慢霧：空白支票eth_sign釣魚分析

原文作者：Lisa&Kong

近期，我們發現多起關于eth_sign簽名的釣魚事件。

釣魚網站1：https://moonbirds-exclusive.com/

當我們連接錢包后并點擊Claim后，彈出一個簽名申請框，同時MetaMask顯示了一個紅色提醒警告，而光從這個彈窗上無法辨別要求簽名的到底是什么內容。

其實這是一種非常危險的簽名類型，基本上就是以太坊的「空白支票」。通過這個釣魚，騙子可以使用您的私鑰簽署任何交易。

除此之外，還有一種釣魚：在你拒絕上述的sign后，它會在你的MetaMask自動顯示另一個簽名框，趁你沒注意就騙到你的簽名。而看看簽名內容，使用了SetApprovalForAll方法，同時Approvedasset?的目標顯示為AllofyourNFT，也就是說，一旦你簽名，騙子就可以毫無節制地盜走你的所有NFT。如下：

慢霧：針對傳言火幣信息泄漏事件不涉及用戶賬戶與資金安全 請保持客觀冷靜對待:據官方消息，慢霧注意到近日有白帽子公開了此前一個火幣已經處理完畢的過往漏洞信息。經慢霧與火幣官方確認，火幣本著負責任披露信息的策略，對本次事件做以下說明：本次事件是小范圍內（4000人）的用戶聯絡信息泄露，信息種類不涉及敏感信息，不涉及用戶賬戶與資金安全。事件發生于2021年6月22日日本站測試環境S3桶相關人員不規范操作導致，相關用戶信息于2022年10月8日已經完全隔離，日本站與火幣全球站無關。本次事件由白帽團隊發現后，火幣安全團隊2023年6月21日（10天前）已第一時間進行處理，立即關閉相關文件訪問權限，當前漏洞已修復，所有相關用戶信息已經刪除。感謝白帽團隊對于火幣安全做出的貢獻。最后提醒請大家冷靜對待，切勿傳謠。[2023/7/1 22:12:01]

釣魚網站2：https://dooooodles.org/

慢霧：針對macOS系統惡意軟件RustBucket竊取系統信息:金色財經報道，SlowMist發布安全警報，針對macOS 運行系統的 Rust 和 Objective-C 編寫的惡意軟件RustBucket，感染鏈由一個 macOS 安裝程序組成，該安裝程序安裝了一個帶后門但功能正常的 PDF 閱讀器。然后偽造的 PDF 閱讀器需要打開一個特定的 PDF 文件，該文件作為觸發惡意活動的密鑰。[2023/5/23 15:20:27]

我們使用MistTrack來分析下騙子地址：

0xa594f48e80ffc8240f2f28d375fe4ca5379babc7

通過分析，騙子多次調用SetApprovalForAll盜取用戶資產，騙子地址目前已收到33個NFT，售出部分后獲得超4ETH。

慢霧：已凍結部分BitKeep黑客轉移資金:12月26日消息，慢霧安全團隊在社交媒體上發文表示，正在對 BitKeep 錢包進行深入調查，并已凍結部分黑客轉移資金。[2022/12/26 22:08:58]

回到正題，我們來研究下這種釣魚方法。首先，我們看看MetaMask官方是如何說明的：

也就是說，MetaMask目前有六種簽名方法，只有一種方式會出現MetaMask警告，發生在?eth_sign?的簽名情況下，原因是eth_sign方法是一種開放式簽名方法，它允許對任意Hash進行簽名，這意味著它可用于對交易或任何其他數據進行簽名，從而構成危險的網絡釣魚風險。

根據MetaMask官方文檔說明，eth_sign方法是可以對任意哈希進行簽名的，而我們在簽署一筆交易時本質上也是對一串哈希進行簽名，只不過這中間的編碼過程都由MetaMask替我們處理了。我們可以再簡單回顧下從編碼到交易廣播的過程：

慢霧：Lendf.Me攻擊者剛歸還了126,014枚PAX:慢霧安全團隊從鏈上數據監測到，Lendf.Me攻擊者(0xa9bf70a420d364e923c74448d9d817d3f2a77822)剛向Lendf.Me平臺admin賬戶(0xa6a6783828ab3e4a9db54302bc01c4ca73f17efb)轉賬126,014枚PAX，并附言\"Better future\"。隨后Lendf.Me平臺admin賬戶通過memo回復攻擊者并帶上聯系郵箱。此外，Lendf.Me攻擊者錢包地址收到一些受害用戶通過memo求助。[2020/4/20]

在進行交易廣播前，MetaMask會獲取我們轉賬的對象、轉賬的金額、附帶的數據，以及MetaMask自動幫我們獲取并計算的nonce、gasPrice、gasLimit參數進行RLP編碼得到原始交易內容。如果是合約調用，那么to即為合約地址，data即為調用數據。

rlp=require('rlp');

//Usenon-EIP115standard

consttransaction={

nonce:'',

gasPrice:'',

gasLimit:'',

to:'0x',

value:'',

data:'0x'

};

//RLPencode

constrawTransaction=rlp.encode();

隨后再對此內容進行keccak256哈希后得到一串bytes32的數據就是所需要我們簽名的數據了。

//keccak256encode

constmsgHex=rawTransaction.toString('hex');

constmsgHash=Web3.utils.keccak256('0x'msgHex);

我們使用MetaMask對這串數據簽名后就會得到r,s,v值，用這三個值再與nonce/gasPrice/gasLimit/to/value/data進行一次RLP編碼即可得到簽名后的原始交易內容了，這時候就可以廣播發出交易了。

rlp=require('rlp');

consttransaction={

nonce:'',

gasPrice:'',

gasLimit:'',

to:'',

value:'',

data:'',

v:'',

r:'',

s:''

};

//RLPencode

constsignedRawTransaction=rlp.encode();

而如上所述，eth_sign方法可以對任意哈希進行簽名，那么自然可以對我們簽名后的bytes32數據進行簽名。因此攻擊者只需要在我們連接DApp后獲取我們的地址對我們賬戶進行分析查詢，即可構造出任意數據讓我們通過eth_sign進行簽名。

這種釣魚方式對用戶會有很強的迷惑性，以往我們碰到的授權類釣魚在MetaMask會給我直觀的展示出攻擊者所要我們簽名的數據。如下所示，MetaMask展示出了此釣魚網站誘導用戶將NFT授權給惡意地址。

而當攻擊者使用eth_sign方法讓用戶簽名時，如下所示，MetaMask展示的只是一串bytes32的哈希。

總結

本文主要介紹eth_sign簽名方式的釣魚手法。雖然在簽名時MetaMask會有風險提示，但若結合釣魚話術干擾，沒有技術背景的普通用戶很難防范此類釣魚。建議用戶在遇到此類釣魚時提高警惕，?認準域名，仔細檢查簽名數據，必要時可以安裝安全插件，如：RevokeCash、ScamSniffer等，同時注意插件提醒。

原文鏈接

Tags：ETATAMAMASAMANETABABYSAITAMAmetamask下載教程metamask官網下載

pepe最新價格