WALL:慢霧：警惕 Web3 錢包 WalletConnect 釣魚風險_trustwallet錢包怎么交易

WalletConnect釣魚風險介紹

2023年1月30日，慢霧安全團隊發現Web3錢包上關于WalletConnect使用不當可能存在被釣魚的安全風險問題。這個問題存在于使用移動端錢包App內置的DAppBrowser+?WalletConnect的場景下。

我們發現，部分Web3錢包在提供WalletConnect支持的時候，沒有對WalletConnect的交易彈窗要在哪個區域彈出進行限制，因此會在錢包的任意界面彈出簽名請求。

當用戶離開DAppBrowser界面切換到錢包其他界面如示例中的Wallet、Discover等界面，由于錢包為了不影響用戶體驗和避免重復授權，此時WalletConnect的連接是沒有斷開的，但是此時用戶卻可能因為惡意DApp突然發起的簽名請求彈窗而誤操作導致被釣魚轉移走資產。

慢霧：NimbusPlatform遭遇閃電貸攻擊，損失278枚BNB:據慢霧安全團隊情報，2022 年 12 月 14 日， BSC 鏈上的NimbusPlatform項目遭到攻擊，攻擊者獲利約278枚BNB。慢霧安全團隊以簡訊的形式分享如下：

1. 攻擊者首先在 8 天前執行了一筆交易（0x7d2d8d），把 20 枚 BNB 換成 NBU_WBNB 再換成 GNIMB 代幣，然后把 GNIMB 代幣轉入 Staking 合約作質押，為攻擊作準備；

2. 在 8 天后正式發起攻擊交易（0x42f56d3），首先通過閃電貸借出 75477 枚 BNB 并換成 NBU_WBNB，然后再用這些 NBU_WBNB 代幣將池子里的絕大部分 NIMB 代幣兌換出；

3. 接著調用 Staking 合約的 getReward 函數進行獎勵的提取，獎勵的計算是和 rate 的值正相關的，而 rate 的值則取決于池子中 NIMB 代幣和 GNIMB 代幣的價格，由于 NIMB 代幣的價格是根據上一步閃電貸中被操控的池子中的代幣數量來計算的，導致其由于閃電貸兌換出大量的代幣而變高，最后計算的獎勵也會更多；

4. 攻擊者最后將最后獲得的 GNIMB 代幣和擁有的 NIMB 代幣換成 NBU_WBNB 代幣后再換成 BNB，歸還閃電貸獲利；

此次攻擊的主要原因在于計算獎勵的時候僅取決于池子中的代幣數量導致被閃電貸操控，從而獲取比預期更多的獎勵。慢霧安全團隊建議在進行代幣獎計算時應確保價格來源的安全性。[2022/12/14 21:44:29]

慢霧：Ribbon Finance遭遇DNS攻擊，某用戶損失16.5 WBTC:6月24日消息，Ribbon Finance 發推表示遭遇 DNS 攻擊，慢霧MistTrack通過鏈上分析發現攻擊者與今天早前的Convex Finance 攻擊者是同一個，地址 0xb73261481064f717a63e6f295d917c28385af9aa 是攻擊者共用的用來調用惡意合約的錢包地址。同時分析發現，Ribbon Finance某用戶在攻擊中損失了 16.5 WBTC，具體交易為：https://etherscan.io/tx/0xd09057f1fdb3fa97d0ed7e8ebd8fd31dd9a0b5b61a29a22b46985d6217510850。[2022/6/24 1:29:35]

動態演示GIF如下圖：

慢霧：Equalizer Finance被黑主要在于FlashLoanProvider合約與Vault合約不兼容:據慢霧區消息，6 月 7 日，Equalizer Finance 遭受閃電貸攻擊。慢霧安全團隊以簡訊形式將攻擊原理分享如下：

1. Equalizer Finance 存在 FlashLoanProvider 與 Vault 合約，FlashLoanProvider 合約提供閃電貸服務，用戶通過調用 flashLoan 函數即可通過 FlashLoanProvider 合約從 Vault 合約中借取資金，Vault 合約的資金來源于用戶提供的流動性。

2. 用戶可以通過 Vault 合約的 provideLiquidity/removeLiquidity 函數進行流動性提供/移除，流動性提供獲得的憑證與流動性移除獲得的資金都受 Vault 合約中的流動性余額與流動性憑證總供應量的比值影響。

