النقاط الرئيسية
يعد توقيع الرسائل جانبًا أساسيًا من إجراء المعاملات على البلوكشين، ولكن إذا لم يتم التعامل معه بحذر، فقد يتعرض المستخدمون لمخاطر أمنية كبيرة.
وظيفة ‘eth_sign’، التي تمكن المستخدمين من توقيع رسائل عشوائية، عرضة بشكل خاص للإساءة، مما قد يسمح للمهاجمين بالحصول على السيطرة الكاملة على أصول الضحية.
لحماية نفسك، استخدم دائمًا منصات موثوقة، وتجنب توقيع الرسائل غير المألوفة، وابق مطلعًا على عمليات الاحتيال الشائعة.
بالنسبة لأولئك الذين يستكشفون مساحة Web3، يعد توقيع الرسائل أمرًا أساسيًا لتفويض المعاملات، والتحقق من الهويات، والتفاعل مع التطبيقات اللامركزية (DApps). على سبيل المثال، قد تتطلب منصة هبة من المستخدم توقيع رسالة لإثبات ملكية عنوان محفظة محدد مؤهل للحصول على هبة. بينما يمكّن هذه العملية العديد من الوظائف الحيوية للبلوكشين، فإنها أيضًا تقدم مخاطر أمنية كبيرة.
في هذه المقالة، نستكشف المخاطر المحتملة المرتبطة بتوقيع الرسائل على السلسلة وخارجها، ونبرز السيناريوهات الشائعة حيث يمكن أن يتعرض المستخدمون لخسائر مالية نتيجة لتوقيع رسائل خبيثة.
توقيع الرسائل والمعاملات: فهم الفرق
في الفضاء اللامركزي، تعتبر التوقيعات أساسية لكل من تفويض المعاملات والتفاعل مع DApps. تأتي في نوعين رئيسيين: التوقيعات على السلسلة (معاملات) والتوقيعات خارج السلسلة (رسائل).
التوقيعات على السلسلة (توقيع معاملة)
تستخدم التوقيعات على السلسلة لتفويض الإجراءات التي تغير حالة البلوكشين، مثل تحويل الأموال أو تنفيذ العقود الذكية. إليك كيف تعمل:
توليد الرسالة: عندما يبدأ شخص ما معاملة على البلوكشين، يقوم الشبكة بتوليد رسالة تتعلق بتلك المعاملة، والتي تحتوي على معلومات عنها، مثل عناوين المرسل والمستلم، والمبلغ المراد تحويله، وغيرها من التفاصيل ذات الصلة.
توقيع الرسالة: يقوم المستخدم الذي يبدأ المعاملة "بتوقيع" هذه الرسالة بمفتاحه الخاص. تتضمن هذه العملية تطبيق خوارزمية تشفيرية على الرسالة ومفتاح المستخدم الخاص، مما ينتج عنه توقيع رقمي.
إرسال الرسالة الموقعة: تُرسل الرسالة الموقعة، جنبًا إلى جنب مع الرسالة الأصلية، إلى الشبكة.
التحقق: تتحقق الشبكة من التوقيع باستخدام المفتاح العام للمستخدم المتعامل، المشتق من مفتاحه الخاص ولكن يمكن مشاركته بأمان. إذا كان التوقيع متطابقًا مع الرسالة والمفتاح العام، يؤكد ذلك أن مالك الحساب قد فوّض المعاملة.
معالجة المعاملة: إذا كان التوقيع صالحًا، تقوم الشبكة بمعالجة المعاملة. وإلا، يتم رفض المعاملة.
عند استخدامك لمحفظة تشفير، فإن عملية توقيع المعاملة تتم عادةً تلقائيًا في الخلفية. تقدم معظم محافظ التشفير الحديثة واجهة سهلة الاستخدام تخفي التفاصيل الفنية، لذلك لا ترى أو تتفاعل مباشرة مع العملية.
التوقيعات خارج السلسلة (توقيع رسالة)
التوقيعات خارج السلسلة، من ناحية أخرى، تُستخدم للإجراءات التي لا تؤثر على حالة البلوكشين، مثل التحقق من هوية المستخدم، تسجيل الدخول إلى DApp، أو تفويض مسبق لتحويل الأموال. إليك كيف تعمل:
توليد التحدي: ينشئ التطبيق رسالة فريدة تعمل كـ "تحدٍ" – طلب من المستخدم للتحقق من نفسه من خلال إثبات أنه يمتلك العنوان المعني. قد تتضمن هذه الرسالة تفاصيل محددة تتعلق بمحاولة تسجيل الدخول، مثل الطابع الزمني أو رقم عشوائي.
