Zatruwanie adresów: sprawdź odbiorcę przed wysłaniem kryptowaluty
Znajomy adres może nadal być błędny
Otwierasz ostatnią aktywność portfela, rozpoznajesz początek i koniec adresu i kopiujesz go do kolejnego przelewu. Atakujący wykorzystują ten skrót: mylący wpis w historii może sprawić, że ich adres będzie wyglądał znajomo.
Niebezpieczeństwo jest szczególnie istotne podczas przenoszenia aktywów pomiędzy kontem giełdowym a portfelem osobistym. Rozpoznanie skróconego adresu to nie to samo, co weryfikacja odbiorcy. Miejsce docelowe, sieć i zasób wymagają niezależnej kontroli.
Jak historia transakcji wprowadza w błąd
Przewodnik MetaMask dotyczący zatruwania adresów opisuje atakujących używających podobnych adresów oraz niewielkich transferów lub transferów o zerowej wartości w celu zanieczyszczenia historii aktywności. Osoba atakująca ma nadzieję, że późniejsze kopiowanie i wklejanie spowoduje wysłanie cennych zasobów do niewłaściwego miejsca docelowego.
Otrzymanie niechcianego wpisu w historii samo w sobie nie stanowi dowodu, że ktoś ma Twój klucz prywatny. Główną pułapką w tym scenariuszu jest adres, który wybierzesz do kolejnego przelewu. Nie reaguj, łącząc się ze stroną odzyskiwania lub podpisując nieznaną transakcję.
Zacznij od zaufanego źródła odbierającego
W przypadku wpłaty na wymianę uzyskaj aktualne dane dotyczące odbioru ze strony uwierzytelnionej wpłaty dla konkretnego zasobu i obsługiwanej sieci. W przypadku portfela osobistego skorzystaj z jego ekranu odbiorczego i samodzielnie zweryfikuj każdy adres podany przez inną osobę.
Traktuj eksplorator bloków lub listę aktywności jako dowód przeszłych transakcji, a nie książkę adresową. Wpis pojawiający się obok prawdziwego przelewu nie uwierzytelnia jego kontrahenta. Zapamiętana etykieta jest użyteczna tylko wtedy, gdy przed zapisaniem sprawdzono podstawowe miejsce docelowe.
Sprawdź poza widocznym prefiksem i sufiksem
Wyjaśnienia techniczne Ledgera omawia wiele technik zatruwania, w tym wprowadzające w błąd zapisy dotyczące transferu tokenów. Krótki podgląd historii może zatem ukryć różnice lub stworzyć fałszywe wrażenie co do tego, kto zainicjował wpis.
Porównaj całe miejsce docelowe z zaufanym źródłem, łącznie ze środkowymi znakami. Jeśli portfel sprzętowy zapewnia zaufany wyświetlacz, sprawdź również tam szczegóły. Trzymaj zasób, sieć i wszelkie wymagane notatki lub znaczniki w ramach tej samej procedury sprawdzania; Samo dopasowanie adresu nie rozwiązuje każdego ryzyka transferu.
Stwórz powtarzalną procedurę przenoszenia
Przygotuj dane odbiorcy przed otwarciem ostatniej aktywności. Wklej z zaufanego źródła, porównaj pełne miejsce docelowe, sprawdź sieć i przejrzyj końcowy ekran potwierdzenia. Jeśli coś się zmieni lub pojawi się ostrzeżenie, zatrzymaj i usuń rozbieżność.
Mały transfer testowy może pomóc zweryfikować proces odbioru, jeśli miejsce docelowe obsługuje kwotę i sieć. To nie jest gwarancja: potwierdź odbiór na docelowym koncie i powtórz kontrolę miejsca docelowego przed wysłaniem kolejnych. Nigdy nie kopiuj adresu do drugiego przelewu z nowego, niezweryfikowanego wpisu w historii.
Jeśli podejrzewasz nieprawidłowy przelew
Zatrzymaj dodatkowe transfery i zachowaj skrót transakcji, sieć, miejsce docelowe i czas. Użyj oficjalnego wpisu pomocy platformy, takiego jak wsparcie OrangeX.com, a nie kontaktu z niechcianej wiadomości.
Nie zakładaj, że potwierdzony transfer blockchain może zostać cofnięty lub że usługa odzyskiwania może go odzyskać. Nie udostępniaj frazy odzyskiwania, klucza prywatnego ani kodu uwierzytelniającego w celu sprawdzenia wpisu w historii. Najskuteczniejszym punktem kontrolnym jest etap przed zatwierdzeniem: skorzystaj z zaufanego źródła docelowego i za każdym razem weryfikuj wszystkie szczegóły.
