พื้นหลัง

ในครั้งก่อนส่วนติดตั้งของคู่มือเบ็กกินเนอร์เริ่มต้นด้านความปลอดภัยของเว็บ 3เราครอบคลุมความเสี่ยงที่เกี่ยวข้องกับการดาวน์โหลดหรือซื้อกระเป๋าเงินการระบุเว็บไซต์อย่างเป็นทางการการตรวจสอบความถูกต้องของกระเป๋าเงินและอันตรายจากการรั่วไหลของคีย์ส่วนตัว / วลีเมล็ดพันธุ์ ในขณะที่สุภาษิต "ไม่ใช่คีย์ของคุณ ไม่ใช่เหรียญของคุณ" เน้นย้ําถึงความสําคัญของการควบคุมคีย์ส่วนตัวของคุณ แต่ก็มีสถานการณ์ที่การมีคีย์ส่วนตัว/วลีเมล็ดพันธุ์เพียงอย่างเดียวไม่ได้รับประกันการควบคุมทรัพย์สินของคุณ ตัวอย่างเช่นกระเป๋าเงินของคุณอาจมีการลงนามหลายรายการโดยมีเจตนาร้าย จากข้อมูลที่รวบรวมจากแบบฟอร์มที่ถูกขโมยของ MistTrack ผู้ใช้บางคนรู้สึกงงงวยว่าทําไมกระเป๋าเงินของพวกเขาถึงมียอดคงเหลือ แต่ไม่สามารถโอนเงินได้หลังจากการโจมตีหลายลายเซ็นที่เป็นอันตราย ในปัญหานี้เราจะใช้กระเป๋าเงิน TRON เพื่อแสดงให้เห็นถึงแนวคิดของฟิชชิงหลายลายเซ็นรวมถึงกลไกหลายลายเซ็นกลยุทธ์แฮ็กเกอร์ทั่วไปและกลยุทธ์เพื่อป้องกันการโจมตีหลายลายเซ็นที่เป็นอันตราย

กลไกลายเซ็นหลายลายมือ

กลไกลายลักษณ์หลายคน

เรามาเริ่มต้นด้วยภาพรวมสั้น ๆ เกี่ยวกับวิธีการทำงานของลายเซ็นต์หลายรายการ กลไกลายเซ็นต์หลายรายการถูกออกแบบมาเพื่อเสริมความปลอดภัยของกระเป๋าเงินดิจิทัลโดยให้ผู้ใช้หลายคนร่วมกันจัดการและควบคุมการเข้าถึงกระเป๋าเงินดิจิทัลเดียว นั่นหมายความว่า หากผู้ดูแลระบบบางคนสูญเสียหรือเปิดเผยคีย์ส่วนตัว / วลีเมล็ดพันธุ์ สินทรัพย์ในกระเป๋าเงินอาจยังคงปลอดภัยอยู่

ระบบสิทธิการเซ็นลายมือหลายอย่างของ TRON มีโครงสร้างอยู่รอบ ๆ สามประเภทของสิทธิ์: เจ้าของ, พยาน และใช้งาน แต่ละประเภทให้บริการในวัตถุประสงค์ที่แตกต่างกัน:

การอนุญาตของเจ้าของ:

• ให้สิทธิ์ระดับสูงสุดในการดำเนินการสัญญาและการดำเนินการทั้งหมด
• เฉพาะผู้ถือสิทธิ์นี้เท่านั้นที่สามารถแก้ไขสิทธิ์อื่น ๆ ได้ รวมถึงการเพิ่มหรือลบผู้ลงนามอื่น
• ตามค่าเริ่มต้นบัญชีที่สร้างขึ้นใหม่มีสิทธิ์เจ้าของ

การยินยอมของพยาน:

การอนุญาตนี้เกี่ยวข้องกับ Super Representatives โดยส่วนใหญ่ ซึ่งอนุญาตให้บัญชีเข้าร่วมกระบวนการเลือกตั้งและลงคะแนนเพื่อ Super Representatives และจัดการดำเนินการที่เกี่ยวข้อง

