รายการของการโจมตีแบบฟิชชิ่งทั่วไปเจ็ดรายการใน Web3.0

แนะนำสั้น ๆ

การรวบรวมต้นฉบับ: ChinaDeFi

แนะนำสั้น ๆ

ฟิชชิงบน Web3 กำลังเพิ่มสูงขึ้น เทคนิคฟิชชิงหลักๆ บางส่วน ได้แก่:

• ใช้บอท Discord ที่ไม่ปลอดภัยเพื่อโพสต์ลิงก์ฟิชชิงบนเซิร์ฟเวอร์ Discord ที่เป็นทางการ

• ส่งลิงก์ฟิชชิ่งโดยตรง

• การโปรโมตเว็บไซต์ปลอมผ่านโฆษณาบนเครื่องมือค้นหา

• ส่งข้อความโดยตรงผ่านบอท Discord ปลอม

• ชื่อโดเมนและเนื้อหาที่คล้ายคลึงกับชื่อโดเมนที่เป็นทางการอย่างมาก

• ใช้แพลตฟอร์มการซื้อขาย NFT เช่น Opensea เพื่อโปรโมตโครงการปลอม

• ใช้ที่อยู่สัญญาปลอม

คำแนะนำ:

• ตรวจสอบข้อมูลผ่านช่องทางต่างๆ บ่อยๆ และอย่าไว้ใจ "บอท" หรือ "ลิงค์ทางการ" ง่ายๆ

• ระวังข้อความโดยตรง: บอทอย่างเป็นทางการจะไม่ขอการยืนยันใน DMs;

• ตรวจสอบชื่อโดเมนหรือที่อยู่ของสัญญาอีกครั้ง

• ลดจำนวนบอทใน Discord;

• อย่าบุ๊กมาร์กเว็บไซต์ที่ละเอียดอ่อนไว้ในเบราว์เซอร์ของคุณ

ความหมายของฟิชชิ่ง

ในโลกของ Web3 การฟิชชิ่งส่วนใหญ่ทำได้โดยใช้วิธีการต่างๆ เช่น Discord และการปลอมแปลงเว็บไซต์

ในโลกของ Web3 การฟิชชิ่งส่วนใหญ่ทำได้โดยใช้วิธีการต่างๆ เช่น Discord และการปลอมแปลงเว็บไซต์

Web3 กรณีฟิชชิ่งทั่วไป

บทความนี้จะเปิดเผยวิธีการฟิชชิ่งทั่วไปในโลกของ Web3:

1. บอทที่ไม่ลงรอยกัน

เมื่อวันที่ 23 พฤษภาคม 2022 บอท MEE6 ของ Discord ถูกโจมตี ส่งผลให้มีการโพสต์ข้อมูลฟิชชิงเกี่ยวกับการสร้างเหรียญในเซิร์ฟเวอร์ Discord อย่างเป็นทางการบางเซิร์ฟเวอร์

ในวันที่ 6 พฤษภาคม 2022 Discord อย่างเป็นทางการของ Opensea ถูกแฮ็ก แฮ็กเกอร์ใช้บัญชีโรบ็อตเพื่อโพสต์ลิงก์ปลอมบนช่อง โดยอ้างว่า "Opensea ร่วมมือกับ YouTube และคลิกที่ลิงก์เพื่อสร้าง NFT รุ่นลิมิเต็ดอิดิชันจำนวนจำกัด 100 รายการ"

เมื่อเร็ว ๆ นี้ มีการโจมตีเซิร์ฟเวอร์อย่างเป็นทางการของ Discord มากขึ้นเรื่อย ๆ และสาเหตุอาจเป็นดังนี้:

• ฟิชชิงโจมตีพนักงานของโปรเจกต์ปาร์ตี้ ส่งผลให้บัญชีถูกขโมย

• ฝ่ายโครงการดาวน์โหลดซอฟต์แวร์ที่เป็นอันตราย ส่งผลให้บัญชีถูกขโมย

• ฝ่ายโครงการไม่ได้ตั้งค่าการยืนยันตัวตนแบบสองปัจจัยและใช้รหัสผ่านที่ไม่รัดกุม ส่งผลให้บัญชีถูกขโมย

• ฝ่ายโครงการประสบกับการโจมตีแบบฟิชชิงและเพิ่มบุ๊กมาร์กที่เป็นอันตรายเพื่อเลี่ยงกฎการเข้าสู่ระบบของเบราว์เซอร์ ส่งผลให้โทเค็น Discord ถูกขโมย

เคล็ดลับ:

