我们最近发现了一种新型的网络钓鱼技术，可用于在连接的去中心化应用身份方面误导受害者。
我们将这种新型的网络钓鱼技术命名为ModalPhishing。
攻击者可以向移动钱包发送伪造的虚假信息冒充合法的DApp，并通过在移动钱包的模态窗口中显示误导性信息来诱受害者批准交易。这种网络钓鱼技术正在广泛使用。我们与相应的组件开发人员进行了沟通，并确认他们将发布新的验证API以降低该风险。
什么是ModalPhishing？
在CertiK对移动钱包的安全研究中，我们注意到Web3.0货币钱包的某些用户界面元素可以被攻击者控制用来进行网络钓鱼攻击。我们将这种钓鱼技术命名为ModalPhishing，因为攻击者主要针对加密钱包的模态窗口进行钓鱼攻击。
模态是移动应用程序中经常使用的UI元素。模态通常显示在应用程序主窗口顶部。这样的设计通常用于方便用户执行快速操作，如批准/拒绝Web3.0货币钱包的交易请求。
CESS Senior Ambassador Andy：DeFi、游戏和内容创作者平台是带来Web3用户的主要方向:金色财经现场报道，在8月8日由金色财经主办的金色沙龙活动中，CESS Senior Ambassador Andy在《下一个十亿级Web3用户来自哪里》圆桌会议中表示，能带来用户的主要有三个方向。
首先是DeFi。DeFi有两方面，一个是支付，一个是DEX，这都是硬需求。昨天Paypal发的稳定币，特别是跨境支付、跨国支付，会很方便。以后用DEX做交易，这是趋势。
第二个看好的赛道是之前很多嘉宾提到过的游戏，因为游戏可以跟金融结合得比较好。而且游戏在全世界范围内，也有很多用户。
第三个是内容创作者平台。我们反观一下Web2.0能留住客户的APP，有微信，都是靠内容留住客户的。所以把用户吸引到Web3.0，要靠内容。[2023/8/8 21:32:38]
Web3.0货币钱包上的典型模态设计通常提供供用户检查签名等请求的必要信息，以及批准或拒绝请求的按钮。
Rook Labs和维权投资者达成资产分配协议:4月14日消息，Rook项目的实际运营商Rook Labs与ROOK代币持有者达成协议，后者可以解锁对国库的所有权，将按比例获得USDC份额，外加pROOK代币。而RookLabs团队可以继续从事令人兴奋的项目，而无需承担毫无价值的治理代币的负担。
此前消息，MEV解决方案ROOK的开发实体RookLabs发起一项社区提案投票，计划将近5000万美元的金库资产分成两半，分别分配给Rook技术的主要建设者和一个名为IncubatorDAO的新社区运营实体。IncubatorDAO将取代原先的RookDAO，完全独立于Rook，可决定如何使用近2500万美元资金。[2023/4/14 14:03:23]
真实交易批准模式与网络钓鱼交易批准模式对比
在上方截图中，我们展示了Metamask上一个常规的交易审批模态窗口是如何出现的。
欧易Web3钱包与HashFlow达成官方合作关系:据OKX Web3 Wallet 推特消息，欧易Web3钱包与HashFlow达成官方合作关系，欧易Web3钱包将全力支持HashFlow的生态发展和社区建设。当前，HashFlow已接入欧易Web3钱包，用户可通过欧易Web3钱包在HashFlow交易任意链上资产，并可在欧易Web3钱包查看个人资产。
据悉，HashFlow是一个零滑点和MEV保护交易而设计的去中心化交易所。欧易Web3钱包支持40+公链、1000+DeFi协议，用户可通过添加“观察钱包”，实时追踪链上动态。[2022/12/14 21:43:37]
当一个新的交易请求被连接的去中心化应用程序初始化时，钱包会展示一个新的模态窗口，并要求用户进行人工确认。
如上图左侧所示，模态窗口通常包含请求者的身份，如网站地址、图标等。如Metamask这样的一些钱包也会显示有关请求的关键信息，在实例中我们看到一些UI元素被标记为“Confirm”，以提示用户这是一个常规的交易请求。
荷兰合作银行：鲍威尔将在明年继续反对降息:12月12日消息，荷兰合作银行分析师在预测美联储12月政策会议时表示，他们预计美联储将加息50个基点，并预计政策制定者将终端利率预
测修正至5%左右。此外，预计鲍威尔将在2023年继续反对降息，并重申恢复物价稳定将需要在一段时间内将利率保持在限制性水平，而历史强烈警告不要过早放松政策。与此同时，由于受到鲍威尔鹰派观点的影响，点阵图很可能显示出美联储官员对终端利率存在相当大的分歧。到2023年，当官员们变得更加温和时，这一点可能会变得更加突出。(金十)[2022/12/12 21:38:37]
然而，这些用户界面元素可以被攻击者控制以进行ModalPhishing攻击。在右侧的截图中，我们可以看到攻击者可以更改交易细节，并将交易请求伪装成来自“Metamask”的“SecurityUpdate”请求，以诱使用户批准。
如截图所示，攻击者可以操纵多个UI元素。
美国国会研究机构CRS评估UST崩盘事件，称稳定币存在监管漏洞:5月17日消息，支持美国国会的立法机构国会研究服务（CRS）发布了一份文件，其中包含算法稳定币的概述，并指出了在UST崩盘事件中值得关注的关键因素。
在这份报告中，CRS将UST的事故描述为“run-like（类似挤兑）”的情景，并假设存在与此类事件风险相关的政策问题。根据CRS的说法，当持有者对支持该资产锚定美元的储备持怀疑态度时，“挤兑”局面就开始了。随后，大量投资者同时撤出投资，造成了负面的多米诺效应，进而威胁到加密生态系统和传统金融系统的稳定。