การอนุญาตที่ใช้งาน

ใช้สำหรับการดำเนินการปกติ เช่น การโอนเงินและเรียกใช้สัญญาอัจฉริยะ สิทธิ์นี้สามารถตั้งค่าและปรับได้โดยสิทธิ์เจ้าของและมักจะจัดสรรให้กับบัญชีเพื่อดำเนินงานเฉพาะหน้า มันรวมถึงการทำกิจกรรมที่ได้รับอนุญาต (เช่น การโอน TRX การฝากเงิน)

เมื่อสร้างบัญชีใหม่ จะได้รับสิทธิ์เจ้าของ (สูงสุด) โดยอัตโนมัติ ผู้ถือบัญชีจึงสามารถปรับโครงสร้างสิทธิ์, กำหนดที่อยู่ที่จะอนุญาต, ตั้งค่าน้ำหนักของที่อยู่เหล่านี้ และกำหนดเกณฑ์การตั้งค่าได้ เกณฑ์การตั้งค่าแทนจำนวนลายเซ็นที่ต้องการในการดำเนินการที่เฉพาะเจาะจง ในแผนภูมิด้านล่าง ค่าเกณฑ์การตั้งค่าเป็น 2 หมายความว่าสำหรับการดำเนินการใดๆ จะต้องมีลายเซ็นจาก 2 ใน 3 ที่อนุญาตไว้

(https://support.tronscan.org/hc/article_attachments/29939335264665)

กระบวนการของลายเซ็นดิจิทัลหลายชั้นที่เป็นอันตราย

หากฮากเกอร์ได้รับคีย์ส่วนตัว / วลีเมล็ดและผู้ใช้ยังไม่ได้ใช้กลไกลายเซ็นเสมือน (เช่น กระเป๋าเงินควบคุมโดยผู้ใช้เท่านั้น) ฮากเกอร์สามารถให้สิทธิ์เจ้าของ / สิทธิ์ใช้งานได้กับที่อยู่ของพวกเขาหรือโอนสิทธิ์เจ้าของ / สิทธิ์ใช้งานของผู้ใช้ไปยังตนเอง การกระทำเหล่านี้เรียกว่าการโจมตีหลายลายเซ็นที่ร้ายแรง แต่สามารถแยกแยะได้ตามการถือสิทธิ์เจ้าของ / สิทธิ์ใช้งานของผู้ใช้

การใช้ประโยชน์จากกลไกลายมือการเซ็นลายมือหลายอย่าง: หากแฮ็กเกอร์ให้สิทธิ์เจ้าของ/ใช้งานอยู่ในขณะที่สิทธิ์ของผู้ใช้ยังคงเหมือนเดิมบัญชีจะได้รับการจัดการร่วมกันโดยทั้งผู้ใช้และแฮ็กเกอร์ (โดยมีเกณฑ์ 2) ทั้งที่อยู่ของผู้ใช้และแฮ็กเกอร์มีน้ําหนัก 1 แม้ว่าผู้ใช้จะมีคีย์ส่วนตัว/วลีเมล็ดพันธุ์และมีสิทธิ์ Owner/Active แต่ก็ไม่สามารถถ่ายโอนสินทรัพย์ได้เนื่องจากธุรกรรมต้องการลายเซ็นจากทั้งที่อยู่ของผู้ใช้และแฮ็กเกอร์

ในขณะที่บัญชีที่ต้องทำลายลายมือจำนวนหลายลายนิ้วต้องมีลายมือหลายลายเพื่ออำนวยความสะดวกในการโอนทรัพย์สิน การฝากเงินในกระเป๋าเงินไม่จำเป็นต้องทำเช่นนั้น หากผู้ใช้งานไม่ตรวจสอบสิทธิ์ของบัญชีของพวกเขาอยู่เสมอหรือไม่ได้ทำการโอนเงินเมื่อเร็วๆ นี้ พวกเขาอาจจะไม่สังเกตเห็นการเปลี่ยนแปลงที่สิทธิ์การใช้งานกระเป๋าเงินของพวกเขาทำให้เกิดความเสี่ยงต่อเนื่อง แฮกเกอร์อาจลองใช้ช่วงเวลาไปจนกว่าบัญชีจะสะสมสินทรัพย์ที่มีมูลค่าสูงก่อนที่จะทำการขโมยในมาตราการขนาดใหญ่

