WalletConnect钓鱼风险介绍
2023年1月30日，慢雾安全团队发现Web3钱包上关于WalletConnect使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包App内置的DAppBrowser+?WalletConnect的场景下。
我们发现，部分Web3钱包在提供WalletConnect支持的时候，没有对WalletConnect的交易弹窗要在哪个区域弹出进行限制，因此会在钱包的任意界面弹出签名请求。
当用户离开DAppBrowser界面切换到钱包其他界面如示例中的Wallet、Discover等界面，由于钱包为了不影响用户体验和避免重复授权，此时WalletConnect的连接是没有断开的，但是此时用户却可能因为恶意DApp突然发起的签名请求弹窗而误操作导致被钓鱼转移走资产。
慢雾：pGALA合约黑客已获利430万美元:11月4日消息，安全团队慢雾在推特上表示，pGALA合约黑客已将大部分GALA兑换成13,000枚BNB，获利超430万美元，该地址仍有450亿枚Gala，但不太可能兑现，因为资金池基本已耗尽。此外，黑客的初始资金来自几个币安账户。
今日早些时候消息，一个BNB Chain上地址在BNB Chain上地址凭空铸造了超10亿美元的pGALA代币，并通过在PancakeSwap上售出获利。pNetwork表示此为跨链桥配置错误所致，GALA跨链桥已暂停，请用户不要在BNB Chain上DEX中交易pGALA。[2022/11/4 12:16:04]
动态演示GIF如下图：
慢雾：警惕 Honeyswap 前端被篡改导致 approvals 到恶意地址风险:据慢雾区消息，Honeyswap官方推特发文，Honeyswap 前端错误导致交易到恶意地址 “0xD3888a7E6D6A05c6b031F05DdAF3D3dCaB92FC5B” ，目前官网仍未删除该恶意地址，请立即停止使用Honeyswap进行交易，到revoke.cash排查是否有approvals 交易到恶意地址，避免不必要的损失。[2022/5/10 3:03:22]
攻击者利用恶意DApp钓鱼网站引导用户使用WalletConnect与钓鱼页面连接后，然后定时不间断发送恶意的签名请求。用户识别到eth_sign可能不安全拒绝签名后，由于WalletConnect采用wss的方式进行连接，如果用户没有及时关闭连接，钓鱼页面会不断的发起构造恶意的eth_sign签名弹窗请求，用户在使用钱包的时候有很大的可能会错误的点击签署按钮，导致用户的资产被盗。
这个安全问题的核心是用户切换DAppBrowser界面到其他界面后，是否应继续自动弹窗响应来自DAppBrowser界面的请求，尤其是敏感操作请求。因为跨界面后盲目弹窗响应很容易导致用户的误操作。
慢雾：攻击Ronin Network的黑客地址向火币转入3750枚 ETH:3月30日消息，慢雾发推称，攻击Axie Infinity侧链Ronin Network的黑客地址向交易所火币转入3750枚ETH。此前金色财经报道，Ronin桥被攻击，17.36万枚ETH和2550万USDC被盗。[2022/3/30 14:26:38]
这里面涉及到一个安全原则：WalletConnect连接后，钱包在检测到用户切换DAppBrowser界面到其他界面后，应该对来自DAppBrowser的弹窗请求不进行处理。
另外需要注意的是，虽然移动端钱包App+PC浏览器的WalletConnect连接场景也存在同样的问题，但是用户在这种场景下或许不那么容易误操作。
WalletConnect连接后界面切换的处理情况
慢雾安全团队抽取市面热门搜索和下载量比较大的20个CryptoWalletApp进行测试：
慢雾：Spartan Protocol被黑简析:据慢雾区情报，币安智能链项目 Spartan Protocol 被黑，损失金额约 3000 万美元，慢雾安全团队第一时间介入分析，并以简讯的形式分享给大家参考：
1. 攻击者通过闪电贷先从 PancakeSwap 中借出 WBNB；
2. 在 WBNB-SPT1 的池子中，先使用借来的一部分 WBNB 不断的通过 swap 兑换成 SPT1，导致兑换池中产生巨大滑点；
3. 攻击者将持有的 WBNB 与 SPT1 向 WBNB-SPT1 池子添加流动性获得 LP 凭证，但是在添加流动性的时候存在一个滑点修正机制，在添加流动性时将对池的滑点进行修正，但没有限制最高可修正的滑点大小，此时添加流动性，由于滑点修正机制，获得的 LP 数量并不是一个正常的值；
4. 随后继续进行 swap 操作将 WBNB 兑换成 SPT1，此时池子中的 WBNB 增多 SPT1 减少；
5. swap 之后攻击者将持有的 WBNB 和 SPT1 都转移给 WBNB-SPT1 池子，然后进行移除流动性操作；
6. 在移除流动性时会通过池子中实时的代币数量来计算用户的 LP 可获得多少对应的代币，由于步骤 5，此时会获得比添加流动性时更多的代币；
7. 在移除流动性之后会更新池子中的 baseAmount 与 tokenAmount，由于移除流动性时没有和添加流动性一样存在滑点修正机制，移除流动性后两种代币的数量和合约记录的代币数量会存在一定的差值；