3. 以 WBNB Vault 為例攻擊者首先從 PancekeSwap 閃電貸借出 WBNB

4. 通過 FlashLoanProvider 合約進行二次 WBNB 閃電貸操作，FlashLoanProvider 會先將 WBNB Vault 合約中 WBNB 流動性轉給攻擊者，隨后進行閃電貸回調。

5. 攻擊者在二次閃電貸回調中，向 WBNB Vault 提供流動性，由于此時 WBNB Vault 中的流動性已經借出一部分給攻擊者，因此流動性余額少于預期，則攻擊者所能獲取的流動性憑證將多于預期。

6. 攻擊者先歸還二次閃電貸，然后從 WBNB Vault 中移除流動性，此時由于 WBNB Vault 中的流動性已恢復正常，因此攻擊者使用添加流動性獲得憑證所取出的流動性數量將多于預期。

7. 攻擊者通過以上方式攻擊了在各個鏈上的 Vault 合約，耗盡了 Equalizer Finance 的流動性。

此次攻擊的主要原因在于 Equalizer Finance 協議的 FlashLoanProvider 合約與 Vault 合約不兼容。慢霧安全團隊建議協議在進行實際實現時應充分考慮各個模塊間的兼容性。[2022/6/8 4:09:22]

攻擊者利用惡意DApp釣魚網站引導用戶使用WalletConnect與釣魚頁面連接后，然后定時不間斷發送惡意的簽名請求。用戶識別到eth_sign可能不安全拒絕簽名后，由于WalletConnect采用wss的方式進行連接，如果用戶沒有及時關閉連接，釣魚頁面會不斷的發起構造惡意的eth_sign簽名彈窗請求，用戶在使用錢包的時候有很大的可能會錯誤的點擊簽署按鈕，導致用戶的資產被盜。

慢霧：Lendf.Me攻擊者剛歸還了126,014枚PAX:慢霧安全團隊從鏈上數據監測到，Lendf.Me攻擊者(0xa9bf70a420d364e923c74448d9d817d3f2a77822)剛向Lendf.Me平臺admin賬戶(0xa6a6783828ab3e4a9db54302bc01c4ca73f17efb)轉賬126,014枚PAX，并附言\"Better future\"。隨后Lendf.Me平臺admin賬戶通過memo回復攻擊者并帶上聯系郵箱。此外，Lendf.Me攻擊者錢包地址收到一些受害用戶通過memo求助。[2020/4/20]

這個安全問題的核心是用戶切換DAppBrowser界面到其他界面后，是否應繼續自動彈窗響應來自DAppBrowser界面的請求，尤其是敏感操作請求。因為跨界面后盲目彈窗響應很容易導致用戶的誤操作。

這里面涉及到一個安全原則：WalletConnect連接后，錢包在檢測到用戶切換DAppBrowser界面到其他界面后，應該對來自DAppBrowser的彈窗請求不進行處理。

聲音 | 慢霧：99%以上的勒索病使用BTC進行交易:據慢霧消息，勒索病已經成為全球最大的安全威脅之一，99%以上的勒索病使用BTC進行交易，到目前為止BTC的價格已經漲到了一萬多美元，最近一兩年針對企業的勒索病攻擊也越來越多，根據Malwarebytes統計的數據，全球TO B的勒索病攻擊，從2018年6月以來已經增加了363%，同時BTC的價格也直線上漲，黑客現在看準了數字貨幣市場，主要通過以下幾個方式對數字貨幣進行攻擊：

1.通過勒索病進行攻擊，直接勒索BTC。

2.通過惡意程序，盜取受害者數字貨幣錢包。

3.通過數字貨幣網站漏洞進行攻擊，盜取數字貨幣。[2019/8/25]

另外需要注意的是，雖然移動端錢包App+PC瀏覽器的WalletConnect連接場景也存在同樣的問題，但是用戶在這種場景下或許不那么容易誤操作。

WalletConnect連接后界面切換的處理情況

慢霧安全團隊抽取市面熱門搜索和下載量比較大的20個CryptoWalletApp進行測試：

根據上表測試結果，我們發現：

1.部分熱門錢包App如MetaMask、EnjinWallet、TrustWallet、SafePalWallet及iTokenWallet等，在WalletConnect連接后切換到其他界面時，會自動響應DApp的請求，并彈出簽名窗口。

