Фон

У попередньомуінсталяція нашого початкового посібника з безпеки Web3, ми розглянули ризики, пов'язані із завантаженням або купівлею гаманців, ідентифікацією офіційних веб-сайтів, перевіркою автентичності гаманця, а також небезпеку витоку приватного ключа/початкової фрази. Хоча прислів'я "Не ваші ключі, не ваші монети" підкреслює важливість контролю над вашими приватними ключами, є сценарії, коли наявність приватного ключа/початкової фрази сама по собі не гарантує контроль над вашими активами. Наприклад, ваш гаманець може мати шкідливий мультипідпис. Ґрунтуючись на даних, зібраних із вкрадених форм MistTrack, деякі користувачі були спантеличені тим, чому їхній гаманець має баланс, але не може переказати кошти після зловмисної атаки мультипідпису. У цьому випуску ми будемо використовувати гаманець TRON для ілюстрації концепції фішингу з мультипідписом, включаючи механізм мультипідпису, типові тактики хакерів і стратегії запобігання зловмисним атакам з мультипідписом.

Механізм багатоадресної підписки

Механізм багатоадресної підписи

Давайте почнемо з короткого огляду того, що означає багатопідписний підхід. Механізм багатопідпису призначений для підвищення безпеки гаманця, дозволяючи кільком користувачам спільно керувати та контролювати доступ до одного гаманця для цифрових активів. Це означає, що навіть якщо деякі адміністратори втратять або розкриють свої приватні ключі/фрази для відновлення, активи гаманця можуть залишатися в безпеці.

Система дозволів з багато підписів TRON побудована навколо трьох типів дозволів: Власник, Свідок та Активний, кожен з яких виконує визначену мету:

Власницькі дозволи:

• Надає найвищий рівень повноважень для виконання всіх контрактів та операцій.
• Тільки власник цього дозволу може змінювати інші дозволи, включаючи додавання або видалення інших підписантів.
• За замовчуванням, новостворений обліковий запис має дозвіл власника.

Свідчення дозволу:

Ця дозвіл головним чином стосується Супер представників, дозволяючи обліковому запису брати участь у виборах і голосуванні за Супер представників та керувати пов'язаними операціями.

Активний дозвіл:

Використовується для рутинних операцій, таких як переказ коштів та виклик смарт-контрактів. Це дозвіл може бути встановлений та налаштований дозволом Власника та, як правило, виділяється на рахунки для виконання конкретних завдань. Це охоплює колекцію авторизованих дій (наприклад, перекази TRX, стейкінг активів).

Коли створюється новий обліковий запис, він автоматично отримує дозвіл власника (найвища влада). Власник облікового запису може потім налаштувати його структуру дозволів, визначити, які адреси авторизувати, встановити вагу цих адрес та налаштувати пороги. Поріг представляє собою кількість підписів, необхідних для виконання певної дії. На діаграмі нижче поріг 2 означає, що для виконання дії необхідно підписання 2 з 3 авторизованих адрес.

(https://support.tronscan.org/hc/article_attachments/29939335264665)

Процес шкідливої багато-підписної

Якщо хакер отримує приватний ключ/фразу для відновлення та користувач не використовує механізм багатопідписовості (тобто гаманець контролюється виключно користувачем), хакер може надати власні/активні дозволи на свою адресу або передати власні/активні дозволи користувача собі. Ці дії часто називаються зловісними атаками багатопідписовості, але їх можна відрізнити в залежності від того, чи утримує користувач власні/активні дозволи.

Використання механізму мультипідпису:Якщо хакер надає собі дозвіл Власник / Активний, тоді обліковий запис спільно керують користувач та хакер (з порогом 2). Адреси як користувача, так і хакера мають вагу 1. Незважаючи на те, що користувач володіє приватним ключем / фразою для відновлення та має дозвіл Власник / Активний, він не може перевести свої активи, оскільки для транзакції потрібні підписи як користувача, так і хакера.

Хоча для авторизації передачі активів потрібно кілька підписів в мультипідписних рахунках, внесення коштів на гаманець цього не потребує. Якщо користувач не перевіряє регулярно дозволи на свій акаунт або не проводив передачі нещодавно, він може не помітити змін в дозволах свого гаманця, що призводить до постійного ризику. Хакери можуть скористатися цим, зачекавши, поки на рахунку накопичиться значна кількість активів, перш ніж здійснити крадіжку великого масштабу.

