Avviso di sicurezza WEEX: truffa di approvazione dannosa

Cos'è una truffa di approvazione dannosa?

Le truffe di approvazione dannosa rappresentano una delle minacce più diffuse e dannose nello spazio Web3, colpendo innumerevoli utenti.

Nel Web3, quando interagisci con uno smart contract, ti viene spesso richiesto di concedere autorizzazioni firmando una transazione. Esempi comuni includono:

• Approvare una dApp per accedere ai tuoi token.
• Concedere a un contratto l'autorizzazione per trasferire i tuoi NFT.
• Eseguire azioni apparentemente innocue, come l'accesso o la verifica della proprietà.

Le truffe di approvazione dannosa sfruttano queste azioni ingannando gli utenti affinché concedano a contratti dannosi l'autorizzazione a trasferire i loro asset.

Caratteristiche principali

1. Ingannare gli utenti affinché concedano autorizzazioni pericolose. I truffatori si spacciano per dApp, airdrop o progetti NFT legittimi. Inducono gli utenti a fare clic sul pulsante "Approva", che in realtà autorizza azioni dannose come l'accesso a token o NFT.
2. Gli asset vengono prosciugati senza alcun trasferimento. Non hai inviato nulla: hai soltanto cliccato su "Conferma". Ma una volta ottenuta l'approvazione, gli aggressori possono trasferire i tuoi asset in qualsiasi momento senza ulteriori azioni da parte tua.
3. Le autorizzazioni sono spesso illimitate. La maggior parte dei contratti dannosi richiede la massima autorizzazione possibile, garantendo loro un accesso permanente e illimitato ai tuoi token o NFT.
4. Il contratto è passivo. I contratti truffaldini non rubano attivamente i fondi. Si basano interamente sulla volontaria firma delle approvazioni da parte degli utenti, il che li aiuta a eludere i tradizionali avvisi di sicurezza.
5. Richieste di firma fuorvianti, le richieste di approvazione del portafoglio sono spesso eccessivamente tecniche o semplificate, rendendo difficile capire cosa si sta firmando. Molti utenti ritengono che si tratti di un'autorizzazione innocua e confermano senza rendersi conto del rischio.

Scenari comuni

1. Pagine web di falsi airdrop o mint di NFT: i siti promuovono "airdrop limitati" o "mint gratuiti". Facendo clic sul pulsante si attiva una richiesta di approvazione dell'accesso a token o NFT. Una volta ottenuta l'approvazione, i truffatori possono prosciugare i tuoi asset in qualsiasi momento.
2. Piattaforme DEX o Swap fasulle: colleghi il tuo portafoglio a un exchange decentralizzato fasullo per fare swap di token. Invece di eseguire un trading, il sito ti induce con l'inganno ad approvare l'accesso ai token. I tuoi fondi vengono quindi rubati.
3. Piattaforme di staking o di gioco fasulle: viene richiesto di "fare staking di token" o "iniziare a giocare" su una piattaforma DeFi o GameFi ingannevole. Il sito richiede l'approvazione dei tuoi token o NFT, ma l'intera piattaforma è falsa.
4. Frontend compromessi di progetti legittimi, gli aggressori compromettono siti web affidabili o dirottano i record DNS per sostituire contratti legittimi con altri dannosi. Gli utenti ritengono di utilizzare una dApp autentica, ma in realtà approvano autorizzazioni dannose.
5. Assistenza clienti o documentazione false: un agente di supporto fasullo invia un link sostenendo di poter risolvere un problema. La pagina ti chiede di approvare un contratto, il quale è stato progettato per sottrarre i tuoi asset.

Come funziona:

L'idea alla base delle approvazioni dannose è semplice:

Sfrutta la mancanza di consapevolezza degli utenti riguardo alle autorizzazioni on-chain. Ingannando l'utente affinché conceda le approvazioni, i truffatori acquisiscono il controllo dei suoi asset e li sottraggono a sua insaputa.

Processo tecnico

Una tipica truffa di approvazione dannosa segue questi passaggi:

1. Il truffatore implementa un contratto dannoso (che non avvia autonomamente trasferimenti).
2. L'utente viene indotto con l'inganno a richiedere l'approvazione (per i token).
3. L'approvazione è concessa: gli asset rimangono temporaneamente nel portafoglio.
4. I truffatori utilizzano funzioni per trasferire fondi nel proprio portafoglio.
5. Poiché la transazione è stata approvata dall'utente, è considerata valida e non viene bloccata.

Migliori pratiche per proteggersi

Presta attenzione a questi campanelli d’allarme per evitare approvazioni dannose:

• La dApp non possiede funzionalità reali; si limita a richiedere approvazioni.
• Richiede l'accesso ad asset di alto valore come ETH, stablecoin o NFT.
• L'approvazione non prevede alcun limite di spesa.
• Il popup della firma mostra le azioni ad alto rischio.
• Il sito web appare poco professionale o imita un progetto già noto.
• Evita di fare clic su link casuali o di approvare richieste provenienti da fonti non verificate come messaggi diretti su Telegram o risposte su Twitter.

Conclusione

Se non comprendi, non firmare. Se non si tratta di un'operazione di trading, rifletti attentamente prima di approvare.

Per gli utenti comuni, l'approvazione delle autorizzazioni degli smart contract dovrebbe essere effettuata con estrema cautela. Si raccomanda di adottare un approccio orientato alla sicurezza: considera ogni approvazione come un potenziale trasferimento di fondi. Controlla sempre attentamente e verifica ogni autorizzazione prima di firmare.

Approfondimenti

• Avviso di sicurezza WEEX: token ad alto rischio
• Avviso di sicurezza WEEX: spoofing SMS
• Avviso di sicurezza WEEX: social media e forum online
• Avviso di sicurezza WEEX: truffe comuni relative alle criptovalute