إنشاء التوقيع: يقوم المستخدم بتوقيع الرسالة بمفتاحه الخاص، مما ينشئ توقيعًا رقميًا. يعمل هذا التوقيع كدليل على أنه يمتلك المفتاح الخاص المرتبط بالمحفظة.
التحقق من التوقيع: يتحقق المستلم من التوقيع باستخدام مفتاحك العام. إذا كان التوقيع صالحًا، يؤكد ذلك هوية المستخدم ويمنحهم الوصول.
إنها توقيعات خارج السلسلة التي يتفاعل معها مستخدمو Web3 غالبًا لأغراض متنوعة – وهذه هي نوع التوقيع الذي لديه القدرة على أن يتم إساءة استخدامه من قبل المجرمين.
الخطر: التفويض غير المقصود
هناك عدة طرق لتوقيع الرسائل، بما في ذلك eth_sign و personal_sign و eth_signTypedData. هذه الوظائف لها مستويات مختلفة من الأمان، وبناءً على المحفظة التي تستخدمها، قد يتم دعم بعض الطرق أو لا.
وظيفة eth_sign تسمح للمستخدمين بتوقيع رسائل عشوائية بمفاتيحهم الخاصة، مما قد يشكل مخاطر أمنية. تستخدم هذه الطريقة تنسيق رسالة غير قابل للقراءة بدون أي بادئة أو سياق.
بسبب ذلك، غالبًا ما لا يفهم المستخدمون تداعيات ما يقومون بتوقيعه. أكبر خطر هو أن توقيع رسالة خبيثة يمكن أن يمنح المهاجم السيطرة الكاملة على أصولك.
تم تصميم طريقة personal_sign لتكون أكثر أمانًا وسهولة في الاستخدام. تضيف بادئة إلى الرسالة بسلسلة قياسية قبل التجزئة والتوقيع، مما يجعل من الواضح أن الرسالة مخصصة للتوقيع. تساعد هذه البادئة في الحماية ضد أنواع معينة من الهجمات، مثل هجمات إعادة التشغيل، حيث يمكن إعادة استخدام رسالة موقعة في سياق مختلف.
تستخدم طريقة eth_signTypedData لتوقيع البيانات المهيكلة، مما يوفر مزيدًا من السياق والوضوح حول ما يتم توقيعه. يسمح ذلك للمطورين بتعريف هيكل البيانات التي يتم توقيعها، مما يجعلها أكثر شفافية ويسهل فهمها.
ما هو تصيد eth_sign؟
في جوهرها، eth_sign هو آلية تشفيرية تسمح للمستخدمين بتوقيع رسائل عشوائية. يعمل هذا التوقيع كدليل رقمي على أن مالك الحساب قد وافق على محتوى الرسالة. ومع ذلك، تظهر المشكلة عندما يمكن تفسير هذه الرسائل الموقعة وتنفيذها بواسطة العقود الذكية بطرق لا تكون واضحة على الفور للمستخدم. يمكن أن تبدو رسالة بسيطة كخيط غير ضار من الأحرف، ولكن في الواقع، يمكن أن تفوض المهاجمين بأخذ السيطرة الكاملة على حسابك. دعنا نفصل آلية هجوم تصيد eth_sign النموذجي:
1. الإعداد: غالبًا ما ينشئ المهاجمون مواقع ويب أو تطبيقات مزيفة تقلد المنصات الشرعية. قد تكون هذه منصات تبادل لامركزية، أو أسواق NFT، أو خدمات أخرى قائمة على البلوكشين.
2. الطُعم: يتم إغراء المستخدمين بالاتصال بهذه المنصات المزيفة من خلال وسائل متنوعة – رسائل بريد إلكتروني تصيد، إعلانات مضللة، أو حتى روابط مزيفة في مجموعات وسائل التواصل الاجتماعي. غالبًا ما يخلق المهاجمون شعورًا بالعجلة، يدعون أن المستخدم يحتاج إلى التوقيع بسرعة للاستفادة من عرض محدود الوقت أو لتجنب بعض العواقب السلبية.
3. الفخ: يطلب موقع المهاجمين من المستخدم توقيع رسالة باستخدام eth_sign. ومع ذلك، الرسالة التي يوقعها المستخدم مختلفة تمامًا عما يعتقد. قد تمنح الإذن لأداء أي إجراء خبيث يريده المحتال.