ใช้การออกแบบการจัดการสิทธิของ TRON: อีกสถานการณ์หนึ่งเกี่ยวข้องกับแฮกเกอร์ที่ใช้ประโยชน์จากการออกแบบการจัดการสิทธิ์ของ TRON เพื่อถ่ายโอนสิทธิ์เจ้าของ / ที่ใช้งานอยู่ของผู้ใช้ไปยังที่อยู่ของพวกเขาโดยตรง (โดยที่เกณฑ์ยังคงอยู่ที่ 1) ทําให้ผู้ใช้สูญเสียสิทธิ์เหล่านี้และ "สิทธิ์ในการลงคะแนน" ในกรณีนี้แฮ็กเกอร์ไม่ได้ใช้กลไกหลายลายเซ็นเพื่อป้องกันการถ่ายโอนสินทรัพย์ แต่ยังคงเรียกว่าลายเซ็นหลายลายเซ็นที่เป็นอันตรายในคําศัพท์ทั่วไป

ทั้งสองสถานการณ์นี้นำไปสู่ผลลัพธ์เดียวกัน: ไม่ว่าผู้ใช้จะรักษาสิทธิ์เจ้าของ/ใช้งานอย่างไร พวกเขาก็จะสูญเสียการควบคุมที่มีผลต่อบัญชีและผู้โจมตีจะได้รับการควบคุมเต็มรูปแบบ รวมถึงความสามารถในการแก้ไขสิทธิ์และโอนสินทรัพย์

สาเหตุทั่วไปของการโจมตีลายเซ็นต์หลายฝ่ายที่เป็นอันตราย

จากข้อมูลที่ถูกขโมยที่ถูกเก็บรวบรวมโดย MistTrack เราได้ระบุหลายสาเหตุทั่วไปของการโจมตีลายเซ็นหลายคนที่เป็นอันตราย โปรดระมัดระวังหากคุณพบสถานการณ์ต่อไปนี้:

1.ดาวน์โหลดจากแหล่งที่ไม่ถูกต้อง:การคลิกที่ลิงก์ปลอมที่ถูกส่งผ่านทางเทเลแกรม ทวิตเตอร์ หรือจากคนรู้จัก อาจทำให้เกิดการสร้างวอลเล็ทปลอมและการรั่วของกุญแจส่วนตัว/คำสูญญาและการโจมตีลายเซ็นที่มีความร้ายแรง

2.การป้อนคีย์ส่วนตัว / ประโยคเมล็ดพันธุ์บนเว็บไซต์การจี้:การป้อนคีย์ส่วนตัว / วลีเมล็ดบนเว็บไซต์การล่อลวงที่ให้บัตรเชื้อเพลิง บัตรของขวัญ หรือบริการ VPN ซึ่งทำให้สูญเสียควบคุมบนบัญชีวอลเล็ต

3.การทำธุรกรรม OTC:ในระหว่างการทำธุรกรรมตลาดที่ไม่ได้รับการรับรอง หากมีบางคนจับกุญแจส่วนตัว / วลีเมล็ดพันธุ์หรือได้รับการอนุญาตบัญชีผ่านทางอื่น กระเป๋าเงินอาจถูกลงลายมือหลายมืออย่างน่าชังเกิดขึ้น

4.ข้อเสนอโกง: Scammers อาจจะให้คีย์ส่วนตัว/วลีเมล็ดพันธุ์และอ้างว่าพวกเขาไม่สามารถถอนสินทรัพย์จากกระเป๋าเงิน โดยเสนอรางวัลถ้าคุณช่วย แม้จะมีเงินในกระเป๋าเงิน แต่คุณจะไม่สามารถถอนเงินได้หากสิทธิการถอนได้ถูกโอนไปยังที่อยู่อื่นโดยคนหลอกลวง