• ฝ่ายโครงการควรใช้การดำเนินการด้านความปลอดภัยที่แนะนำอย่างเป็นทางการ เช่น การยืนยันตัวตนแบบสองปัจจัย การตั้งรหัสผ่านที่รัดกุม เป็นต้น เพื่อปกป้องบัญชีของพวกเขา ระวังการโจมตีเครือข่ายแบบดั้งเดิมและการโจมตีทางวิศวกรรมสังคม และหลีกเลี่ยงการดาวน์โหลดมัลแวร์หรือเยี่ยมชมเว็บไซต์ฟิชชิง

• ผู้ใช้ Web3 ควรทราบว่า Discord เวอร์ชันทางการที่เผยแพร่อาจเป็นข้อมูลฟิชชิ่ง และทางการไม่รับประกันความปลอดภัยอย่างสมบูรณ์ นอกจากนี้ เมื่อใดก็ตามที่เราต้องอนุญาตหรือทำธุรกรรมด้วยตนเอง เราต้องระมัดระวังมากขึ้นและพยายามตรวจสอบข้อมูลจากหลายแหล่ง

2. NFT ของ Jay Chou ถูกขโมยโดยการโจมตีแบบฟิชชิงของ Discord

เมื่อวันที่ 1 เมษายน พ.ศ. 2565 เจย์ โจว นักร้องเพลงป๊อปได้เปิดเผยบนอินสตาแกรมว่า Bored Ape NFT ของเขาถูกขโมยโดยเว็บไซต์ฟิชชิ่ง

เราพบว่า Jay Chou ลงนามในที่อยู่กระเป๋าเงินที่ขึ้นต้นด้วย 0x71de2 เพื่ออนุมัติการทำธุรกรรมในเวลาประมาณ 11 นาฬิกา ดังนั้นจึงเป็นการอนุมัติ NFT ให้กับกระเป๋าเงินของผู้โจมตี ในเวลานี้ Jay Chou ไม่รู้ว่า NFT ของเขากำลังตกอยู่ในอันตรายแล้ว

ไม่กี่นาทีต่อมา ผู้โจมตีได้โอน Bored Ape bayc# 3738 NFT ไปยังที่อยู่กระเป๋าเงินของพวกเขาเองเมื่อเวลา 11:07 น. จากนั้นขาย NFT ที่ขโมยมาบนเว็บ LookRare และ OpenSea ในราคาประมาณ 169.6 ETH

เคล็ดลับ:

• อย่าเชื่อข้อความส่วนตัวง่ายๆ ผู้โจมตีมักจะล่อลวงให้เราคลิกลิงก์ไปยังเว็บไซต์ฟิชชิงผ่านข้อความส่วนตัวหรืออีเมล ข้อมูลทั้งหมดควรได้รับการตรวจสอบบนเว็บไซต์ทางการก่อน และควรตรวจสอบความถูกต้องผ่านหลายช่องทาง

• กรณีของ Jay Chou ที่ถูกฟิชชิงคือหลังจากคัดเลือกโปรเจกต์ใหม่ เขาอาจไม่ค่อยระมัดระวังเกี่ยวกับการโจมตีแบบฟิชชิงในเวลานั้น ผู้ใช้จึงต้องระแวดระวังตลอดเวลาเพื่อให้แน่ใจว่าทุกย่างก้าวจะปลอดภัย

3. เว็บไซต์ฟิชชิ่งบน Google Ads

เมื่อวันที่ 10 พฤษภาคม 2022 @Serpent ทวีตว่าผลการค้นหาแรกบนหน้าการค้นหาของ Google สำหรับแพลตฟอร์มการซื้อขาย NFT X2Y2 เป็นเว็บไซต์หลอกลวงที่ใช้ช่องโหว่ใน Google Ads เพื่อทำให้เว็บไซต์จริงและ URL หลอกลวงมีลักษณะเหมือนกัน เกี่ยวกับ 100 ETH ถูกขโมย

เคล็ดลับ:

• เครื่องมือค้นหาสะดวก แต่ไม่จำเป็นต้องถูกต้อง และระบบโฆษณาของเครื่องมือค้นหาสามารถใช้ประโยชน์จากเว็บไซต์ที่เป็นอันตรายได้ง่าย พยายามเข้าผ่านทาง Twitter อย่างเป็นทางการหรือทางเข้าเว็บไซต์อย่างเป็นทางการที่ได้รับการรับรองจาก Google และตรวจสอบอีกครั้งเมื่อยืนยันข้อมูลอย่างเป็นทางการ

