Chuyển tiếp Tiêu đề Ban đầu: Khám phá lừa đảo hũ mật ong

Đào sâu vào mã token và bảo vệ an ninh Web3

Lời mở đầu

Nếu bạn là người dùng trên các nền tảng phi tập trung, khái niệm về “hũ mật ong lừa đảo” sẽ không còn xa lạ với bạn. Ngay cả khi bạn chưa từng nghe thuật ngữ này trước đây, bạn có thể đã gặp phải các hoạt động gian lận như vậy.

“Honeypot” thực sự là một phép so sánh, mà cơ bản là mời gọi người khác vào một cái bẫy. Trong trường hợp của các token Honeypot, các ảo tưởng khác nhau (như thanh khoản cực kỳ cao và tăng giá) được tạo ra để lôi kéo nhà đầu tư mua các token. Tuy nhiên, sau khi họ mua, họ nhận ra rằng do triển khai mã độc hại trong hợp đồng, họ hoàn toàn không thể bán các token này. Đây là một dạng lừa đảo Honeypot.

Với mục đích lợi dụng người dùng của mình, các hũ mật ong thường liên tục cập nhật và cải tiến mã hợp đồng. Họ sử dụng logic thực hiện ngày càng phức tạp hơn để che đậy động cơ thật sự của họ, nhằm mục đích tránh sự cảnh giác của cơ chế bảo mật hoặc tăng cường độ phức tạp trong phân tích cho các chuyên gia bảo mật.

Đặc điểm của các cuộc tấn công lừa đảo hũ mật ong

Dữ liệu từ GoPlus cho thấy tổng số lượng token Honeypot trên thị trường tiền điện tử đã tăng đáng kể vào năm 2022, với 64.661 token Honeypot mới được giới thiệu. Điều này đánh dấu một sự tăng trưởng ấn tượng lên đến 83,39% so với cùng kỳ năm 2021. Trong số này, 92,8% token Honeypot được phát hành từ chuỗi BNB, trong khi 6,6% đến từ Ethereum. Hai blockchain này cũng nổi bật là mạng lưới hoạt động và đông dân nhất về số lượng token.

Một trong những yếu tố góp phần vào sự tăng mạnh của token hũ mật ong có thể được quy cho ảnh hưởng của sự cố FTX vào cuối năm 2022. Một số lượng đáng kể người dùng chuyển tài sản kỹ thuật số của họ từ các sàn giao dịch tập trung sang ví phi tập trung, dẫn đến một sự tăng mạnh về số lượng người dùng hoạt động trên chuỗi. Do đó, kẻ tấn công trở nên hoạt động hơn. Theo dữ liệu, chỉ trong một tuần sau sự cố FTX, đã có hơn 120 phương pháp tấn công mới của hũ mật ong xuất hiện, đánh dấu một sự tăng gấp sáu lần về tần suất tấn công.

Ngoài việc tăng về số lượng, các đặc điểm của các token Hũ mật ong đã trở nên đa dạng và phức tạp hơn. Phân tích dữ liệu bảo mật từ năm qua, GoPlus đã quan sát thấy rằng các cuộc tấn công token Hũ mật ong đã tiến hóa để trở nên khó phát hiện hơn và tinh vi hơn. Nói chung, chúng có những đặc điểm chính sau đây:

1. Code Obfuscation: Bằng cách giảm khả năng đọc mã, giới thiệu logic không liên quan hoặc gây nhầm lẫn các mối quan hệ gọi, kẻ tấn công tạo ra logic thực hiện phức tạp để tăng độ khó phân tích cho các công cụ bảo mật.
2. Hợp đồng Nổi tiếng: Các loại hợp đồng tấn công này giả mạo các hợp đồng dự án uy tín bằng cách sử dụng tên hợp đồng giả và thực hiện quy trình, đánh lừa động cơ và tăng khả năng nhận diện sai rủi ro.
3. Sử Dụng Cơ Chế Kích Hoạt Ẩn: Các hợp đồng tấn công này chôn điều kiện kích hoạt sâu bên trong, thường che giấu chúng trong hành vi giao dịch của người dùng. Họ cũng có thể sử dụng sự thao túng phức tạp của hành vi giao dịch, như lồng ghép nhiều lớp kiểm tra điều kiện trước khi kích hoạt các hành động như ngừng giao dịch, tăng cung cấp, hoặc chuyển tài sản. Điều này cho phép sửa đổi trạng thái hợp đồng trong thời gian thực và thuận tiện cho việc đánh cắp tài sản của người dùng.
4. Việc làm giả dữ liệu giao dịch: Để làm cho các giao dịch trở nên chân thực hơn, kẻ tấn công có thể ngẫu nhiên kích hoạt các hành động như airdrops hoặc wash trading. Điều này phục vụ mục đích kép: kích thích thêm người dùng và làm cho hành vi giao dịch trở nên tự nhiên hơn.