8. 因此在与实际有差值的情况下还能再次添加流动性获得 LP，此后攻击者只要再次移除流动性就能再次获得对应的两种代币；
9. 之后攻击者只需再将 SPT1 代币兑换成 WBNB，最后即可获得更多的 WBNB。详情见原文链接。[2021/5/2 21:17:59]
根据上表测试结果，我们发现：
动态 | 慢雾：巨鲸被盗2.6亿元资产，或因Blockchain.info安全体系存在缺陷:针对加密巨鲸账户（zhoujianfu）被盗价值2.6亿元的BTC和BCH，慢雾安全团队目前得到的推测如下：该大户私钥自己可以控制，他在Reddit上发了BTC签名，已验证是对的，且猜测是使用了一款很知名的去中心化钱包服务，而且这种去中心化钱包居然还需要SIM卡认证，也就是说有用户系统，可以开启基于SIM卡的短信双因素认证，猜测可能是Blockchain.info，因为它吻合这些特征，且历史上慢雾安全团队就收到几起Blockchain.info用户被盗币的威胁情报，Blockchain.info的安全体系做得并不足够好。目前慢雾正在积极跟进更多细节，包括与该大户直接联系以及尽力提供可能需求的帮助。[2020/2/22]
1.部分热门钱包App如MetaMask、EnjinWallet、TrustWallet、SafePalWallet及iTokenWallet等，在WalletConnect连接后切换到其他界面时，会自动响应DApp的请求，并弹出签名窗口。
2.大部分测试的钱包App在切换界面后，对DApp的请求不会做出响应，也不会弹出提示窗口。
3.少数钱包App在测试环境下无法使用WalletConnect与DApp连接，如CoinbaseWallet和MEWCryptoWallet等。钱包的DApp中不是很适配?WalletConnect接口。
4.部分钱包App如ExodusWallet和EdgeWallet在连接测试环境下未找到相关的DApp进行测试，无法判断其切换界面后的响应情况。
WalletConnect钓鱼风险的发现和后续
慢雾安全团队最初在TrustWallet上发现这个问题，并通过Bugcrowd漏洞提交平台向他们提交了这个问题，我们获得了TrustWallet的感谢，他们表示将在下一个版本修复这个安全风险。
特别的是，如果钱包对eth_sign这种低级签名函数没有任何风险提醒，eth_sign这是一种非常危险的低级签名，大大加剧了WalletConnect这个问题钓鱼的风险。
不过如果只是禁用了eth_sign也不是完全没有风险，我们还是呼吁更多的钱包开始禁用它。以用户数量最多的MetaMask钱包为例，其插件端已经在2023年2月10号发布的V10.25.0版本默认禁用eth_sign，而移动端也在2023年3月1号发布的版本号为6.11开始默认不支持eth_sign，用户需要到设置里手动打开才能使用它。
不过值得一提的是，MetaMask6.11版本之后添加了对DApp进行URI请求的校验，但是这个校验在DApp使用WalletConnect进行交互的时候，同样会进行弹窗警告，不过这个警告存在被无限制弹窗导致DoS的风险。
总结与建议
对个人用户来说，风险主要在“域名、签名”两个核心点，WalletConnect这种钓鱼方式早已被很多恶意网站用于钓鱼攻击，使用时务必保持高度警惕。
对钱包项目方来说，首先是需要进行全面的安全审计，重点提升用户交互安全部分，加强所见即所签机制，减少用户被钓鱼风险，如：
钓鱼网站提醒：通过生态或者社区的力量汇聚各类钓鱼网站，并在用户与这些钓鱼网站交互的时候对风险进行醒目地提醒和告警。
签名的识别和提醒：识别并提醒eth_sign、personal_sign、signTypedData这类签名的请求，并重点提醒eth_sign盲签的风险。
所见即所签：钱包中可以对合约调用进行详尽解析机制，避免Approve钓鱼，让用户知道DApp交易构造时的详细内容。
预执行机制：通过交易预执行机制可以帮助用户了解到交易广播执行后的效果，有助于用户对交易执行进行预判。
尾号相同的提醒：在展示地址的时候醒目的提醒用户检查完整的目标地址，避免尾号相同的问题。设置白名单地址机制，用户可以将常用的地址加入到白名单中，避免类似尾号相同的攻击。
在交易显示上，可以增加对小额或者无价值代币交易的隐藏功能，避免尾号钓鱼。
AML合规提醒：在转账的时候通过AML机制提醒用户转账的目标地址是否会触发AML的规则。
请持续关注慢雾安全团队，更多的钓鱼安全风险分析与告警正在路上。
慢雾科技作为一家行业领先的区块链安全公司，在安全审计方面深耕多年，安全审计不仅让用户安心，更是降低攻击发生的手段之一。其次，各家机构由于数据孤岛，难以关联识别出跨机构的团伙，给反工作带来巨大挑战。而作为项目方，及时拉黑阻断恶意地址的资金转移也是重中之重。MistTrack反追踪系统积累了2亿多个地址标签，能够识别全球主流交易平台的各类钱包地址，包含1千多个地址实体、超10万个威胁情报数据和超9千万个风险地址，如有需要可联系我们接入API。最后希望各方共同努力，一起让区块链生态更美好。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。