事件背景
5月16日凌晨,当我在寻找家人的时候,从项目官网的邀请链接加入了官方的Discord服务器。在我加入服务器后立刻就有一个"机器人"(Captcha.bot)发来私信要我进行人机验证。这一切看起来相当的合理。我也点击了这个验证链接进行查看。
钓鱼手法分析
我访问"机器人"(Captcha.bot)发来的链接后,是有让我进行人机验证的,但是当我验证通过后,发现它要求唤起我的小狐狸(MetaMask)钱包,唤起的钱包界面挺真实的,如下图所示,但是我看到了钱包的地址栏显示"about:blank"这引起了我的警惕,如果是插件唤起的就不会有这个"about:blank"的地址栏了。接下来我随意输入了密码,并且通过审查元素查看,确定这个小狐狸(MetaMask)界面是由虚假网站"https://captcha.fm/"弹出的,并不是真实的钱包界面,于是我开始调试这个钱包。
数据:Optimism和Arbitrum等Layer 2项目5月利润下降超40%:金色财经报道,DuneAnalytics数据显示,2023 年 3 月和 4 月是 Optimism 和 Arbitrum 等Layer 2项目有史以来最赚钱的月份,但在5月,这些利润下降了超40%。主要原因是Arbitrum的利润下降,从4月份的约1281枚ETH下降到5月份的505枚ETH。Optimism的利润也下降了,但相较Arbitrum没有那么明显。[2023/6/7 21:21:55]
在随意输入密码后,这个虚假的钱包界面进入到"SecurityCheck"界面,要求我输入助记词进行验证。注意,输入的密码和和助记词会被加密发送到恶意站点的服务端。
Goerli的Shapella分叉导致Optimism Goerli节点在默认配置中暂停:金色财经报道,Optimism发推特称,Goerli的Shapella分叉导致Optimism Goerli节点在默认配置中暂停。节点提供程序将需要添加标志以恢复同步。[2023/3/15 13:04:52]
通过分析域名可以发现,这恶意域名captcha.fm解析到了172.67.184.152和104.21.59.223,但是都是托管在cloudflare上,只能是反手一个举报了。
Optimism决定淘汰Kovan测试网,计划在8月15日之前将所有项目迁移至Goerli:7月1日消息,Optimism发推表示,Kovan已经被以太坊社区弃用,为了继续为生态系统提供稳定的测试网络,并在合并后与以太坊保持同步,Optimism也决定淘汰Kovan测试网。此外,官方表示,Optimism还创建了一个迁移状态页面,该页面将不断更新以跟踪生态系统向Goerli的迁移,Optimism计划在8月15日之前将所有项目完全迁移到Goerli。[2022/7/1 1:45:00]
分析恶意账号
下载保存好恶意站点的源码后,我将情报发给了项目方团队,并开始分析这次钓鱼攻击的账号。由于我刚加入家人群,就收到了下面的这个地址发来的验证消息。经过分析,这个账号是一个伪装成Captcha.bot机器人的普通账号,当我加入到官方服务器后,这个假Captcha.bot机器人立刻从官方服务器私发我假的人机验证链接,从而引导我输入钱包密码和助记词。
DeFi借贷协议bZx将上线以太坊L2解决方案Optimism:8月10日,DeFi借贷协议bZx官方发布公告称,将在未来几周内上线以太坊L2解决方案Optimism。在过去的几个月内,bZx已相继在BSC、以太坊和Polygon(Matic)上发布。bZx也将是首家在Optimism上推出的融资融券交易、借贷平台。而以太坊L2解决方案Optimism将基准用户交易成本降低了约10到50倍。[2021/8/10 1:45:39]
我在相关频道里面搜索了Captcha.bot,发现有好几个假Captcha.bot,于是将这几个账号也一并同步给了项目方团队,项目方团队很给力,也很及时地进行了处理,把这几个假Captcha.bot删除了,并一起讨论了可能的防范方式。
再次收到钓鱼链接
事情还没结束,第二天早上又一位慢雾的小伙伴加入到官方Discord服务器中,再次收到恶意账户发来的私信,里面包含着一个钓鱼链接,不同的是,这次的钓鱼者直接伪装成官方的账户发送私信。
这次钓鱼者讲的故事是在链接中导入助记词进行身份验证,然而不是采用假小狐狸(MetaMask)的界面来用户,而是直接在页面上引导用户输入助记词了,这个钓鱼手法就没这么真。钓鱼网站的域名和IP是app.importvalidator.org47.250.129.219,用的是阿里云的服务,同样反手一个举报。
钓鱼防范方式
各种钓鱼手法和事件层出不穷,用户要学会自己识别各种钓鱼手法避免被,项目方也要加强对用户安全意识的教育。用户在加入Discord后要在隐私功能中禁止服务器中的用户进行私聊。同时用户也需要提高自己的安全意识,学会识别伪装MetaMask的攻击手法,网页唤起MetaMask请求进行签名的时候要识别签名的内容,如果不能识别签名是否是恶意的就拒绝网页的请求。在参与Web3项目的时候无论何时何地都不要在网页上导入私钥/助记词。尽可能地使用硬件钱包,由于硬件钱包一般不能直接导出助记词或私钥,所以可以提高助记词私钥被盗门槛。项目方团队也要时刻关注社区用户的反馈,及时在社区Discord服务器中删除恶意账户,并在用户刚加入Discord服务器时进行防钓鱼的安全教育。Discord隐私设置和安全配置参考链接:https://discord.com/safety/360043857751-Four-steps-to-a-super-safe-accounthttps://support.discord.com/hc/en-us/articles/217916488-Blocking-Privacy-Settings-
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。