ウェブ3.0モバイルウォレット安全警告：モーダルウィンドウフィッシング攻撃

最近、安全研究者たちは、ウェブ3.0モバイルウォレットに対する新しいフィッシング技術を発見しました。この技術は「モーダルフィッシング攻撃」と呼ばれています。この攻撃手法は主にモバイルウォレットアプリのモーダルウィンドウを利用し、誤解を招く情報を表示することでユーザーに悪意のある取引を承認させるよう誘導します。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

モーダルフィッシング攻撃とは何ですか？

モーダルフィッシング攻撃は、暗号通貨ウォレットアプリのモーダルウィンドウを主に対象としています。モーダルウィンドウは、モバイルアプリで一般的に使用されるUI要素で、通常はメイン画面の上部に表示され、取引の承認などの迅速な操作に使用されます。

通常、ウェブ3.0ウォレットのモーダルウィンドウには、取引リクエストに必要な情報が表示され、承認または拒否のボタンがあります。しかし、攻撃者はこれらのUI要素を操作し、悪意のある取引を合法的なリクエストに偽装することができます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

攻撃手口

研究者は2つの主要な攻撃手法を発見しました：

1. Wallet Connectプロトコルを利用したDAppフィッシング
2. スマートコントラクト情報を操作してフィッシングを行う

ウォレットコネクトプロトコルフィッシング

Wallet Connectは、ユーザーのウォレットとDAppを接続するための人気のあるオープンソースプロトコルです。ペアリングプロセスでは、ウォレットがDAppの名前、URL、アイコンなどの情報を表示します。ただし、これらの情報はDAppによって提供され、ウォレットはその真偽を検証しません。

攻撃者はこれらの情報を偽造し、Uniswapなどの有名なDAppになりすまし、ユーザーをウォレットに接続させて悪意のある取引を承認させることができます。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

スマートコントラクト情報フィッシング

MetaMaskを例にとると、取引承認画面にはスマートコントラクトのメソッド名が表示されます。攻撃者は"SecurityUpdate"のような誤解を招く名前のスマートコントラクトメソッドを登録し、取引がウォレット自体からのセキュリティ更新要求のように見えるようにします。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃モーダルフィッシング

防犯に関する提案

1. ウォレット開発者は:
   • すべての外部データが信頼できないと仮定する
   • ユーザーに表示される情報を慎重に検証する
   • フィッシングに使われる可能性のあるキーワードをフィルタリングする

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

2. ユーザーは次のことを行うべきです:
   • 未知の取引リクエストに警戒を保つ
   • 取引の詳細を慎重に確認し、モーダルウィンドウに表示されている情報を鵜呑みにしないでください。
   • 取引を承認する前に、DAppの真偽を確認してください。

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

まとめ

モーダルフィッシング攻撃は、ウェブ3.0ウォレットにおけるユーザーインターフェースデザインとデータ検証の潜在的な脆弱性を明らかにしました。このような攻撃手法の進化に伴い、ウォレット開発者はセキュリティ対策を強化する必要があり、ユーザーも警戒を高め、ウェブ3エコシステムの安全を共に維持すべきです。

! [Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃] (https://img-cdn.gateio.im/webp-social/moments-966a54698e22dacfc63bb23c2864959e.webp)

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃

! Web3.0モバイルウォレットの新しい詐欺の謎を解く:モーダルフィッシング攻撃:モーダルフィッシング