fbpx
Products BitCheck Exchange Earn Clubs XRAY Company About Contact Career Newsroom

Columns and opinions

Web3 資安教戰手冊:你不可不知的區塊鏈威脅手法與話術


Web3
是近幾年來的搜尋關鍵字,在許多新聞報導、國際會議、產業研討會以及金融創新相關的討論,都可以看到 Web3 的討論,圍繞在區塊鏈以及加密貨幣帶來的創新與突破;於此同時,也因為相關技術仍處於早期,濫用的情況頻傳,很多人對於 Web3 世界中的詐騙、洗錢和駭客攻擊充滿恐懼。本文從 Web3 概念的討論開始,由加密貨幣平台 XREX 的資安團隊由淺入深地了解 Web3 世界中的資安觀念,解析駭客手法,並提供讀者務實的建議,用以保護自己的個資和數位資產。

什麼是 Web3?

1990 年代開始,網路慢慢地深入人類生活的各個層面,從日常生活到政治經濟,一直到我們的學習方法、通訊方式、交友模式與對時空距離的概念,都受到網路這個新興科技的影響。過去 30 年來,全球數十億人都成為全球資訊網中的一員。然而,沈浸於以網路為基礎的強大 IT 設施的同時,我們也正面臨極大的挑戰與入侵。少數科技巨頭壟斷了網路產業,也同時也壟斷了權力,可以單方面決定允許什麼、不允許什麼。

「網路+電腦」是 Web1.0 的時代,「網路+移動式裝置」則是 Web2.0。在 Web1.0 與 2.0 的時代,科技巨頭提供服務的同時,也一手掌握用戶產生的數據、資訊、內容,也就是俗稱的「中心化」結構。

Facebook 的言論審查制度、Google 的搜尋演算法、Spotify 向創作者抽取高達 30% 的獲利、線上遊戲停止營運後虛寶價值就歸零等等,都是我們在日常生活中,最貼近也最常見的案例。創造內容的用戶難以獲得分潤,也不掌握任何所有權,甚至在不知情的狀況下被利用,被刻意投放的資訊與廣告影響認知與決策,這些都是 Web1.0 與 Web2.0 所製造出來的問題,這也催生了 Web3 的時代。

Web3 技術被視為解決 Web1.0 與 Web2.0 產生的最佳解答。Web3 的基礎是區塊鏈技術,因為區塊鏈技術原生的「去中心化」結構,具有不可篡改性、公開透明性與開放源碼的天性,無論是內容還是權力,都不再是由大型科技公司與平台一手壟斷,而是由使用者建立、運營和擁有。自 2008 年中本聰發表比特幣白皮書以來,我們逐步想像並踏入 Web3 的世界,秉持著去中心化精神,我們已經看到比特幣、以太坊、NFT、DeFi,一直到現在的 Move-to-earn 爆紅的 STEPN,都是 Web3 的新嘗試、新實驗, 透過不同項目的實踐,將數位自主權交還給用戶,在實現用户共同建立、共同治理的同時,用户也可以分享平臺的價值與利潤。

當然,所有科技在發展演進的過程中,會帶來益處,也同時可能會被濫用而造成問題。現在聽到加密貨幣,很多人的第一個反應就是洗錢與詐騙,當區塊鏈具備去中心化特性的同時,也意味著用戶必須承擔保管資產和身份的絕對責任,一旦用戶遭駭或遭詐騙,沒有任何機構或實體可以擅自更改區塊鏈的紀錄,這也讓許多犯罪集團蠢蠢欲動。

XREX 資安團隊撰寫本文,整理多個 Web3 世界中常見的攻擊手法與慣用話術,讓我們認識不肖份子和駭客的攻擊手法與慣用話術,在區塊鏈建構的 Web3 世界中,學習保護自己的資料與加密貨幣資產。

Web 3 安全事件損失數據

根據知名區塊鏈安全公司慢霧科技 (SlowMist) 監測數據 顯示,從 2012 年到 2022 年 6 月,整個區塊鏈生態系存在至少 787 起被駭事件,損失金額超過 267 億美元。

圖片來源 / 慢霧科技

根據美國聯邦貿易委員會 (Federal Trade Commission, FTC) 的 研究,2021 年至 2022 年第一季,美國就有 46,000 人回報遭到加密貨幣金融欺詐,損失價值超過 10 億美元的加密貨幣。值得注意的是,這項數據並未統計全球數據,也只紀錄了有報案的數據,這也代表還有很多不在檯面上的案件,是我們難以確知的受害人數與損失金額。

圖片來源 / 美國聯邦貿易委員會

駭客想要的是什麼?

