Cuidado com a armadilha do eth_sign: Princípios, métodos e estratégias de defesa

Recentemente, as atividades de fraude com a assinatura cega eth_sign estão em alta, e muitos usuários foram induzidos a assinar assinaturas eth_sign aparentemente inofensivas em sites desconhecidos, resultando em perdas de ativos. Para ajudar todos a entender melhor o mecanismo de funcionamento desse tipo de fraude, é necessário primeiro esclarecer a natureza da assinatura eth_sign.

A essência da assinatura eth_sign

No ecossistema Ethereum, eth_sign é um método de assinatura amplamente utilizado, que permite aos usuários assinar informações com a chave privada. Este mecanismo de assinatura é uma parte fundamental das transações em blockchain, utilizado para confirmar que uma conta específica é a originadora da transação. Em resumo, isso é semelhante a assinar um documento, indicando que você reconhece ou apoia o conteúdo do documento.

No entanto, existe um risco fácil de ser negligenciado no uso do eth_sign, conhecido como o problema da "assinatura cega". Ao usar o eth_sign para assinar informações, o usuário pode não compreender completamente o conteúdo da assinatura e não consegue verificar retroativamente o significado específico da assinatura. Isso ocorre porque a entrada do eth_sign é uma string bruta, e não um formato legível por humanos. É como assinar um contrato redigido em uma língua desconhecida, e é por isso que é chamado de "assinatura cega".

Análise das Táticas de Fraude

Após entender os conceitos de assinatura eth_sign e assinatura cega, podemos explorar os riscos potenciais do eth_sign e como prevenir esse tipo de fraude de assinatura cega.

Como eth_sign pode ser usado para assinar vários tipos de informações, incluindo transações e instruções de contratos inteligentes, partes maliciosas podem induzir os usuários a assinar uma informação que não compreendem completamente, resultando na transferência de ativos. Mais grave ainda, elas podem fornecer uma informação aparentemente inofensiva para o usuário assinar, mas na verdade isso pode ser uma ordem de operação, e uma vez assinada, os ativos do usuário serão transferidos para suas contas.

Diante dessa situação, como devemos nos proteger? Em resposta a esse tipo de fraude, uma carteira conhecida lançou uma nova versão com uma atualização do sistema de controle de risco. Quando os usuários acessam um DApp de terceiros e utilizam eth_sign para assinar informações, a carteira fornecerá uma janela de aviso de risco, alertando os usuários de que a transação atual pode apresentar riscos potenciais, e iniciará uma contagem regressiva de 15 segundos. Essa configuração tem como objetivo dar aos usuários tempo suficiente para avaliar a necessidade e a segurança da operação de assinatura.

Sugestões de Proteção de Segurança

Os especialistas em segurança aqui lembram a todos:

• Mantenha uma alta vigilância sobre todos os pedidos que utilizam a assinatura eth_sign, especialmente aqueles de origem desconhecida ou suspeita. Se houver dúvidas sobre a autenticidade ou o propósito do pedido, nunca assine facilmente.
• Certifique-se de que as informações ou pedidos de transação que está a tratar provêm de canais confiáveis, como o site oficial, redes sociais oficiais ou canais de comunicação verificados. Nunca confie em links, e-mails ou mensagens privadas de origem desconhecida.

Ao aumentar a vigilância e adotar as medidas de proteção apropriadas, podemos efetivamente reduzir o risco de fraudes de assinatura cega eth_sign e proteger a segurança dos nossos ativos digitais.