• ใส่ใจในรายละเอียด. ผลลัพธ์จากเครื่องมือค้นหา ถ้าเป็นโฆษณา จะมีคำว่าโฆษณา หลีกเลี่ยงการคลิกลิงก์ที่มีคำว่า "โฆษณา"

4. ส่งข้อความส่วนตัวผ่านหุ่นยนต์ปลอม

เมื่อเร็ว ๆ นี้ ผู้ใช้ได้เข้าร่วมชุมชน Discord อย่างเป็นทางการ และหลังจากเข้าร่วมเซิร์ฟเวอร์ บอทได้ส่งข้อความโดยตรงเพื่อขอการยืนยัน

อย่างไรก็ตาม เมื่อลิงก์ถูกคลิก มันจะเปิดกระเป๋าเงิน Metamask โดยอัตโนมัติและขอรหัสผ่าน ซึ่งผู้ใช้เกือบจะแน่ใจว่ามีบางอย่างผิดปกติกับไซต์ หลังจากการดีบั๊กและการวิเคราะห์พบว่าสิ่งที่ปรากฏขึ้นบนเว็บไซต์ไม่ใช่ Metamask จริง แต่เป็นอินเทอร์เฟซกระเป๋าเงิน Metamask ปลอม หากมีคนป้อนรหัสผ่าน ระบบจะขอให้ผู้ช่วยตรวจสอบ และสุดท้าย ทั้งรหัสผ่านและผู้ช่วยจะถูกส่งไปยังเซิร์ฟเวอร์แบ็กเอนด์ของผู้โจมตี และกระเป๋าเงินจะถูกขโมย

เคล็ดลับ:

• ระวังข้อความส่วนตัวบน Discord: บอทอย่างเป็นทางการจะไม่ขอการยืนยันใน DM

• กระบวนการรับรองความถูกต้องไม่จำเป็นต้องใช้กระเป๋าเงินที่เชื่อมต่อ

• ตรวจสอบให้แน่ใจว่าได้ระวังพฤติกรรมแปลก ๆ หรือผิดปกติ และตรวจดูความถูกต้องข้ามสำหรับข้อมูลเพิ่มเติม

5. ชื่อโดเมนมีความคล้ายคลึงกับเนื้อหาอย่างมาก

ในปัจจุบันมีเว็บไซต์ลอกเลียนแบบมากมายในตลาด ซึ่งส่วนใหญ่เลียนแบบเว็บไซต์ทางการที่มีชื่อโดเมนและเนื้อหาคล้ายคลึงกันมาก นี่เป็นรูปแบบทั่วไปของฟิชชิงและรูปแบบหลักมีดังนี้

• เปลี่ยนชื่อโดเมนระดับบนสุด ชื่อโดเมนหลักยังคงเหมือนเดิม ตัวอย่างเช่น ชื่อโดเมนระดับบนสุดของเว็บไซต์ทางการในรูปด้านล่างคือ .com และชื่อโดเมนระดับบนสุดของเว็บไซต์ฟิชชิ่งคือ .fun

• เพิ่มคำในชื่อโดเมนหลัก เช่น openesa-office, xxxmint เป็นต้น

• เพิ่มโดเมนระดับที่สองสำหรับสร้างความสับสนและฟิชชิง:

เคล็ดลับ:

• เมื่อเข้าสู่เว็บไซต์ ก่อนอื่นให้ค้นหา twitter หรือ discord อย่างเป็นทางการและเปรียบเทียบลิงก์ทีละลิงก์เพื่อดูว่าถูกต้องหรือไม่

• ระมัดระวังอยู่เสมอ: แม้ว่าไซต์ฟิชชิ่งประเภทนี้จะระบุได้ง่ายที่สุด แต่ก็มีจำนวนมากและสามารถหลอกผู้ใช้ได้ง่ายหากไม่ระวัง

• มีการเพิ่มปลั๊กอินต่อต้านฟิชชิ่งเพื่อช่วยในการระบุเว็บไซต์ที่เป็นอันตรายอย่างมีประสิทธิภาพ

6. รายการตกปลาใน Opensea

เมื่อก่อนเราเจอโครงการบน Opensea ที่ยังไม่เปิดขายอย่างเป็นทางการ แต่มีรายการ 10,000 รายการ หลังจากวิเคราะห์อย่างถี่ถ้วนแล้ว เราก็ได้ค้นพบวิธีการฟิชชิ่งแบบใหม่ ในตอนแรก โปรเจกต์ปลอมแปลงเว็บไซต์ทางการที่คล้ายกันและชื่อโดเมนที่คล้ายกันโดยใช้วิธีการข้างต้น จากนั้นจึงลงรายการโปรเจ็กต์ที่คล้ายกันบน Opensea โดยใช้คำเช่น "free coinage" เพื่อดึงดูดความสนใจ