Використання дизайну управління дозволами TRON:Ще один сценарій передбачає, що хакери використовують дизайн системи управління дозволами TRON для безпосереднього перенесення прав власника/активної ролі користувача на свою адресу (при цьому поріг залишається рівним 1), що призводить до втрати цих прав та їхніх "прав голосування". У цьому випадку хакер не використовує механізм багатопідпису для запобігання передачі активів, але все ще називається зловживанням багатопідпису в загальній термінології.

Обидва сценарії призводять до того ж результату: чи користувач залишає власні/активні дозволи, вони втрачають фактичний контроль над обліковим записом, і хакер отримує повний контроль, включаючи можливість зміни дозволів та передачі активів.

Загальні причини зловмисних атак з багатофакторним підписом

На основі викрадених даних, зібраних MistTrack, ми виявили кілька поширених причин зловмисних атак з багатоадресним підпису. Будьте пильними, якщо зустрінете будь-яку з таких ситуацій:

1.Завантаження з неправильних джерел:Натискання на фальшиві офіційні посилання, надіслані через Telegram, Twitter або від знайомих, може призвести до підроблених гаманців та наступного витоку особистих ключів / фраз насіння та зловмисних атак з багатоцифровим підписом.

2.Введення приватних ключів / фраз на фішингових сайтах:Введення приватних ключів/фраз на сайтах-фішингах, що пропонують паливні картки, подарункові картки або VPN-сервіси, що призводить до втрати контролю над обліковим записом гаманця.

3.ОТС-операції:Під час угод поза біржою, якщо хтось захопить приватні ключі/фрази насіння або отримає авторизацію облікового запису через інші засоби, гаманець може бути зловмисно багатопідписним, що призведе до втрати активів.

4.Шахрайські пропозиції:Шахраї можуть надати приватні ключі / фрази-насіння та заявляти, що не можуть зняти активи з гаманця, пропонуючи винагороду, якщо ви допоможете. Незважаючи на наявність коштів у гаманці, ви не зможете їх зняти, якщо права на зняття були передані шахраєм на іншу адресу.

5.Фішингові посилання на TRON:Менш поширена ситуація, коли користувачі натискають на фішингові посилання на TRON і підписують зловмисні дані, що призводить до зловживання зловмисного багатофакторного атаки.

Огляд

У цьому посібнику ми використовуємо гаманець TRON, щоб пояснити механізм мультипідпису, процес і тактику зловживання мультипідписом та стратегії їх уникнення. Ми сподіваємося, що це надасть ясніше розуміння механізму мультипідпису та покращить вашу здатність запобігати зловживанню мультипідписом. Крім того, існують випадки, коли початківці ненавмисно можуть налаштувати свої гаманці для мультипідпису через помилки в роботі або непорозуміння, що вимагають кількох підписів для переказів. У таких випадках користувачі повинні відповідати вимогам мультипідпису або налаштувати дозволи для надання прав власника / активного власника одній адресі, щоб відновити функціональність одного підпису.

Нарешті, команда SlowMist Security рекомендує користувачам регулярно перевіряти дозволи своїх облікових записів на наявність будь-яких відхилень, завантажувати гаманці з офіційних джерел (як зазначено в нашому посібник з фальшивих гаманців та витоку приватного ключа/сід фрази), уникайте натискання на невідомі посилання та утримуйтесь від введення приватних ключів / фраз без обережності. Крім того, встановіть антивірусне програмне забезпечення (таке як Kaspersky, AVG) та блокувальники шахрайства (такі як Scam Sniffer), щоб покращити безпеку пристрою.

Відмова від відповідальності:

1. Цю статтю перепринтовано з [SlowMist], Всі авторські права належать оригінальному автору [Команда з безпеки SlomMist]. Якщо є протести щодо цієї публікації, будь ласка, зв'яжіться з Gate Learnкоманда і вони оперативно цим займуться.
2. Відмова відповідальності: погляди та думки, висловлені в цій статті, належать тільки автору і не є жодною інвестиційною порадою.
3. Переклади статті на інші мови виконуються командою Gate Learn. Якщо не зазначено інше, копіювання, розповсюдження або плагіат перекладених статей заборонено.