该研究机构进一步解释说，在传统金融中，类似挤兑的情况受到监管和银行存款保险、流动性工具等其他措施的保护。这降低了那些考虑撤资者的动机。
另一方面，CRS指出，稳定币行业没有得到“充分监管”，其监管框架可能存在漏洞。此外，CRS强调了现有的政策建议，包括可能会限制可以支持稳定币的资产，以及建立报告要求等。（Cointelegraph）[2022/5/17 3:22:23]
因此我们将在本文中为大家分享两个典型案例，并确定那些可被攻击者控制的UI元素。
详细信息如下：
①如果使用WalletConnect协议，攻击者可以控制DApp信息UI元素。
②攻击者可以控制某些钱包应用中的智能合约信息UI元素。
攻击者控制的Modal和相关的信息源示例
示例①：通过WalletConnect进行DApp钓鱼攻击
WalletConnect协议是一个广受欢迎的开源协议，用于通过二维码或深度链接将用户的钱包与DApp连接。用户可以通过WalletConnect协议将他们的钱包与DApp连接起来，然后与该协议进行进行交易或转账。
在Web3.0货币钱包和DApp之间的配对过程中，我们注意到Web3.0货币钱包会展示一个模态窗口，显示传入配对请求的元信息——包括DApp的名称，网站地址，图标和描述。Web3.0钱包展示的这些信息和方式根据DApp名称、图标和网站地址不同而变化，以供用户查看。
但是这些信息是DApp提供的，钱包并不验证其所提供信息是否合法真实。比如在网络钓鱼攻击中，某雷碧可以假称为某雪碧，而后在用户发起交易请求之前诱用户与其连接。
小伙伴们可以复制链接到浏览器查看CertiK为此做的一个小测试。
在该视频中，CertiK展示了攻击者是如何「欺瞒」UniswapDApp的——攻击者声称自己是UniswapDApp，并连接Metamask钱包，以此用户批准传入的交易。
在配对过程中，钱包内显示的模态窗口呈现了合规UniswapDApp的名称、网站网址和网站图标。
由于网址中使用了https方案，所以还显示了一个挂锁图标，这样显得模态窗口更为逼真和合法了。在配对过程中，只要受害者想在假Uniswap网站上进行交易操作，攻击者就可以替换交易请求参数来窃取受害者的资金。
请注意，虽然不同的钱包上的模态设计不同，但攻击者是始终可以控制元信息的。
下图展示了当我们将ZenGo和1Inch钱包连接到钓鱼网站的DApp时，配对批准模式的样子。
如上例所示，被大规模使用的WalletConnect协议并未验证配对的DApp信息的合法性。被操纵的元信息被钱包应用程序进一步使用并呈现给用户，这可以被用来进行ModalPhishing。作为一个潜在的解决方案，WalletConnect协议可以提前验证DApp信息的有效性和合法性。WalletConnect的开发人员已经承认了知晓这个问题，并正在研究相关解决方案。
示例②：通过MetaMask进行智能合约信息网络钓鱼
你可能已经注意到，在Metamask批准模态的图标或网站名称下，有另一个视图，显示了一个不固定的字符串例如“Confirm”或“UnknownMethod”。这个UI元素是由Metamask设计的，用于识别相应的交易类型。
在呈现交易批准模态时，Metamask会读取智能合约的签名字节，并使用链上方法注册表查询相应的方法名称，如以下代码所示。然而，这也会在模态上创建另一个可以被攻击者控制的UI元素。
MetaMask的智能合约方法名称说明
我们可以看到Metamask上有一个交易请求模态，其被标记为“SecurityUpdate”。攻击者建立了一个钓鱼智能合约，其有一个SecurityUpdate具备支付函数功能，并允许受害者将资金转入该智能合约。
攻击者还使用SignatureReg将方法签名注册为人类可读的字符串“SecurityUpdate”中。如前所述，当Metamask解析这个钓鱼智能合约时，它使用函数签名字节查询相应的函数方法，并在批准模态中呈现给用户。
从这个智能合约的交易可以看出，这个特定的钓鱼智能合约已经运行了200多天。
开发者应该时刻注意监测那些会向用户呈现的内容，并采取预防措施过滤掉可能被用于网络钓鱼攻击的词语。
写在最后
在本文中，我们为大家展示了Web3.0货币钱包上不应盲目信任的常见UI组件——模态窗口。
模态窗口中的某些UI元素可以被攻击者操纵，以创造出非常「真实且有说服力」的钓鱼陷阱。因此，我们将这种新的网络钓鱼技术命名为ModalPhishin。
这种攻击发生的根本原因是钱包应用程序没有彻底验证所呈现的UI元素的合法性。
例如，钱包应用程序直接信任来自WalletConnectSDK的元数据，并将其呈现给了用户。
WalletConnectSDK也并不验证传入的元数据，这在某些情况下使得呈现的元数据可以被攻击者控制。在Metamask中，我们可以看到类似的攻击原理也被攻击者滥用，在模态窗口中显示欺诈性的智能合约函数方法名称。
总体而言，我们认为钱包应用程序的开发者应该始终假设外部传入的数据是不可信的。开发者应该仔细选择向用户展示哪些信息，并验证这些信息的合法性。除此之外，用户也应通过对每个未知的交易请求保持怀疑的态度来守好自己安全上的「一亩三分地」。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。