이벤트 배경
이벤트 배경
가족을 찾던 5월 16일 이른 아침, 프로젝트 공식 홈페이지의 초대 링크를 통해 공식 디스코드 서버에 접속했다. 서버에 접속하자마자 바로"로봇"첫 번째 레벨 제목
낚시 기술 분석
나는 방문"로봇"(Captcha.bot)에서 보낸 링크 이후에 인간-기계 인증을 하라고 했는데, 인증을 통과한 후에는 내 작은 여우(MetaMask) 지갑을 깨워달라고 요청했고, 그 지갑 인터페이스는 다음과 같이 꽤 리얼하게 불러왔는데 사진과 같이 지갑 주소창에 보이는데"about:blank"이것은 내 경계를 불러 일으켰습니다 (저는 보통 많은 플러그인 지갑을 감사합니다) 플러그인에 의해 트리거되면 그런 일은 없을 것입니다"about:blank"주소 표시 줄.
다음으로 임의로 비밀번호를 입력하고 검토 요소를 통해 확인하여 이 작은 여우(MetaMask) 인터페이스가 가짜 웹 사이트에서 생성되었음을 확인했습니다."https://captcha.fm/"뜨는게 실제 지갑 인터페이스가 아니어서 지갑 디버깅을 시작했습니다.
비밀번호를 임의로 입력한 후 이 가짜 지갑 인터페이스는"Security Check"확인을 위해 니모닉을 입력하라는 인터페이스입니다. 입력한 비밀번호와 니모닉은 암호화되어 악성 사이트의 서버로 전송되오니 유의하시기 바랍니다.
첫 번째 레벨 제목
악성 계정 분석
악성 사이트의 소스코드를 다운받아 저장한 뒤 해당 정보를 프로젝트팀에 전달하고 이번 피싱 공격 계정 분석을 시작했다. 방금 가족 그룹에 가입했기 때문에 아래 주소로 인증 메시지를 받았습니다. 분석 결과 이 계정은 Captcha.bot 로봇으로 위장한 일반 계정으로, 공식 서버에 접속하자 가짜 Captcha.bot 로봇이 즉시 공식 서버에서 가짜 인간-컴퓨터 인증 링크를 보내왔습니다. 새로 가입한 사용자를 식별하고, 자동으로 링크를 구성하고, 피싱 링크를 비공개로 전송하여 지갑 비밀번호와 니모닉 단어를 입력하도록 안내합니다.
첫 번째 레벨 제목
다시 받은 피싱링크
문제는 아직 끝나지 않았습니다. 또 다른 SlowMist 파트너(자료를 제공한 @Victory에게 감사드립니다)는 다음날 아침 공식 Discord 서버에 가입했고 피싱 링크가 포함된 악성 계정으로부터 다시 비공개 메시지를 받았습니다. 이때 피셔는 직접 공식 계정을 사칭해 개인 메시지를 보냈다.
이번에 피셔가 들려준 이야기는 신원 확인을 위해 링크에 니모닉 단어를 불러오는데, 가짜 꼬마 여우(메타마스크) 인터페이스를 이용해 사용자를 속이는 것이 아니라 직접 페이지에 니모닉 단어를 입력하도록 유도하는 것이다. 이 피싱 수법은 그리 리얼하지 않다(낚시 수법이 너무 거칠다).
첫 번째 레벨 제목
피싱 방지 방법
다양한 피싱 수법과 사건이 끊임없이 발생하고 있으며 사용자는 사기를 당하지 않기 위해 다양한 피싱 수법을 식별하는 방법을 배워야 하며 프로젝트 당사자도 사용자의 보안 인식 교육을 강화해야 합니다.
사용자Discord에 가입한 후 서버의 사용자는 개인 정보 보호 기능에서 비공개 채팅을 금지해야 합니다. 동시에 사용자는 보안 인식을 개선하고 MetaMask를 위장하는 공격 방법을 식별하는 방법을 배워야 합니다(예: 주소 표시줄이 있는지 확인, 플러그인에 의해 시작되는 경우 주소 표시줄이 없음). ), 웹 페이지가 서명을 요청하기 위해 MetaMask를 호출할 때 서명의 내용을 식별해야 하며, 서명이 악성인지 식별할 수 없는 경우 웹 페이지에 대한 요청을 거부합니다. Web3 프로젝트에 참여할 때 언제 어디서나 웹 페이지의 개인 키/니모닉 문구를 가져오지 마십시오. 가능한 한 하드웨어 지갑을 사용하십시오 하드웨어 지갑은 일반적으로 니모닉 단어나 개인 키를 직접 내보낼 수 없기 때문에 니모닉 개인 키가 도용될 수 있는 문턱이 높아질 수 있습니다.
프로젝트 파티팀은 항상 커뮤니티 사용자의 피드백에 주의를 기울이고, 커뮤니티 Discord 서버의 악성 계정을 적시에 삭제하고, 사용자가 Discord 서버에 처음 가입할 때 피싱 방지 보안 교육을 실시해야 합니다.
Discord 개인 정보 설정 및 보안 구성 참조 링크:
https://discord.com/safety/360043857751-Four-steps-to-a-super-safe-account
https://support.discord.com/hc/en-us/articles/217916488-Blocking-Privacy-Settings-
