Web3.0移动钱包遭ModalPhishing独特钓鱼攻击

我们将这种新型的网络钓鱼技术命名为ModalPhishing（模态钓鱼攻击）。

攻击者可以向移动钱包发送伪造的虚假信息冒充合法的DApp，并通过在移动钱包的模态窗口中显示误导性信息来诱骗受害者批准交易。这种网络钓鱼技术正在广泛使用。我们与相应的组件开发人员进行了沟通，并确认他们将发布新的验证API以降低该风险。

什么是ModalPhishing？ 在CertiK对移动钱包的安全研究中，我们注意到Web3.0货币钱包的某些用户界面（UI）元素可以被攻击者控制用来进行网络钓鱼攻击。我们将这种钓鱼技术命名为ModalPhishing，因为攻击者主要针对加密钱包的模态窗口进行钓鱼攻击。

模态（或模态窗口）是移动应用程序中经常使用的UI元素。模态通常显示在应用程序主窗口顶部。这样的设计通常用于方便用户执行快速操作，如批准/拒绝Web3.0货币钱包的交易请求。

Web3.0货币钱包上的典型模态设计通常提供供用户检查签名等请求的必要信息，以及批准或拒绝请求的按钮。

真实交易批准模式与网络钓鱼交易批准模式对比 在上方截图中，我们展示了Metamask上一个常规的交易审批模态窗口是如何出现的。

当一个新的交易请求被连接的去中心化应用程序（DApp）初始化时，钱包会展示一个新的模态窗口，并要求用户进行人工确认。

如上图左侧所示，模态窗口通常包含请求者的身份，如网站地址（此例中为localhost）、图标等。如Metamask这样的一些钱包也会显示有关请求的关键信息，在实例中我们看到一些UI元素被标记为“Confirm”，以提示用户这是一个常规的交易请求。

然而，这些用户界面元素可以被攻击者控制以进行ModalPhishing攻击。在右侧的截图中，我们可以看到攻击者可以更改交易细节，并将交易请求伪装成来自“Metamask”的“SecurityUpdate”请求，以诱使用户批准。

如截图所示，攻击者可以操纵多个UI元素。

因此我们将在本文中为大家分享两个典型案例，并确定那些可被攻击者控制的UI元素。

详细信息如下：

①如果使用WalletConnect协议，攻击者可以控制DApp信息UI元素（名称、图标等）。

②攻击者可以控制某些钱包应用中的智能合约信息UI元素。

热点：钱包