Будьте осторожны с безопасностью подписей eth_sign: анализ принципов и рекомендации по профилактике

В последнее время часто происходят инциденты безопасности, связанные с подписью eth_sign. Многие пользователи были введены в заблуждение на некоторых неизвестных сайтах и вынуждены выполнять, казалось бы, безвредные операции подписи eth_sign, в результате чего они потеряли свои активы в кошельках. Чтобы помочь всем лучше понять такие риски, нам необходимо сначала разобраться в сущности подписи eth_sign.

Введение в подпись eth_sign

eth_sign является широко используемым методом подписания в экосистеме Ethereum, который позволяет пользователям подписывать сообщения с помощью приватного ключа. Этот механизм является ключевым элементом блокчейн-транзакций и используется для подтверждения того, что определенный аккаунт является инициатором транзакции. Проще говоря, это похоже на подпись на бумаге для выражения согласия или поддержки ее содержания.

Однако существует часто игнорируемая проблема использования eth_sign, так называемый риск "слепой подписи". Когда пользователь использует eth_sign для подписи сообщения, он часто не может полностью понять содержание подписи и не может обратным образом проверить конкретное значение подписи. Это связано с тем, что входные данные eth_sign представляют собой необработанную строку, а не читаемый человеком формат. Это похоже на то, как подписывать контракт, написанный на незнакомом языке, и именно поэтому это называется "слепая подпись".

Распространенные методы мошенничества

Поняв концепцию подписей eth_sign и слепых подписей, мы сможем лучше осознать потенциальные риски eth_sign и способы предотвращения таких мошенничеств со слепыми подписями.

Поскольку eth_sign может использоваться для подписания различных типов сообщений, включая торговые команды и операции смарт-контрактов, злоумышленники могут обманом заставить пользователя подписать сообщение, которое выглядит безобидным, но на самом деле может привести к передаче активов. Более серьезно, они могут предоставить сообщение, которое на первый взгляд кажется безобидным, чтобы пользователь его подписал, но на самом деле это может быть команда на выполнение операции; как только оно будет подписано, активы пользователя могут быть переданы.

Как нам защититься в такой ситуации? В ответ на такие риски последняя версия известного кошелька провела обновление системы безопасности. Когда пользователи вызывают eth_sign для подписания сообщений через сторонние DApp, кошелек будет отображать окно предупреждения о риске, информируя пользователя, что текущее действие может представлять потенциальный риск, и начнет обратный отсчет на 15 секунд. Этот дизайн предназначен для того, чтобы дать пользователю достаточно времени для оценки необходимости и безопасности операции подписания.

Рекомендации по безопасности

На основании вышеизложенного анализа мы рекомендуем пользователям:

1. Будьте особенно внимательны к всем запросам, требующим подписи eth_sign, особенно к тем, которые поступают из неизвестных или ненадежных источников. Если у вас есть какие-либо сомнения относительно подлинности или цели запроса, не подписывайте его без должной осторожности.

2. Убедитесь, что обрабатываемые сообщения или запросы на транзакции поступают из надежных источников, таких как официальные веб-сайты, проверенные аккаунты в социальных сетях или доверенные каналы связи. Никогда не доверяйте неизвестным ссылкам, электронным письмам или личным сообщениям.

3. Перед выполнением любых операций с подписью внимательно проверьте и поймите содержание подписи. Если вы не можете полностью понять, лучше обратиться за помощью к специалисту или сразу отказаться от этой операции.

4. Регулярно обновляйте программное обеспечение кошелька, чтобы гарантировать использование последних функций безопасности и мер защиты.

5. Прививайте хорошие привычки управления цифровыми активами, такие как использование аппаратного кошелька для хранения крупных активов, регулярное резервное копирование приватных ключей и другой важной информации.

Повышая бдительность и усиливая осведомленность о безопасности, мы сможем лучше защитить свои цифровые активы и избежать того, чтобы стать жертвами мошенничества с blind signing eth_sign.