駭客的目的與想要得到的東西,如上圖所示,可以簡化成以下四大類別:

  1. 加密資產
  2. 錢包層
  3. 轉帳權
  4. Web2.0 憑證

 

駭客的各種攻擊手段,都是為了嘗試取得以下任一資訊,取得不法獲利:

  1. 取得使用者擁有的硬通貨,例如:比特幣、以太幣等強勢加密貨幣或高價的 NFT。最常見也最經典的手法,就是「給 1 塊錢,返還 10 塊錢」投資贈禮騙局。
  2. 取得加密貨幣錢包的機密資訊,例如:錢包私鑰、註記詞,或錢包密碼。
  3. 取得在智能合約上,使用者轉移資產的核准授權,後續再將使用者的虛擬資產轉道別的錢包。
  4. 取得使用者在 Web2.0 的憑證資訊,例如:在加密貨幣交易所的帳號與密碼。

 

在進入 Web3 的世界時,可以怎麼保護自己的個資以及資產呢?所謂知己知彼,百戰百勝,我們必須清楚地認知到,不管是在 Web1.0、Web2.0,還是在 Web3 的世界裡,都是有風險的,我們可以透過了解常見威脅與攻擊的手法,防止被騙或捲入不法行為。同時,也訓練自己保持良好的資安意識與習慣,隨時提高警覺,不易遭到詐騙或入侵。最後則是在每次按下滑鼠確認之前,勇於質疑,只要有一絲懷疑與不確定,就應該再次確認。

以下,XREX 收集整理了九種常見的 Web3 攻擊手法,教您如何辨識攻擊與詐騙,守護自己的資料與資產安全:

九種常見的 Web3 攻擊手法

一、憑證釣魚攻擊 (Credential Phishing Attack)

憑證釣魚攻擊,簡而言之就是駭客假冒網站,像是假冒交易所的登入頁面或假冒空投解鎖頁面,使用者誤認為是官方網頁,就輸入自己的帳號與密碼,立刻就被駭客竊走帳密資訊。

駭者會使用 Social-Engineer Toolkit (SET) 或 Goclone 等工具,把正牌網站的前端設計和佈局,原封不動地直接複製到本地伺服器,再另外註冊跟官網相似的網域名稱,並掛上對應的 SSL 憑證。許多使用者因為一時不察,就很容易上鉤。

除了需要特別注意網址的真實性外,也要特別小心所有的通訊管道,因為只要是能與使用者溝通的方式,都有可能成為攻擊途徑,例如:電子郵件、社群媒體、手機簡訊、Telegram 假客服等等。

圖 1. 1 / 駭客透過 Email 向使用者發送虛假的 Coinbase 帳號遭鎖定通知
圖 1.2 / 若是點擊 View Accounts,用戶會被導向至釣魚域名 coinbaseclouds.link
圖 1.3 / 攻擊者透過簡訊發送釣魚連結,將受害者導到行動裝置版釣魚網站

憑證釣魚攻擊對駭客而言是一個低成本而高報酬的方式,因為發送10 萬封釣魚信件成本僅需幾十塊美金,但只要有一到兩個人上鉤,可能就足以讓駭客回本,甚至得到極高的不法獲利。

 

如何防範憑證釣魚攻擊呢?XREX 建議您:

