比特币:慢雾：警惕 Web3 钱包 WalletConnect 钓鱼风险_FirstCoin

作者：

时间：

WalletConnect 钓鱼风险介绍

2023 年 1 月 30 日，慢雾安全团队发现 Web3 钱包上关于 WalletConnect 使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包 App 内置的 DApp Browser + WalletConnect 的场景下。

我们发现，部分 Web3 钱包在提供 WalletConnect 支持的时候，没有对 WalletConnect 的交易弹窗要在哪个区域弹出进行限制，因此会在钱包的任意界面弹出签名请求。

当用户离开 DApp Browser 界面切换到钱包其他界面如示例中的 Wallet、Discover 等界面，由于钱包为了不影响用户体验和避免重复授权，此时 Wallet Connect 的连接是没有断开的，但是此时用户却可能因为恶意 DApp 突然发起的签名请求弹窗而误操作导致被钓鱼转移走资产。

慢雾：过去一周Web3因安全事件损失约265万美元:7月17日消息，慢雾发推称，2023年7月10日至7月16日期间，Web3发生5起安全事件，总损失为265.5万美元，包括Arcadia Finance、Rodeo Finance、LibertiVault、Platypus、Klever。[2023/7/17 10:59:08]

动态演示 GIF 如下图：

攻击者利用恶意 DApp 钓鱼网站引导用户使用 WalletConnect 与钓鱼页面连接后，然后定时不间断发送恶意的签名请求（如 eth_sign 这种盲签、授权签名、针对特殊智能合约协议的交易签名等，后面以 eth_sign 作为举例）。用户识别到 eth_sign 可能不安全拒绝签名后，由于 WalletConnect 采用 wss 的方式进行连接，如果用户没有及时关闭连接，钓鱼页面会不断的发起构造恶意的 eth_sign 签名弹窗请求，用户在使用钱包的时候有很大的可能会错误的点击签署按钮，导致用户的资产被盗。

慢雾：昨日MEV机器人攻击者恶意构造无效区块，建议中继运营者及时升级:金色财经报道，慢雾分析显示，昨日MEV机器人被攻击的问题原因在于即使信标区块不正确，中继仍将有效载荷（payload）返回给提议者，导致了提议者在另一个区块被最终确定之前就能访问区块内容。攻击者利用此问题，恶意构造了无效的区块，使得该区块无法被验证，中继无法进行广播（状态码为202）从而提前获得交易内容。mev-boost-relay昨日已紧急发布新版本缓解此问题，建议中继运营者及时升级中继。

据此前报道，昨日夹击MEV机器人的恶意验证者已被Slash惩罚并踢出验证者队列。[2023/4/4 13:43:37]

这个安全问题的核心是用户切换 DApp Browser 界面到其他界面后，是否应继续自动弹窗响应来自 DApp Browser 界面的请求，尤其是敏感操作请求。因为跨界面后盲目弹窗响应很容易导致用户的误操作。

这里面涉及到一个安全原则：WalletConnect 连接后，钱包在检测到用户切换 DApp Browser 界面到其他界面后，应该对来自 DApp Browser 的弹窗请求不进行处理。

慢雾：警惕ETH新型假充值，已发现在野ETH假充值攻击:经慢雾安全团队监测，已发现存在ETH假充值对交易所攻击的在野利用，慢雾安全团队决定公开修复方案，请交易所或钱包及时排查ETH入账逻辑，必要时联系慢雾安全团队进行检测，防止资金丢失。建议如没有把握成功修复可先临时暂停来自合约地址的充值请求。再进行如下修复操作：1、针对合约ETH充值时，需要判断内联交易中是否有revert的交易，如果存在revert的交易，则拒绝入账。2、采用人工入账的方式处理合约入账，确认充值地址到账后才进行人工入账。同时需要注意，类以太坊的公链币种也可能存在类似的风险。[2020/5/23]

另外需要注意的是，虽然移动端钱包 App + PC 浏览器的 WalletConnect 连接场景也存在同样的问题，但是用户在这种场景下或许不那么容易误操作。

WalletConnect 连接后界面切换的处理情况

慢雾安全团队抽取市面热门搜索和下载量比较大的 20 个 Crypto Wallet App 进行测试：

动态 | 慢雾：10 月发生多起针对交易所的提币地址劫持替换攻击:据慢雾区块链威胁情报(BTI)系统监测及慢雾 AML 数据显示，过去的 10 月里发生了多起针对数字货币交易所的提币地址劫持替换攻击，手法包括但不限于：第三方 JS 恶意代码植入、第三方 NPM 模块污染、Docker 容器污染。慢雾安全团队建议数字货币交易所加强风控措施，例如：1. 密切注意第三方 JS 链接风险；2. 提币地址应为白名单地址，添加时设置双因素校验，用户提币时从白名单地址中选择，后台严格做好校验。此外，也要多加注意内部后台的权限控制，防止内部作案。[2019/11/1]

根据上表测试结果，我们发现：

1. 部分热门钱包 App 如 MetaMask、Enjin Wallet、Trust Wallet、SafePal Wallet 及 iToken Wallet 等，在 WalletConnect 连接后切换到其他界面时，会自动响应 DApp 的请求，并弹出签名窗口。

