eth_sign сліпий підпис: аналіз принципу та запобіжні заходи

Нещодавно шахрайства з blind sign eth_sign стали надзвичайно поширеними, багато користувачів були змушені підписувати, здавалося б, безпечні підписи eth_sign на підозрілих веб-сайтах, що призвело до крадіжки активів з гаманців. Щоб допомогти всім краще розпізнавати подібні шахрайства, нам необхідно детальніше вивчити суть підпису eth_sign.

Огляд підпису eth_sign

eth_sign є широко використовуваним методом підпису в екосистемі Ethereum, який дозволяє користувачам підписувати повідомлення за допомогою приватного ключа. Цей механізм є ключовим елементом транзакцій у блокчейні і може підтвердити, що певний рахунок ініціював конкретну транзакцію. Простими словами, це схоже на підпис на паперовому документі, щоб підтвердити, що ви погоджуєтеся або визнаєте зміст документа.

Проте, в процесі використання eth_sign існує одна проблема, яку легко проігнорувати - її зазвичай називають "сліпим підписом". Це називається "сліпим підписом", тому що користувачі під час підписання часто не можуть повністю зрозуміти, що саме вони підписують, і не можуть зворотно перевірити конкретний зміст підпису. Це пов'язано з тим, що вхід eth_sign є сирим рядком, а не форматом, зрозумілим для людини. Це схоже на підписання контракту, написаного на незнайомій мові, де ви не можете по-справжньому зрозуміти його зміст.

Поширені методи шахрайства

Зрозумівши концепцію підпису eth_sign і сліпого підпису, ми зможемо краще аналізувати їх потенційні ризики та обговорити, як запобігти таким шахрайствам зі сліпим підписом.

Оскільки eth_sign може бути використаний для підписання різних типів повідомлень, включаючи торгові команди та операції смарт-контрактів, зловмисники можуть спонукати користувачів підписати, здавалося б, безпечне, але насправді небезпечне повідомлення. Ще більш серйозно, вони можуть надати на перший погляд безпечне повідомлення для підписання користувачем, але насправді це повідомлення може бути інструкцією на переказ активів, і як тільки підпис буде завершений, активи користувача будуть передані на рахунок атакуючого.

У таких ситуаціях, як ми повинні захистити себе? Щоб протидіяти таким шахрайським діям, один відомий гаманець оновив свою систему управління ризиками в новій версії. Коли користувач через третій DApp викликає eth_sign для підписання повідомлення, гаманець виводить вікно попередження про ризики, щоб нагадати користувачу, що поточна дія може містити потенційний ризик, і запускає 15-секундний таймер охолодження. Такий дизайн має на меті надати користувачеві достатньо часу для оцінки необхідності та безпеки операції підписання.

Рекомендації з безпеки

Експерти з безпеки нагадують користувачам:

• Будьте особливо обережні з усіма запитами, які вимагають підпису за допомогою eth_sign, особливо якщо вони надходять з неперевірених або підозрілих джерел. Якщо ви сумніваєтеся у достовірності або меті запиту, ніколи не підписуйте його без вагомих підстав.
• Переконайтеся, що оброблюване повідомлення або запит на транзакцію походять з надійних джерел, таких як офіційний веб-сайт, перевірені облікові записи в соціальних мережах або надійні комунікаційні канали. Ніколи не довіряйте посиланням, електронним листам або приватним повідомленням, походження яких не відоме.

Завдяки підвищенню обізнаності, розумінню потенційних ризиків та вжиттю відповідних заходів обережності, ми можемо краще захистити свої цифрові активи та уникнути того, щоб стати жертвою схеми зловживання eth_sign. У світі блокчейн безпека завжди є одним з найважливіших факторів.