2.大部分測試的錢包App在切換界面后，對DApp的請求不會做出響應，也不會彈出提示窗口。

3.少數錢包App在測試環境下無法使用WalletConnect與DApp連接，如CoinbaseWallet和MEWCryptoWallet等。錢包的DApp中不是很適配?WalletConnect接口。

4.部分錢包App如ExodusWallet和EdgeWallet在連接測試環境下未找到相關的DApp進行測試，無法判斷其切換界面后的響應情況。

WalletConnect釣魚風險的發現和后續

慢霧安全團隊最初在TrustWallet上發現這個問題，并通過Bugcrowd漏洞提交平臺向他們提交了這個問題，我們獲得了TrustWallet的感謝，他們表示將在下一個版本修復這個安全風險。

特別的是，如果錢包對eth_sign這種低級簽名函數沒有任何風險提醒，eth_sign這是一種非常危險的低級簽名，大大加劇了WalletConnect這個問題釣魚的風險。

不過如果只是禁用了eth_sign也不是完全沒有風險，我們還是呼吁更多的錢包開始禁用它。以用戶數量最多的MetaMask錢包為例，其插件端已經在2023年2月10號發布的V10.25.0版本默認禁用eth_sign，而移動端也在2023年3月1號發布的版本號為6.11開始默認不支持eth_sign，用戶需要到設置里手動打開才能使用它。

不過值得一提的是，MetaMask6.11版本之后添加了對DApp進行URI請求的校驗，但是這個校驗在DApp使用WalletConnect進行交互的時候，同樣會進行彈窗警告，不過這個警告存在被無限制彈窗導致DoS的風險。

總結與建議

對個人用戶來說，風險主要在“域名、簽名”兩個核心點，WalletConnect這種釣魚方式早已被很多惡意網站用于釣魚攻擊，使用時務必保持高度警惕。

對錢包項目方來說，首先是需要進行全面的安全審計，重點提升用戶交互安全部分，加強所見即所簽機制，減少用戶被釣魚風險，如：

釣魚網站提醒：通過生態或者社區的力量匯聚各類釣魚網站，并在用戶與這些釣魚網站交互的時候對風險進行醒目地提醒和告警。

簽名的識別和提醒：識別并提醒eth_sign、personal_sign、signTypedData這類簽名的請求，并重點提醒eth_sign盲簽的風險。

所見即所簽：錢包中可以對合約調用進行詳盡解析機制，避免Approve釣魚，讓用戶知道DApp交易構造時的詳細內容。

預執行機制：通過交易預執行機制可以幫助用戶了解到交易廣播執行后的效果，有助于用戶對交易執行進行預判。

尾號相同的詐騙提醒：在展示地址的時候醒目的提醒用戶檢查完整的目標地址，避免尾號相同的詐騙問題。設置白名單地址機制，用戶可以將常用的地址加入到白名單中，避免類似尾號相同的攻擊。

在交易顯示上，可以增加對小額或者無價值代幣交易的隱藏功能，避免尾號釣魚。

AML合規提醒：在轉賬的時候通過AML機制提醒用戶轉賬的目標地址是否會觸發AML的規則。

請持續關注慢霧安全團隊，更多的釣魚安全風險分析與告警正在路上。

慢霧科技作為一家行業領先的區塊鏈安全公司，在安全審計方面深耕多年，安全審計不僅讓用戶安心，更是降低攻擊發生的手段之一。其次，各家機構由于數據孤島，難以關聯識別出跨機構的洗錢團伙，給反洗錢工作帶來巨大挑戰。而作為項目方，及時拉黑阻斷惡意地址的資金轉移也是重中之重。MistTrack反洗錢追蹤系統積累了2億多個地址標簽，能夠識別全球主流交易平臺的各類錢包地址，包含1千多個地址實體、超10萬個威脅情報數據和超9千萬個風險地址，如有需要可聯系我們接入API。最后希望各方共同努力，一起讓區塊鏈生態更美好。

Tags：LLEWALLETWALWALLmathwalletELFWALLET幣trustwallet錢包怎么交易WALLY價格

萊特幣價格