5.ลิงก์การหลอกลวงบน TRON:สถานการณ์ที่ไม่พบบ่อยที่ผู้ใช้คลิกที่ลิงก์ฟิชชิ่งบน TRON และลงนามข้อมูลที่เป็นอันตราย ทำให้เกิดการโจมตีด้วยลายเซ็นสองหรือมากกว่าที่เป็นอันตราย

สรุป

ในคู่มือนี้เราได้ใช้กระเป๋าเงิน TRON เพื่ออธิบายกลไกหลายลายเซ็นกระบวนการและกลยุทธ์ของการโจมตีหลายลายเซ็นที่เป็นอันตรายและกลยุทธ์ในการหลีกเลี่ยง เราหวังว่าสิ่งนี้จะให้ความเข้าใจที่ชัดเจนยิ่งขึ้นเกี่ยวกับกลไกหลายลายเซ็นและเพิ่มความสามารถของคุณในการป้องกันการโจมตีแบบหลายลายเซ็นที่เป็นอันตราย นอกจากนี้ยังมีกรณีพิเศษที่ผู้ใช้มือใหม่อาจตั้งค่ากระเป๋าเงินของพวกเขาโดยไม่ได้ตั้งใจสําหรับหลายลายเซ็นเนื่องจากความผิดพลาดในการดําเนินงานหรือความเข้าใจผิดซึ่งต้องใช้ลายเซ็นหลายลายเซ็นสําหรับการถ่ายโอน ในกรณีเช่นนี้ผู้ใช้ควรมีคุณสมบัติตรงตามข้อกําหนดหลายลายเซ็นหรือปรับสิทธิ์เพื่อให้สิทธิ์เจ้าของ / ใช้งานอยู่ไปยังที่อยู่เดียวเพื่อกู้คืนฟังก์ชันลายเซ็นเดียว

ทีมงาน SlowMist Security ขอแนะนำให้ผู้ใช้ตรวจสอบสิทธิ์บัญชีของพวกเขาอย่างสม่ำเสมอเพื่อตรวจสอบความผิดปกติ ดาวน์โหลดกระเป๋าเงินจากแหล่งที่เป็นทางการเท่านั้น (ตามที่อธิบายไว้ในข้อ)คู่มือเกี่ยวกับกระเป๋าเงินปลอมและการรั่วคีย์ส่วนตัว/วลีด), หลีกเลี่ยงการคลิกลิงก์ที่ไม่รู้จัก และหลีกเลี่ยงการป้อนคีย์ส่วนตัว / วลีเมล็ดพันธุ์โดยไม่ระมัดระวัง นอกจากนี้ยังติดตั้งซอฟต์แวร์ต้านไวรัส (เช่น Kaspersky, AVG) และโปรแกรมป้องกันการโจมตีด้วยเทคนิคฟิชชิ่ง (เช่น Scam Sniffer) เพื่อเพิ่มความปลอดภัยของอุปกรณ์

คำปฏิเสธ：

1. บทความนี้ถูกพิมพ์ใหม่จาก [ SlowMist], สิทธิ์ในการคัดลอกทั้งหมดเป็นของผู้เขียนต้นฉบับ [ ทีม SlomMist Security]. If there are objections to this reprint, please contact the Gate การเรียนรู้ทีมงานและพวกเขาจะดูแลมันอย่างรวดเร็ว
2. คำปฏิเสธความรับผิดชอบ: มุมมองและความคิดเห็นที่แสดงในบทความนี้เป็นเพียงของผู้เขียนเท่านั้น และไม่เป็นคำแนะนำใด ๆ เกี่ยวกับการลงทุน
3. การแปลบทความเป็นภาษาอื่นๆ ถูกดำเนินการโดยทีม Gate Learn หากไม่ได้กล่าวถึง การคัดลอก การแจกจ่าย หรือการลอกเลียนแบบบทความแปลนั้นถูกห้าม