تشمل التكتيكات الشائعة لاستغلال توقيع الرسائل هبات مزيفة؛ DApps خبيثة تم إنشاؤها لتبدو شرعية ولكن هدفها الوحيد هو سرقة الأموال؛ خدمات سك NFT مزيفة؛ رسائل بريد إلكتروني تصيد؛ انتحال دعم العملاء؛ وإنشاء واجهات جسر عبر السلسلة مزيفة. جميع هذه الأدوات الشريرة تهدف إلى جعل المستخدمين يعتقدون أنهم يوقعون رسالة شرعية بينما في الواقع، يمنحون المجرمين الوصول إلى أموالهم الرقمية.
ما يجعل هذه الهجمات خطيرة بشكل خاص هو أنها تستغل سلوك مستخدمي Web3 المهيأ لتوقيع الرسائل للتحقق من هويتهم أو الموافقة على إجراءات. يميل العديد من المستخدمين إلى توقيع مثل هذه الرسائل دون فهم كامل للتداعيات.
أمثلة حقيقية
هبة NFT المزيفة
غالبًا ما يتلاعب المحتالون بضحاياهم من خلال وعدهم بمكافآت غير متوقعة. في هذه المثال الحقيقي، تلقى مستخدم هبة NFT غير مطلوبة في محفظته، مع ادعاء المرسلين أن المستخدم قد فاز بمكافأة كبيرة ولم يكن بحاجة إلا لتحويل قسيمته NFT إلى أموال.
للمطالبة بالجائزة، يتم تحويل المستخدم إلى موقع مرتبط لتوقيع رسالة، والتي تُعرض في تنسيق سداسي غير قابل للقراءة. على افتراض أن هذا جزء قياسي من عملية التحقق، يقوم المستخدم بالتوقيع. ومع ذلك، هذه الرسالة هي تفويض متقن مقنع يمنح المحتال السيطرة على أصول المستخدم، مما يؤدي إلى تحويلات غير مصرح بها من محفظته.
بعد فترة قصيرة، يلاحظ المستخدم أن كمية كبيرة من الرموز يتم تحويلها من محفظته دون موافقته، مدركًا في وقت متأخر جدًا أنه تم خداعه.
نقطة رئيسية: احذر من أي عروض أو هبات غير مطلوبة، خاصة تلك التي تعد بمكافآت كبيرة. تحقق دائمًا من شرعية المصدر قبل اتخاذ أي إجراء آخر.
انتحال مشروع معروف
غالبًا ما ينتحل المحتالون مشاريع أو حسابات محترمة لخلق شعور بالمصداقية. في هذا المثال، أنشأ المجرمون حسابًا مزيفًا على X يقلد الحساب الرسمي لعملة Baby Doge Coin. حصل المحتال على شارة تحقق ذهبية لإضافة طبقة من المصداقية.
أعلن الحساب المزيف عن هبة جديدة لحاملي Baby Doge Coin وضمّن رابطًا لموقع حيث يمكن للمستخدمين المطالبة بالرمز الجديد. سرعان ما نالت المشاركة اهتمامًا، مما أضاف المزيد إلى مظهرها الشرعي. زار المستخدمون الرابط المقدم، وقاموا بربط محافظهم، وتوقيع رسالة لتأكيد هويتهم والمطالبة بالهبة.
ما لم يعرفه الضحايا هو أن الرسالة الموقعة قد فوّضت نقل الرموز من محافظهم إلى عنوان المهاجم. أدرك معظم المستخدمين أنه كان عملية احتيال عندما لاحظوا اختفاء رموز Baby Doge Coin من محافظهم.
نقطة رئيسية: تحقق دائمًا من صحة حسابات وسائل التواصل الاجتماعي التي تتفاعل معها وتوخي الحذر مع أي رسائل تطلب توقيعك. تعتبر الفروقات الصغيرة، مثل اسم مستخدم مختلف قليلاً أو غير صحيح، مفتاحًا لتمييز الحقيقي من المزيف. في هذا المثال، تم تعديل مقبض حساب المحتال بشكل طفيف ليبدو قريبًا من الحقيقي، مع تكرار حرف علة واحد في النهاية.
هبة رموز جديدة مزيفة
إنشاء شعور بالعجلة هو تكتيك آخر يستخدمه المحتالون لدفع المستخدمين إلى اتخاذ قرارات متهورة. في هذا المثال، لاحظ مستخدم يتصفح خلاصة وسائل التواصل الاجتماعي الخاصة به منشورًا من مشروع عملة مشفرة يبدو شرعيًا، يعلن عن هبة جديدة لرمز يسمى “Sunwaves”. يزعم المنشور أن هناك نافذة محدودة مدتها 24 ساعة للمطالبة بالهبة.
بدافع الفضول بشأن الإعلان، يزور المستخدمون الموقع المذكور في المنشور، الذي يطلب منهم ربط محافظهم وإكمال عدة خطوات تحقق، بما في ذلك توقيع رسالة لتأكيد هويتهم والمطالبة بالهبة.