นอกจากนี้ยังมีไซต์ฟิชชิงและทวีตฟิชชิ่งที่ส่งเสริมการหลอกลวง:

เคล็ดลับ:

• ระบุบัญชี Twitter อย่างระมัดระวัง บางครั้งบัญชีฟิชชิงก็มีผู้ติดตามจำนวนมากเช่นกัน แต่ความคิดเห็นส่วนใหญ่เป็นของปลอม หรือบัญชีถูกสร้างขึ้นด้วยวันที่ก่อนหน้า แต่เพิ่งมีการใช้งาน เป็นต้น

• โครงการใน Opensea ไม่ใช่โครงการจริงในเว็บไซต์ทางการเสมอไป ยังคงมีรายการปลอมและฟิชชิ่งจำนวนมากบนไซต์ ดังนั้นผู้ใช้จำเป็นต้องกรองอย่างระมัดระวัง

• รับข้อมูลจากหลายแหล่งเสมอ ตรวจสอบข้อมูลจากเว็บไซต์ทางการ โครงการ opensea twitter discord ฯลฯ คุณสามารถติดต่อเจ้าหน้าที่โดยตรงเพื่อตรวจสอบความถูกต้อง

7. ที่อยู่สัญญาปลอม

การหลอกลวงใหม่ที่ปรากฏในเดือนมีนาคมก็เปิดหูเปิดตาเช่นกัน ผู้โจมตีปลอมแปลงสัญญาที่มีจำนวนหลักเท่ากันทั้งก่อนและหลัง และใช้ลิงก์ฟิชชิ่งเพื่อฉ้อโกง

ที่อยู่สัญญา APEcoin ที่แท้จริงคือ: 0x4d224452801ACEd8B2F0aebE155379bb5D594381

สัญญาปลอมคือ: 0x4D221B9c0EE56604186a33F4f2433A3961C94381

การโจมตีประเภทนี้ไม่ใช่เรื่องปกติ แต่สร้างความสับสน โดยปกติแล้วผู้คนจะตรวจสอบที่อยู่ของสัญญาทั้งด้านหน้าและด้านหลังเพื่อตัดสินว่าปกติหรือไม่ แต่น้อยคนนักที่จะตรวจสอบที่อยู่ที่สมบูรณ์

เคล็ดลับ:

• สำหรับธุรกรรมการโอนโดยตรง ควรตรวจสอบว่าที่อยู่ของสัญญาทั้งหมดถูกต้อง

• สารละลาย

สารละลาย

ข้างต้นแสดงเฉพาะกลวิธีที่ใช้กันโดยทั่วไปของกลลวงฟิชชิ่งเท่านั้น อย่างไรก็ตาม ด้วยความนิยมที่เพิ่มขึ้นของ Web3 จึงมีวิธีการหลอกลวงฟิชชิ่งมากขึ้นเรื่อยๆ ผู้ใช้จำเป็นต้องจำคำแนะนำข้างต้น อย่างไรก็ตาม ในกรณีที่ไม่น่าจะเป็นไปได้ที่จะถูกหลอกลวง คุณสามารถดำเนินการตามขั้นตอนต่อไปนี้เพื่อพยายามแก้ไขให้ดีที่สุดเท่าที่จะเป็นไปได้:

• แยกทรัพย์สินทันทีและย้ายทรัพย์สินที่เหลือไปยังที่ปลอดภัยโดยเร็วที่สุดเพื่อหลีกเลี่ยงการสูญเสียที่มากขึ้น

• โพสต์เชิงรุกเพื่อแจ้งให้ผู้อื่นทราบเกี่ยวกับบัญชีหลอกลวง ดังนั้นคุณจึงไม่เป็นอันตรายต่อเพื่อนและชุมชนของคุณ

• เก็บหลักฐานไว้ให้มากที่สุด และขอความช่วยเหลือจากฝ่ายโครงการหรือสถาบัน

• ค้นหาบริษัทมืออาชีพสำหรับการติดตามกองทุน

สุดท้าย หากคุณโชคร้ายพอที่จะถูกหลอกลวงหรือฟิชชิ่ง ขอแนะนำให้บันทึกและแบ่งปันประสบการณ์ของคุณกับผู้อื่นบนโซเชียลมีเดีย