A empresa de segurança Blockchain CertiK lembrou a comunidade cripto para ficar alerta sobre golpes de “ice phishing” – um tipo único de golpe de phishing direcionado a usuários da Web3 – identificado pela primeira vez pela Microsoft no início deste ano.
Em um relatório de análise de 20 de dezembro, a CertiK descrito ice phishing scams como um ataque que engana os usuários do Web3 para que assinem permissões que acabam permitindo que um golpista gaste seus tokens.
Isso difere dos ataques de phishing tradicionais, que tentam acessar informações confidenciais, como chaves privadas ou senhas, como os sites falsos criados para ajudar Investidores da FTX recuperam fundos perdido na troca.
1/ Ice phishing é uma ameaça considerável para a comunidade Web3
Em vez de obter acesso à sua chave privada, os golpistas o induzem a assinar permissões para gastar seus ativos.
Descreveremos abaixo o que observar e como se proteger!
— Alerta CertiK (@CertiKAlert) 20 de dezembro de 2022
Um golpe de 17 de dezembro em que 14 Macacos Entediados foram roubados é um exemplo de um elaborado esquema de phishing de gelo. Um investidor foi convencido a assinar um pedido de transação disfarçado de contrato de filme, o que acabou permitindo que o golpista vendesse todos os macacos do usuário para si mesmo por uma quantia insignificante.
A empresa observou que esse tipo de golpe era uma “ameaça considerável” encontrada apenas no mundo da Web3, já que os investidores costumam ser obrigados a assinar permissões para protocolos de finanças descentralizadas (DeFi) com os quais interagem, o que pode ser facilmente falsificado.
“O hacker só precisa fazer o usuário acreditar que o endereço malicioso ao qual ele está concedendo aprovação é legítimo. Depois que um usuário aprova as permissões para que o golpista gaste tokens, os ativos correm o risco de serem drenados.”
Depois que um golpista obtém aprovação, ele pode transferir ativos para um endereço de sua escolha.
Para se proteger do ice phishing, a CertiK recomendou que os investidores revogassem permissões para endereços que não reconhecem em sites exploradores de blockchain, como o Etherscan, usando uma ferramenta de aprovação de token.
Relacionado: Co-fundador do golpe de $ 4 bilhões da OneCoin se declara culpado e pode pegar 60 anos de prisão
Além disso, os endereços com os quais os usuários planejam interagir devem ser pesquisados nesses exploradores de blockchain em busca de atividades suspeitas. Em sua análise, a CertiK aponta para um endereço que foi financiado por retiradas do Tornado Cash como um exemplo de atividade suspeita.
A CertiK também sugeriu que os usuários interajam apenas com sites oficiais que possam verificar e sejam particularmente cautelosos com sites de mídia social como o Twitter, destacando uma conta falsa do Optimism no Twitter como exemplo.
A empresa também aconselhou os usuários a levar alguns minutos para verificar um site confiável, como CoinMarketCap ou Coingecko, os usuários poderiam ver que o URL vinculado não era um site legítimo e deveria ser evitado.
A gigante da tecnologia Microsoft foi a primeira a destacar essa prática em um blog de 16 de fevereiro. postar, dizendo na época que, embora o phishing de credenciais seja muito predominante no mundo da Web2, o ice phishing oferece aos golpistas individuais a capacidade de roubar uma parte da indústria de criptografia, mantendo "anonimato quase completo".
Eles recomendaram que os projetos Web3 e os provedores de carteira aumentem a segurança de seus serviços no nível do software, a fim de evitar que o ônus de evitar ataques de phishing de gelo seja colocado apenas no usuário final.
Fonte: https://cointelegraph.com/news/how-to-avoid-getting-hooked-by-crypto-ice-phishing-scammers-certik