Phân tích trường hợp

Token này được phát hành trên ETH Mainnet, với địa chỉ hợp đồng: 0x43571a39f5f7799607075883d9ccD10427AF69Be.

Sau khi phân tích mã hợp đồng, có thể thấy rằng hợp đồng này cố gắng thực hiện “cơ chế danh sách đen chuyển khoản” cho các địa chỉ tài khoản chủ sở hữu. Nếu địa chỉ chuyển khoản nằm trong danh sách đen, giao dịch chuyển khoản sẽ không thành công. Đây là một cơ chế mã thông báo Honeypot điển hình cuối cùng ngăn chặn chủ sở hữu bán tài sản của họ.

Tuy nhiên, đối với đa số người dùng, họ có thể không có khả năng đọc và phân tích mã, điều này làm cho việc xác định các rủi ro an ninh này thông qua việc kiểm tra mã trở nên khó khăn. Bài viết này liệt kê các công cụ chính thống có sẵn trên thị trường để phân tích các rủi ro gian lận trong hợp đồng thông minh EVM. Nếu bạn muốn đánh giá rủi ro gian lận liên quan đến hợp đồng thông minh đã triển khai, bạn có thể sử dụng các công cụ sau, với địa chỉ hợp đồng được đề cập ở trên làm minh hoạ:

Bảo mật GoPlus

1. Mở trang web GoPlus và chọn mạng blockchain, như Ethereum Mainnet hoặc các mạng Layer2 khác.

1. Nhập địa chỉ hợp đồng bạn muốn truy vấn và nhấp vào nút “Kiểm tra” để lấy thông tin về rủi ro của hợp đồng. Kết quả truy vấn hiển thị rằng có một cảnh báo rủi ro được liệt kê trong “Rủi ro Honeypot”, cho biết rằng hợp đồng có danh sách đen chuyển nhượng.

Token Sniffer

1. Mở Token Sniffer, nhập địa chỉ hợp đồng mà bạn muốn truy vấn và chọn hợp đồng tương ứng từ kết quả tìm kiếm.

1. Sau đó, kết quả truy vấn rủi ro được hiển thị. Chúng ta có thể thấy rằng trong phần ‘Phân tích Trao đổi’, hợp đồng này không vượt qua kiểm tra này, cho thấy hợp đồng chính nó mang rủi ro Hũ mật ong.

Sử dụng các công cụ phân tích đã nêu, người dùng có thể nhanh chóng xác định các rủi ro gian lận trong hợp đồng thông minh và phân tích các nguy hiểm. Khi phát hiện rủi ro của Honeypots, nên cân nhắc không tham gia để ngăn chặn trở thành con mồi của các hợp đồng kiểu này.

Kết luận

Khi hacker liên tục tiến hóa chiến lược tấn công, phòng thủ an ninh trở thành một nhiệm vụ ngày càng khó khăn hơn. Là người dùng blockchain, khi đối mặt với các chiêu trò hũ mật ong, chúng ta cần chú ý đến những điểm sau:

• Trước khi mua token, việc hiểu rõ bản chất thực sự của token, bao gồm tính thanh khoản, xu hướng giá và nhiều hơn nữa là rất quan trọng.
• Cẩn thận kiểm tra mã hợp đồng token để kiểm tra mã độc hại hoặc bất kỳ bất thường nào. Nếu bạn không có kỹ năng lập trình, bạn có thể sử dụng công cụ hoặc truy cập các trang web thị trường uy tín để đánh giá rủi ro liên quan đến hợp đồng token.
• Đừng dễ dàng tin tưởng vào những chiêu trò “airdrops” hoặc “pump and dump”, vì chúng thường là một phần của các trò lừa đảo.
• Tránh mua các token trên các sàn giao dịch hoặc ví không rõ nguồn gốc; nên chọn sàn giao dịch hoặc ví uy tín thay cho đó.

Việc học về an ninh tiền điện tử nên là một quá trình liên tục. Chỉ thông qua điều này, người ta mới có thể hiệu quả đối phó với những thách thức do các rủi ro an ninh mới nổi và tiến hóa đưa ra.

Miễn trách nhiệm:

1. Bài viết này được tái bản từ [Trung bình]. Tất cả bản quyền thuộc về tác giả gốc [Bảo mật GoPlus]. Nếu có ý kiến ​​phản đối về việc tái bản này, vui lòng liên hệ Học cửađội ngũ, và họ sẽ xử lý nó ngay lập tức.
2. Tuyên bố từ chối trách nhiệm: Các quan điểm và ý kiến được trình bày trong bài viết này chỉ là của tác giả và không cấu thành lời khuyên đầu tư.
3. Nhóm Gate Learn đã dịch bài viết sang các ngôn ngữ khác. Việc sao chép, phân phối hoặc đạo văn các bài viết đã được dịch là vi phạm luật, trừ khi có được sự đồng ý.