuyến này cũng nguy hiểm như permit.

vì Solana có thể mô phỏng kết quả giao dịch, số chỉ mục bền vững dễ đọc hơn cho phép, làm cho người dùng dễ dàng nhận diện. Tuy nhiên, các nhóm lừa đảo đã kết hợp số chỉ mục bền vững với việc nâng cấp hợp đồng để đánh cắp tài sản một cách hiệu quả hơn trong khi vượt qua cảnh báo mô phỏng giao dịch.

Các trang web lừa đảo đầu tiên tương tác với người dùng bằng cách sử dụng hợp đồng bình thường mà không có giao dịch độc hại. Chức năng mô phỏng giao dịch của ví không gặp vấn đề ở giai đoạn này. Sau khi người dùng phê duyệt giao dịch, nhóm lừa đảo sẽ không ngay lập tức phát sóng nó lên blockchain. Thay vào đó, họ đợi và sau đó nâng cấp hợp đồng thành phiên bản chứa mã độc hại trước khi phát sóng. Sau đó, người dùng sẽ đột nhiên phát hiện tài sản của họ bị mất, thường là sau nhiều ngày kể từ khi họ ký giao dịch.

phương pháp tấn công nâng cấp này rất tinh vi và độc hại. các chức năng mô phỏng giao dịch hiện tại không thể hiển thị được rủi ro này. do đó, rất quan trọng để duy trì sự cảnh giác cao và không phụ thuộc quá nhiều vào cảnh báo phần mềm ví tiền hoặc mù quáng tin tưởng vào kết quả mô phỏng giao dịch.

kết luận

mục đích thiết kế ban đầu của những tính năng này là giảm ngưỡng người dùng và cung cấp nhiều tiện ích hơn. tuy nhiên, như một thanh gươm hai lưỡi, các công nghệ mới cũng đã cung cấp cho các nhóm lừa đảo một loạt các phương pháp tấn công rộng hơn.

Ngay trước khi viết bài này, Solana đã phát hành hai tính năng mới: Action và Blink. Trong khi có nhiều sự mong đợi xung quanh những tính năng này, một số người cũng đã cảnh báo về khả năng các nhóm lừa đảo có thể lợi dụng chúng.

Lừa đảo trên Solana được đặc trưng bởi các hoạt động bấm một lần và sự âm thầm cao. Do sự không ổn định của rpc và những lý do khác, chức năng mô phỏng giao dịch có thể không luôn hoạt động, do đó không thể hoàn toàn tin cậy.

Được khuyến nghị cho người dùng có khả năng sử dụng ví phần cứng Keystone cho các tương tác. Điều này thêm một lớp xác nhận bổ sung, ngăn chặn các giao dịch xác nhận nhanh do bất cẩn hoặc nhấp nháy.

Ngoài ra, Keystone phân tích các giao dịch trên phần cứng. Trong những trường hợp mô phỏng giao dịch ví phần mềm thất bại, phần cứng vẫn có thể phân tích nội dung giao dịch, cung cấp đường phòng thủ cuối cùng.

Công nghệ blockchain đang liên tục tiến triển và biến đổi. Trong khi chúng ta lo lắng về những rủi ro liên quan đến công nghệ mới, chúng ta không thể ngừng tiến bộ. Các nhóm lừa đảo giống như côn trùng gây hại mà ai cũng muốn loại bỏ, và các chuyên gia, bao gồm cả các nhà sản xuất ví cứng và các công ty an ninh, liên tục phát triển các giải pháp để đối phó với các mối đe dọa mới.

Dành cho người dùng thông thường, rất quan trọng để tự nhắc nhở mình không bị lôi kéo bởi “quà tặng miễn phí” mà phải xem xét kỹ chi tiết giao dịch. Với mức nhận thức về bảo mật này, khả năng lừa đảo sẽ ít thành công hơn nhiều.

miễn trừ trách nhiệm:

1. bài viết này được sao chép từ [Keystone]. tất cả bản quyền đều thuộc về tác giả gốc [ keystone]. nếu có ý kiến phản đối về việc tái in này, vui lòng liên hệ Gate họcđội, và họ sẽ xử lý nó ngay lập tức.
2. phủ định trách nhiệm: quan điểm và ý kiến được thể hiện trong bài viết này chỉ thuộc về tác giả và không hề đại diện cho bất kỳ lời khuyên đầu tư nào.
3. Việc dịch bài viết sang các ngôn ngữ khác được thực hiện bởi nhóm Gate learn. Trừ khi có đề cập, việc sao chép, phân phối hoặc đạo văn các bài viết đã được dịch là cấm.