Ловушка для слепой подписи eth_sign: анализ принципа и меры предосторожности

В последнее время мошенничество с blind-signature eth_sign стало необычайно распространённым. Многие пользователи были введены в заблуждение и подписали, казалось бы, безобидные подписи eth_sign на некоторых подозрительных сайтах, что привело к краже активов из их кошельков. Чтобы помочь всем лучше распознавать такие мошенничества, нам необходимо глубже понять суть подписи eth_sign.

Введение в подпись eth_sign

eth_sign - это широко используемый метод подписи в экосистеме Ethereum, который позволяет пользователям подписывать сообщения с помощью закрытого ключа. Этот механизм является ключевым этапом в блокчейн-транзакциях и может подтвердить, что определенный аккаунт инициировал конкретную транзакцию. Проще говоря, это похоже на подпись на бумажном документе, чтобы показать, что вы согласны или одобряете содержание документа.

Однако в процессе использования eth_sign существует проблема, которая легко может быть упущена из виду - она обычно называется "слепая подпись". Это называется "слепая подпись", потому что пользователи часто не могут полностью понять, что именно они подписывают, и не могут обратным образом проверить конкретное значение подписи. Это связано с тем, что ввод eth_sign представляет собой сырую строку, а не формат, удобочитаемый для человека. Это похоже на подписание контракта, написанного на незнакомом языке, вы не можете действительно понять его содержание.

Распространенные методы мошенничества

Поняв концепцию подписания eth_sign и слепой подписи, мы сможем лучше проанализировать потенциальные риски и обсудить, как предотвратить такие мошенничества со слепыми подписями.

Поскольку eth_sign может использоваться для подписания различных типов сообщений, включая инструкции по сделкам и операции с умными контрактами, злоумышленники могут склонить пользователей к подписанию сообщения, которое на вид безобидно, но на самом деле представляет опасность. Более того, они могут предоставить сообщение, которое на первый взгляд выглядит безобидным, чтобы пользователь подписал его, но на самом деле это может быть инструкция на перевод активов, и как только подпись будет поставлена, активы пользователя будут переведены на счет злоумышленника.

В условиях такой ситуации, как мы можем защитить себя? В ответ на подобные мошеннические действия известный кошелек обновил свою систему управления рисками в новой версии. Когда пользователи вызывают eth_sign через сторонний DApp для подписи сообщения, кошелек всплывает окно с предупреждением о рисках, информируя пользователей о том, что текущее действие может представлять потенциальный риск, и запускает 15-секундный период ожидания. Такой дизайн призван дать пользователям достаточно времени для оценки необходимости и безопасности операции подписи.

Рекомендации по безопасности

Эксперты по безопасности напоминают всем пользователям:

• Будьте особенно осторожны с любыми запросами, требующими подписи eth_sign, особенно если они поступают из неизвестных или подозрительных источников. Если у вас есть сомнения в подлинности или цели запроса, не подписывайте его легкомысленно.
• Убедитесь, что обрабатываемые сообщения или запросы на транзакции поступают из доверенных источников, таких как официальные веб-сайты, проверенные аккаунты в социальных сетях или надежные каналы связи. Никогда не доверяйте неизвестным ссылкам, письмам или личным сообщениям.

Путем повышения бдительности, понимания потенциальных рисков и принятия соответствующих мер предосторожности, мы можем лучше защитить свои цифровые активы и избежать того, чтобы стать жертвой мошенничества blind sign eth_sign. В мире блокчейна безопасность всегда является одним из самых важных факторов.