الخلفية

في السابقدفعة من دليل المبتدئين في أمان Web3قمنا بتغطية المخاطر المرتبطة بتنزيل أو شراء المحافظ، وتحديد المواقع الرسمية، والتحقق من صحة المحفظة، وأخطار تسرب مفتاح / عبارة البذرة الخاصة. بينما يؤكد قول "ليست مفاتيحك ، ليست عملاتك" أهمية السيطرة على مفاتيحك الخاصة ، هناك سيناريوهات حيث وجود مفتاحك الخاص / عبارة البذرة وحده لا يضمن السيطرة على أصولك. على سبيل المثال ، يمكن أن تكون محفظتك موقعة بشكل خبيث. استنادًا إلى البيانات المجمعة من نماذج MistTrack المسروقة ، كان بعض المستخدمين مرتبكين حول سبب وجود رصيد في محفظتهم ولكنهم لا يمكنهم نقل أي أموال بعد هجوم توقيع متعدد خبيث. في هذه المسألة ، سنستخدم محفظة TRON لتوضيح مفهوم التصيد متعدد الأوجه ، بما في ذلك آلية التوقيع المتعددة ، وتكتيكات القراصنة النموذجية ، واستراتيجيات لمنع هجمات التوقيع المتعدد الخبيثة.

آلية التوقيع المتعدد

آلية التوقيع المتعدد

لنبدأ بنظرة عامة موجزة على ما يعنيه التوقيع المتعدد. تم تصميم آلية التوقيع المتعدد لتعزيز أمان المحفظة من خلال تمكين مستخدمين متعددين من إدارة والتحكم في وصول إلى محفظة أصول رقمية واحدة بشكل مشترك. هذا يعني أنه حتى إذا فقدت بعض المسؤولين مفاتيحهم الخاصة / عبارات البذور أو كشفوها ، قد تظل أصول المحفظة آمنة.

يتم تنظيم نظام الإذن متعدد التوقيعات الخاص بـ TRON حول ثلاثة أنواع من الأذونات: المالك، الشاهد، والنشط، حيث يخدم كل منها غرضًا مميزًا:

صاحب الإذن:

• يمنح أعلى مستوى من السلطة لتنفيذ جميع العقود والعمليات.
• يمكن فقط لحامل هذا الإذن تعديل الأذونات الأخرى، بما في ذلك إضافة أو إزالة الأطراف الأخرى.
• بشكل افتراضي، يحتوي الحساب الذي تم إنشاؤه حديثًا على إذن المالك.

إذن الشاهد:

هذا الإذن يتعلق بشكل أساسي بالممثلين الخاصين ، مما يسمح للحساب بالمشاركة في عملية الانتخاب والتصويت للممثلين الخاصين وإدارة العمليات ذات الصلة.

الصلاحية النشطة:

تستخدم للعمليات الروتينية مثل تحويل الأموال واستدعاء العقود الذكية. يمكن تعيين هذا الإذن وضبطه بواسطة إذن المالك وعادة ما يتم تخصيصه للحسابات لأداء مهام محددة. يشمل مجموعة من الإجراءات المرخص بها (مثل تحويل TRX، ورهان الأصول).

عند إنشاء حساب جديد ، يتلقى تلقائيًا إذن المالك (أعلى سلطة). يمكن لحامل الحساب ثم ضبط هيكل الأذونات الخاصة به ، وتحديد العناوين التي يجب تفويضها ، وتعيين وزن هذه العناوين ، وتكوين عتبات. يمثل عتبة عدد التواقيع المطلوبة لتنفيذ إجراء معين. في الرسم البياني أدناه ، تعني عتبة 2 أنه يجب أن يوقع 2 من أصل 3 عناوين مفوضة على إجراء معين.

(https://support.tronscan.org/hc/article_attachments/29939335264665)

عملية التوقيع المتعدد الخبيث

إذا حصل القراصنة على مفتاح / عبارة بذرة خاصة بمستخدم ولم يستخدم المستخدم آلية التوقيع المتعدد (أي أن المحفظة تسيطر عليها المستخدم فقط)، فيمكن للقراصنة إما منح صلاحيات المالك / النشطة لعنوانهم أو نقل صلاحيات المالك / النشطة للمستخدم إلى أنفسهم. تشار إلى هذه الإجراءات في كثير من الأحيان بالهجمات الخبيثة للتوقيع المتعدد، ولكن يمكن تمييزها بناءً على ما إذا كان المستخدم لا يزال يحتفظ بصلاحيات المالك / النشطة.

استغلال آلية التوقيع المتعدد:إذا منح القراصنة أذونات المالك / النشطة لأنفسهم في حين تظل أذونات المستخدم سليمة ، يتم إدارة الحساب بالتعاون بين المستخدم والقراصنة (بحد أدنى قدر من الأذونات هو 2). تملك كل من عناوين المستخدم والقراصنة وزنًا يساوي 1. على الرغم من أن المستخدم يمتلك المفتاح الخاص / عبارة البذرة ويحمل أذونات المالك / النشطة ، إلا أنه لا يمكنه نقل أصوله لأن العملية تتطلب توقيعات من عناوين المستخدم والقراصنة.

على الرغم من أن الحسابات ذات التوقيع المتعدد تحتاج إلى توقيعات متعددة لتفويض تحويل الأصول ، إلا أن إيداع الأموال في المحفظة لا يحتاج إلى ذلك. إذا لم يقم المستخدم بفحص أذونات حسابه بانتظام أو لم يقم بنقل مؤخرًا ، فقد لا يلاحظ التغييرات في تراخيص محفظته ، مما يؤدي إلى مخاطر مستمرة. قد يستغل المتسللون هذا بالانتظار حتى يتراكم في الحساب كمية كبيرة من الأصول قبل القيام بعملية سرقة في مقياس كبير.

