Web3.0 Mobil Cüzdan Yeni Güvenlik Riskleri: Modal Phishing Saldırıları

Son zamanlarda, güvenlik araştırmacıları Web3.0 mobil Cüzdanlarına yönelik yeni bir siber dolandırıcılık tekniği keşfettiler ve buna "modal phishing saldırısı" (Modal Phishing) adını verdiler. Bu saldırı yöntemi, mobil Cüzdanların mod dal penceresi tasarımındaki açıkları kullanarak, kullanıcıları kötü niyetli işlemleri onaylamaya ikna etmek için yanıltıcı bilgiler gösterir.

Modal Phishing Saldırısının Prensibi

Mod modal phishing saldırıları, kripto para cüzdan uygulamalarında yaygın olarak kullanılan modal pencereleri hedef alır. Bu modal pencereler genellikle işlem talebi bilgilerini göstermek ve kullanıcı onayı almak için kullanılır. Saldırganlar, bu pencerelerdeki bazı kullanıcı arayüzü öğelerini manipüle ederek yanlış veya yanıltıcı bilgiler göstermelerini sağlayabilir.

Özellikle, saldırgan aşağıdaki UI öğelerini kontrol edebilir:

1. DApp bilgileri: ad, simge, web sitesi adresi vb.
2. Akıllı sözleşme bilgileri: Fonksiyon adı gibi

Tipik Saldırı Senaryoları

1. DApp oltalama için Wallet Connect protokolünü kullanma

Cüzdan Connect, kullanıcı cüzdanlarını DApp ile bağlamak için yaygın olarak kullanılan bir protokoldür. Araştırmacılar, eşleştirme sürecinde cüzdan uygulamasının DApp'in sağladığı meta bilgileri doğrudan gösterdiğini ve bunları doğrulamadığını keşfettiler. Saldırganlar, bu durumu kullanarak tanınmış DApp'in bilgilerini taklit edip kullanıcıları kandırabilir.

Örneğin, bir saldırgan sahte bir Uniswap DApp oluşturabilir ve Wallet Connect aracılığıyla kullanıcıların Metamask cüzdanı ile bağlantı kurabilir. Eşleştirme sürecinde, cüzdan yasal gibi görünen Uniswap bilgilerini, isim, web sitesi ve simge dahil olmak üzere gösterecektir. Kullanıcı bağlantıyı onayladığında, saldırgan kötü niyetli işlem talepleri gönderebilir.

2. Metamask ile akıllı sözleşme bilgisi phishing

Metamask gibi Cüzdanlar, işlem onaylama ekranında akıllı sözleşme fonksiyon adlarını gösterir. Saldırganlar, "SecurityUpdate" gibi yanıltıcı isimlere sahip akıllı sözleşme fonksiyonları kaydedebilir ve bu fonksiyonları işlem taleplerinde kullanabilir. Kullanıcılar, görünüşte resmi bir güncelleme talebi gördüklerinde, bunun meşru bir işlem olduğunu yanlışlıkla düşünebilir ve işlemi onaylayabilirler.

Önlem Önerileri

Cüzdan geliştiricileri için:

1. Dışarıdan gelen verileri her zaman güvenilmez olarak değerlendirin.
2. Kullanıcılara gösterilecek bilgileri dikkatlice seçin ve geçerliliğini doğrulayın.
3. DApp bilgilerini doğrulamak gibi ek doğrulama mekanizmalarının uygulanmasını düşünün.

Kullanıcılar için:

1. Her bilinmeyen işlem talebine karşı dikkatli olun
2. İşlem detaylarını dikkatlice kontrol edin, sadece UI'da gösterilen bilgilere dayanarak karar vermeyin.
3. Herhangi bir sorunuz varsa, lütfen bilgileri resmi kanallar aracılığıyla doğrulayın.

Sonuç olarak, modüler phishing saldırıları Web3.0 Cüzdanlarının kullanıcı arayüzü tasarımı ve bilgi doğrulama açısından potansiyel zayıf noktalarını ortaya koymaktadır. Bu tür saldırı yöntemlerinin sürekli evrimi ile birlikte, Cüzdan geliştiricileri ve kullanıcılar güvenlik bilincini artırmalı ve Web3 ekosisteminin güvenliğini birlikte korumalıdır.