2. 大部分测试的钱包 App 在切换界面后，对 DApp 的请求不会做出响应，也不会弹出提示窗口。

声音 | 慢雾：EOS假充值红色预警后续:慢雾安全团队今早发布了 EOS 假充值红色预警后，联合 EOSPark 的大数据分析系统持续跟踪和分析发现：从昨日开始，存在十几个帐号利用这类攻击技巧对数字货币交易所、钱包等平台进行持续性攻击，并有被真实攻击情况。慢雾安全团队在此建议各大交易所、钱包、DApp 做好相关防御措施，严格校验发送给自己的转账交易在不可逆的状态下确认交易的执行状态是否为 executed。除此之外，确保以下几点防止其他类型的“假充值”攻击： 1. 判断 action 是否为 transfer 2. 判断合约账号是否为 eosio.token 或其它 token 的官方合约 3. 判断代币名称及精度 4. 判断金额 5. 判断 to 是否是自己平台的充币账号。[2019/3/12]

3. 少数钱包 App 在测试环境下无法使用 WalletConnect 与 DApp 连接，如 Coinbase Wallet 和 MEW Crypto Wallet 等。钱包的 DApp 中不是很适配 WalletConnect 接口。

4. 部分钱包 App 如 Exodus Wallet 和 Edge Wallet 在连接测试环境下未找到相关的 DApp 进行测试，无法判断其切换界面后的响应情况。

慢雾安全团队最初在 Trust Wallet 上发现这个问题，并通过 Bugcrowd 漏洞提交平台向他们提交了这个问题，我们获得了 Trust Wallet 的感谢，他们表示将在下一个版本修复这个安全风险。

特别的是，如果钱包对 eth_sign 这种低级签名函数（盲签）没有任何风险提醒，eth_sign 这是一种非常危险的低级签名，大大加剧了 WalletConnect 这个问题钓鱼的风险。

不过如果只是禁用了 eth_sign 也不是完全没有风险（本文仅是拿 eth_sign 举例说明），我们还是呼吁更多的钱包开始禁用它。以用户数量最多的 MetaMask 钱包为例，其插件端已经在 2023 年 2 月 10 号发布的 V10.25.0 版本默认禁用 eth_sign，而移动端也在 2023 年 3 月 1 号发布的版本号为 6.11 开始默认不支持 eth_sign，用户需要到设置里手动打开才能使用它。

（Refer: https://github.com/MetaMask/metamask-extension/pull/17308）

（Refer: https://github.com/MetaMask/metamask-mobile/pull/5848）

不过值得一提的是，MetaMask 6.11 版本之后添加了对 DApp 进行 URI 请求的校验，但是这个校验在 DApp 使用 WalletConnect 进行交互的时候，同样会进行弹窗警告，不过这个警告存在被无限制弹窗导致 DoS 的风险。

总结与建议

对个人用户来说，风险主要在 “域名、签名” 两个核心点，WalletConnect 这种钓鱼方式早已被很多恶意网站用于钓鱼攻击，使用时务必保持高度警惕。

对钱包项目方来说，首先是需要进行全面的安全审计，重点提升用户交互安全部分，加强所见即所签机制，减少用户被钓鱼风险，如：

钓鱼网站提醒：通过生态或者社区的力量汇聚各类钓鱼网站，并在用户与这些钓鱼网站交互的时候对风险进行醒目地提醒和告警。

签名的识别和提醒：识别并提醒 eth_sign、personal_sign、signTypedData 这类签名的请求，并重点提醒 eth_sign 盲签的风险。

所见即所签：钱包中可以对合约调用进行详尽解析机制，避免 Approve 钓鱼，让用户知道 DApp 交易构造时的详细内容。

预执行机制：通过交易预执行机制可以帮助用户了解到交易广播执行后的效果，有助于用户对交易执行进行预判。

尾号相同的提醒：在展示地址的时候醒目的提醒用户检查完整的目标地址，避免尾号相同的问题。设置白名单地址机制，用户可以将常用的地址加入到白名单中，避免类似尾号相同的攻击。

在交易显示上，可以增加对小额或者无价值代币交易的隐藏功能，避免尾号钓鱼。

AML 合规提醒：在转账的时候通过 AML 机制提醒用户转账的目标地址是否会触发 AML 的规则。

请持续关注慢雾安全团队，更多的钓鱼安全风险分析与告警正在路上。

慢雾科技作为一家行业领先的区块链安全公司，在安全审计方面深耕多年，安全审计不仅让用户安心，更是降低攻击发生的手段之一。其次，各家机构由于数据孤岛，难以关联识别出跨机构的团伙，给反工作带来巨大挑战。而作为项目方，及时拉黑阻断恶意地址的资金转移也是重中之重。MistTrack 反追踪系统积累了 2 亿多个地址标签，能够识别全球主流交易平台的各类钱包地址，包含 1 千多个地址实体、超 10 万个威胁情报数据和超 9 千万个风险地址，如有需要可联系我们接入 API。最后希望各方共同努力，一起让区块链生态更美好。

慢雾科技

个人专栏

阅读更多

金色财经善欧巴

Chainlink预言机

白话区块链

金色早8点

Odaily星球日报

Arcane Labs

深潮TechFlow

欧科云链

BTCStudy