استخدام تصميم إدارة الأذونات في TRON:سيناريو آخر يتضمن انتهاز مصمم إدارة الأذونات في ترون لنقل أذونات المستخدم المالك/النشط مباشرةً إلى عنوانهم (مع عتبة 1 ما زالت قائمة)، مما يتسبب في فقدان المستخدم لهذه الأذونات و"حقوق التصويت" الخاصة به. في هذه الحالة، لا يستخدم المخترق آلية التوقيع المتعدد لمنع تحويل الأصول ولكنه لا يزال يُسمى بالتوقيع المتعدد الخبيث في المصطلحات الشائعة.

كلا السيناريوهين يؤديان إلى نفس النتيجة: سواء كان المستخدم يحتفظ بأذونات المالك/النشطة أم لا، فإنه يفقد السيطرة الفعالة على الحساب، ويكتسب القراصنة السيطرة الكاملة، بما في ذلك القدرة على تعديل الأذونات ونقل الأصول.

أسباب شائعة لهجمات التوقيع المتعدد الخبيثة

بناءً على البيانات المسروقة التي تم جمعها بواسطة MistTrack ، قمنا بتحديد عدة أسباب مشتركة للهجمات الخبيثة بالتوقيع المتعدد. كن حذرًا إذا واجهت أيًا من الحالات التالية:

1.تحميل من مصادر غير صحيحة:النقر على الروابط الرسمية المزيفة التي يتم إرسالها عبر تيليجرام أو تويتر، أو من المعارف يمكن أن يؤدي إلى محافظ مزيفة وتسرب مفتاح/عبارة بذرية وهجمات خبيثة للتوقيع المتعدد.

2.إدخال المفاتيح الخاصة / عبارات البذور على مواقع التصيد: إدخال المفاتيح الخاصة / عبارات البذور على مواقع الصيد الاحتيالية التي تقدم بطاقات وقود أو بطاقات هدايا أو خدمات شبكة افتراضية خاصة، مما يؤدي إلى فقدان السيطرة على حساب المحفظة.

3.المعاملات الخارجية عبر الطاولة:أثناء المعاملات خارج البورصة، إذا قام شخص ما بالحصول على المفاتيح الخاصة / عبارات البذور أو اكتسب تفويض حساب من خلال وسائل أخرى، فقد يتم توقيع المحفظة بشكل خبيث بواسطة عدة أشخاص، مما يؤدي إلى فقدان الأصول.

4.عروض الاحتيال:قد يقوم الاحتياليون بتزويد المفاتيح الخاصة / عبارات البذور ويزعمون أنهم لا يستطيعون سحب الأصول من المحفظة ، مع تقديم مكافأة إذا ساعدت. على الرغم من وجود الأموال في المحفظة ، لن تتمكن من سحبها إذا تم نقل حقوق السحب إلى عنوان آخر من قبل الاحتيالي.

5.روابط الاحتيال على TRON:حالة أقل شيوعًا حيث ينقر المستخدمون على روابط الصيد الاحتيالي على ترون ويوقعون على بيانات خبيثة، مما يؤدي إلى هجوم توقيع متعدد الخبيث.

ملخص

في هذا الدليل ، استخدمنا محفظة TRON لشرح آلية التوقيع المتعدد ، وعملية وتكتيكات الهجمات الخبيثة متعددة التواقيع ، واستراتيجيات تجنبها. نأمل أن يوفر هذا فهما أوضح لآلية التوقيع المتعدد ويعزز قدرتك على منع الهجمات الضارة متعددة التوقيعات. بالإضافة إلى ذلك ، هناك حالات خاصة حيث قد يقوم المستخدمون المبتدئون عن غير قصد بإعداد محافظهم للتوقيع المتعدد بسبب أخطاء تشغيلية أو سوء فهم ، مما يتطلب توقيعات متعددة لعمليات النقل. في مثل هذه الحالات، يجب على المستخدمين إما تلبية متطلبات التوقيع المتعدد أو ضبط الأذونات لمنح أذونات المالك/الأذونات النشطة لعنوان واحد لاستعادة وظيفة التوقيع الفردي.

أخيرًا، يوصي فريق الأمان SlowMist بأن يقوم المستخدمون بفحص أذونات حساباتهم بشكل منتظم للتحقق من وجود أي انحرافات، وتنزيل المحافظ من المصادر الرسمية (كما هو موضح في دليل حول المحافظ المزيفة والتسريبات الخاصة بالمفتاح/العبارة البذرية)، تجنب النقر على الروابط المجهولة، وامتنع عن إدخال المفاتيح الخاصة / عبارات البذور دون حذر. بالإضافة إلى ذلك، قم بتثبيت برامج مكافحة الفيروسات (مثل Kaspersky، AVG) ومانعات مخاطر الاحتيال (مثل Scam Sniffer) لتحسين أمان الجهاز.

تنصل:

1. تمت إعادة طبع هذه المقالة من [SlowMist], جميع حقوق الطبع والنشر تنتمي إلى الكاتب الأصلي [فريق أمان SlomMist]. إذا كانت هناك اعتراضات على هذا النشر مرجعاً، يرجى الاتصال بالبوابة تعلمالفريق، وسوف يتعاملون معها بسرعة.
2. تنصل المسؤولية: الآراء والآراء المعبر عنها في هذه المقالة هي فقط تلك الخاصة بالمؤلف ولا تشكل أي نصيحة استثمارية.
3. تتم ترجمة المقالة إلى لغات أخرى بواسطة فريق Gate Learn. ما لم يذكر ، فإن نسخ أو توزيع أو سرقة المقالات المترجمة ممنوع.