Cuidado com o ataque de assinatura Ethereum: uma análise profunda do eth_sign e seus riscos potenciais

Recentemente, uma fraude que utiliza a assinatura eth_sign tem aparecido com frequência, muitos usuários assinaram assinaturas eth_sign que pareciam inofensivas em certos sites sem saber, resultando no roubo de ativos das carteiras. Para ajudar todos a entender melhor o mecanismo de operação dessa fraude, é necessário primeiro compreender a essência da assinatura eth_sign.

Introdução à assinatura eth_sign

No ecossistema Ethereum, eth_sign é um método de assinatura amplamente utilizado, que permite aos usuários assinar mensagens com a chave privada. Este mecanismo de assinatura é a base das transações em blockchain, utilizado para verificar se uma conta específica é o iniciador da transação. Em termos simples, isso é semelhante a assinar um documento em papel para indicar concordância ou aprovação do conteúdo do documento.

No entanto, existe um problema que pode ser facilmente ignorado no uso do eth_sign, conhecido como "assinatura cega". Quando os usuários assinam mensagens com eth_sign, muitas vezes não conseguem entender completamente o conteúdo da assinatura, nem verificar de forma retroativa o significado específico da assinatura. Isso ocorre porque a entrada do eth_sign é uma string bruta, e não um formato legível por humanos. É como assinar um contrato escrito em uma língua desconhecida, razão pela qual é chamada de "assinatura cega".

Análise das técnicas de fraude

Após entender o conceito de assinatura eth_sign e assinatura cega, podemos explorar os riscos potenciais do eth_sign e suas medidas de prevenção.

Como o eth_sign pode ser usado para assinar vários tipos de mensagens, incluindo transações e instruções de contratos inteligentes, partes maliciosas podem induzir os usuários a assinar uma mensagem difícil de entender, resultando na transferência de ativos. Mais grave ainda, eles podem fornecer uma mensagem aparentemente inofensiva para o usuário assinar, mas na realidade pode ser uma instrução de operação, e uma vez assinada, os ativos do usuário podem ser transferidos para a conta do atacante.

Medidas de prevenção

Diante dessa situação, como devemos nos prevenir? Uma carteira conhecida já atualizou seu sistema de controle de risco na nova versão. Quando os usuários utilizam eth_sign através de DApps de terceiros para assinar mensagens, a carteira exibirá uma janela de aviso de risco, alertando os usuários de que a operação atual pode ter riscos potenciais, e iniciará uma contagem regressiva de 15 segundos. Este design visa dar aos usuários tempo suficiente para avaliar a necessidade e a segurança da operação de assinatura.

Sugestões de Segurança

Especialistas em segurança alertam os usuários:

• Mantenha uma alta vigilância sobre todos os pedidos que exigem a assinatura eth_sign, especialmente aqueles de fontes desconhecidas ou não confiáveis. Se houver dúvidas sobre a autenticidade ou o propósito do pedido, nunca assine facilmente.
• Assegure-se de que as mensagens ou pedidos de transação que está a processar provêm de canais de confiança, como o site oficial, contas de redes sociais verificadas ou canais de comunicação fiáveis. Nunca confie em links, e-mails ou mensagens privadas de origem desconhecida.

Ao aumentar a vigilância e seguir estas recomendações de segurança, os usuários podem efetivamente reduzir o risco de se tornarem vítimas do golpe de assinatura cega eth_sign, protegendo assim a segurança dos seus ativos digitais.