Будьте обережні з пасткою blind sign eth_sign: принцип, методи та стратегії захисту

Нещодавно спостерігається високий рівень шахрайства з використанням blind sign eth_sign, багато користувачів були введені в оману підписувати на невідомих сайтах, здавалося б, безпечні підписи eth_sign, що призвело до втрати активів. Щоб допомогти всім краще зрозуміти механізм роботи такого шахрайства, нам необхідно спочатку роз'яснити суть підпису eth_sign.

Суть підпису eth_sign

У екосистемі Ethereum, eth_sign є широко використовуваним методом підпису, який дозволяє користувачам підписувати інформацію за допомогою приватного ключа. Цей механізм підпису є ключовим етапом у блокчейн-транзакціях, який використовується для підтвердження того, що конкретний рахунок є ініціатором транзакції. Іншими словами, це схоже на підпис на документі, що означає, що ви визнаєте або підтримуєте зміст документа.

Однак під час використання eth_sign існує небезпека, яка може бути легко проігнорована, а саме проблема "сліпого підпису". Коли користувач використовує eth_sign для підписання інформації, він може не повністю розуміти зміст підпису та не може перевірити конкретне значення підпису зворотним чином. Це пов'язано з тим, що введення для eth_sign є сирим рядком, а не форматом, зрозумілим для людини. Це схоже на підписання контракту, написаного незнайомою мовою, саме тому його називають "сліпим підписом".

Аналіз шахрайських методів

Зрозумівши концепцію підпису eth_sign та сліпого підпису, ми можемо глибше вивчити потенційні ризики eth_sign та способи запобігання таким шахрайствам зі сліпими підписами.

Оскільки eth_sign можна використовувати для підписання різних типів інформації, включаючи транзакції та команди смарт-контрактів, зловмисники можуть спонукати користувачів підписати повідомлення, яке вони не повністю розуміють, що призводить до передачі активів. Ще гірше, вони можуть надати на перший погляд безпечне повідомлення для підпису, але насправді це може бути команда дій, і як тільки підпис буде поставлений, активи користувача будуть перенесені на їхній рахунок.

У ситуації, що склалася, як ми повинні запобігти цьому? Для боротьби з такими шахрайськими діями, один відомий гаманець оновив свою версію системи управління ризиками. Коли користувачі відвідують сторонній DApp і викликають eth_sign для підписання інформації, гаманець надасть сповіщення про ризики, попереджаючи користувача про потенційні ризики поточної транзакції, а також запустить 15-секундний таймер охолодження. Така настройка має на меті надати користувачам достатньо часу для оцінки необхідності та безпеки підписувальної дії.

Рекомендації щодо безпеки

Експерти з безпеки нагадують всім:

• Будьте особливо обережні з усіма запитами, які вимагають підпису через eth_sign, особливо якщо запити мають невідоме або підозріле походження. Якщо у вас є сумніви щодо достовірності або мети запиту, ніколи не підписуйте його легковажно.
• Переконайтеся, що інформація або запит на транзакцію надходять з надійних джерел, таких як офіційний веб-сайт, офіційні соціальні медіа або перевірені канали зв'язку. Ніколи не вірте невідомим посиланням, електронним листам або приватним повідомленням.

Підвищуючи обізнаність і вживаючи відповідних запобіжних заходів, ми можемо ефективно знизити ризик шахрайства з етичною підпискою eth_sign і захистити безпеку своїх цифрових активів.