ومع ذلك، تمنح هذه الرسالة الموقعة المحتال إذنًا لنقل الرموز من محفظة المستخدم. يلاحظ المستخدم بسرعة أن الرموز، بما في ذلك الأصول القيمة، قد تم تحويلها دون موافقته.
نقطة رئيسية: كن متشككًا من أي عروض تخلق شعورًا بالعجلة. غالبًا ما يدفع المحتالون المستخدمين للعمل بسرعة لمنعهم من أخذ الوقت لتقييم والتحقق من شرعية العرض.
كيف تحافظ محفظة Binance Web3 على سلامتك
لإزالة إمكانية سقوط المستخدمين في فخ احتيال eth_sign، تم حظر هذه الوظيفة في محفظة Binance Web3. ما يعنيه هذا عمليًا هو أنه بمجرد تنشيط eth_sign لمعاملة، سيتم تحذير المستخدمين على الفور بأن هذه المعاملة عالية المخاطر بسبب طلب توقيع محتمل خبيث. لن يكون من الممكن إكمال مثل هذه المعاملة.
حماية نفسك من عمليات الاحتيال
لتجنب عمليات الاحتيال في توقيع الرسائل في مساحة Web3، من الضروري اتخاذ تدابير احترازية:
1. استخدم منصات موثوقة: قم بتوقيع الرسائل فقط على المنصات التي تثق بها. إذا بدت منصة مشبوهة لأي سبب، من الأفضل تجنبها.
2. لا تثق بالهبات غير المتوقعة: كن حذرًا من العروض غير المطلوبة التي تبدو جيدة جدًا لتكون حقيقية، خاصة تلك التي تعد بمكافآت كبيرة.
3. تحقق من عناوين DApp: تحقق دائمًا من أن عنوان URL شرعي قبل التفاعل مع تطبيق لامركزي. غالبًا ما ينشئ المحتالون عناوين URL تبدو مشابهة للحقيقية.
4. استخدم محافظ آمنة: استخدم محافظ موثوقة تقدم تدابير أمان ضد الرسائل الخبيثة. على سبيل المثال، قامت محفظة Binance Web3 بحظر وظيفة eth_sign لمنع مثل هذه الهجمات.
5. ابق على اطلاع: تابع أحدث تكتيكات الاحتيال وأفضل الممارسات الأمنية في مساحة البلوكشين.
أفكار ختامية
استكشاف الفضاء اللامركزي لخدمات وتطبيقات Web3 يمكن أن يكون مغامرة رائعة. ومع ذلك، هذا البيئة لديها مخاطرها الخاصة، مما يتطلب من المستخدمين أن يكونوا يقظين ومطلعين. يمكن للمحتالين استغلال أدوات مثل توقيع الرسائل والانتحال لتنفيذ معاملات غير مصرح بها، مما يؤدي إلى خسائر مالية كبيرة. من خلال وعيك بهذه المخاطر واعتماد بعض ممارسات الأمان والعادات البسيطة، يمكنك حماية نفسك. دائمًا ما توخي الحذر وابق يقظًا لضمان أمان أصولك في نظام Web3 البيئي.
قراءة إضافية
احمِ عملتك المشفرة: فهم الهجمات العالمية المستمرة للبرامج الضارة وما نقوم به لإيقافها
كيف تتجنب وتبلغ عن عمليات الاحتيال في الخدمات المزيفة
منعت Binance خسائر محتملة للمستخدمين بقيمة 2.4 مليار دولار في 2024 حتى الآن
إشعار المخاطر: تتعرض العملات المشفرة لمخاطر سوق عالية وتقلبات في الأسعار. يجب عليك فقط الاستثمار في المنتجات التي تعرفها وتفهم المخاطر المرتبطة بها. يجب عليك التفكير بعناية في تجربتك الاستثمارية، والوضع المالي، وأهداف الاستثمار، وتحمل المخاطر واستشارة مستشار مالي مستقل قبل اتخاذ أي استثمار. لا ينبغي اعتبار هذه المواد نصيحة مالية. الأداء السابق ليس مؤشرًا موثوقًا للأداء المستقبلي. قد تنخفض قيمة استثمارك وكذلك ترتفع، وقد لا تسترد المبلغ الذي استثمرته. أنت المسؤول وحدك عن قرارات الاستثمار الخاصة بك. Binance ليست مسؤولة عن أي خسائر قد تتكبدها. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام وتحذير المخاطر لدينا. هذا إعلان عام. قد لا تكون المنتجات والخدمات المشار إليها هنا متاحة في منطقتك.