  1. 將常用網站入口加入書籤或我的最愛,避免誤入釣魚網站
  2. 使用 Lastpass、NordPass 或 Keeper Security 等密碼管理器,為不同網站、不同帳戶設定不同密碼,才不會因為一組帳密被盜,駭客就可以發動所謂的「撞庫攻擊」,登入所有不同的帳戶。從資安角度建議,每組密碼應具有至少 10 個字元,其中包括至少 一個大寫字母、一個小寫字母、一個數字和一個特殊符號。
  3. 在瀏覽器安裝防詐騙插件,例如:Netcraft Extension、PeckShieldAlert 或 MetaShield,自動檢測釣魚網站。
  4. 發現可疑網站即時回報,共同守護去中心化生態系的安全。

 

二、Google 廣告釣魚詐騙

Google 廣告釣魚詐騙與憑證釣魚攻擊類似,駭客偽造虛假的交易所登入頁面、虛假空投解鎖頁面,並註冊與官網相似網域名稱與掛上對應的 SSL 憑證。不同的是,駭客會在 Google 廣告上關鍵字競價,使自己的網站 SEO 排名高於官方網站,也就是當使用者透過搜尋引擎搜尋時,很容易在看見官方網站之前,就誤擊進入假的網站。

下圖我們用最近非常火紅的 move-to-earn 項目 STEPN 為例,在 Google 上輸入 stepn,出現的搜尋結果前四名,都是花錢下廣告的假網站。

圖 2.1 / 在 Google 搜尋 stepn,可以看到 Google 廣告充斥著釣魚詐騙

如何防範 Google 廣告釣魚詐騙呢?XREX 建議您:

  1. 在搜尋關鍵字點擊搜尋結果時,格外注意令人起疑的網域
  2. 將常用網站入口加入書籤或我的最愛,避免誤入釣魚網站
  3. 在瀏覽器安裝防詐騙插件,例如:Netcraft Extension、PeckShieldAlert 或 MetaShield,自動檢測釣魚網站。
  4. 發現可疑網站即時回報,共同守護去中心化生態系的安全。

 

三、假客服釣魚攻擊 (Fake Customer Service)

駭客會在 Telegram、Discord 等通訊軟體上建立假帳號,將顯示名稱、自我介紹、頭像更改為和官方群組客服人員或管理員相同,假冒是項目方並以空投登記、服務滿意度調查等各種名字,大量私訊使用者引誘其回覆。

使用者若是上鉤,駭客再透過其他名目,例如:實名驗證的門檻不符、錢包地址需要驗證等要求使用者提供帳號與密碼,或要求使用者將加密貨幣轉至指定錢包地址,才可以解鎖帳號。

圖 3.1 / 駭客假冒項目方的客服帳號,將自我介紹改為官方客服的用戶名稱,藉此混淆視聽。
圖 3.2 / 假冒的客服人員,要求用戶發送 0.01 BTC 到特定錢包地址才能解鎖
圖 3.3 / 駭客假冒為項目方,宣稱要向使用者發送免費空投

如何防範假客服釣魚攻擊呢?XREX 建議您:

  1. 請勿相信 Telegram 或其他社群平台的陌生私訊,官方人員絕對不會突然私訊使用者,更也不會要求以訊息發送帳密資訊。
  2. 涉及機敏資訊的協助需求,如: 存提款、實名驗證、帳號安全等等,請透過官方網站列出的支援管道聯繫。
  3. 強化 Telegram 個人隱私設定,設置「僅我的聯絡人可將我加入群組」,可參考下方步驟完成設定。

 

圖 3.4 / Telegram 「僅我的聯絡人可將我加入群組」的設置方式

談到這裡,我們已經討論了 Web3 的定義、國際統計的駭客入侵事件總數與 Web 3 安全事件損失數據、駭客的意圖及目標,以及三種攻擊手法和防範建議。

接下來,我們還將繼續解析更多 Web3 攻擊與詐騙方式。

繼續閱讀文章,請點擊《九種常見的 Web3 駭客攻擊與詐騙手法》

 

共同編撰:Sun Huang / Wolf Chan / Seal Cao 曹富翔 /Yoyo Yu 尤芷薇

More from Columns and opinions

Editor’s Picks