تنبيه أمني من WEEX — عملية احتيال بالموافقة الخبيثة

ما عملية الاحتيال بالموافقة الخبيثة؟

تُعدّ عمليات الاحتيال بالموافقة الخبيثة من بين التهديدات الأكثر انتشارًا وضررًا في مجال Web3، حيث تؤثر على عدد لا يحصى من المستخدمين.

في Web3، عندما تتفاعل مع عقد ذكي، غالبًا ما يُطلب منك منح الأذونات عن طريق توقيع معاملة. وتشمل الأمثلة الشائعة ما يلي:

• الموافقة على تطبيق لا مركزي dApp للوصول إلى عملاتك.
• منح عقد الإذن بتحويل الرموز غير القابلة للاستبدال (NFTs) الخاصة بك.
• تنفيذ إجراءات تبدو غير ضارة مثل تسجيل الدخول أو التحقق من الملكية

تستغل عمليات الاحتيال بالموافقة الخبيثة هذه الإجراءات من خلال خداع المستخدمين لمنح العقود الضارة الإذن بتحويل أصولهم.

الميزات الرئيسية

1. يخدع المحتالون المستخدمين لمنح أذونات خطيرة، حيث ينتحلون صفة تطبيقات لامركزية، أو عمليات توزيع مجاني، أو مشاريع NFT شرعية. فهُم يستدرجون المستخدمين للنقر فوق زر "موافقة"، والذي يمنح في الواقع أذونات ضارة مثل الوصول إلى العملات أو الرموز غير القابلة للاستبدال.
2. يتم استنزاف الأصول دون إجراء تحويل. لم ترسل أي شيء — لقد قمت فقط بالنقر فوق "تأكيد". ولكن بمجرد منح الموافقة، يمكن للمهاجمين تحويل أصولك في أي وقت دون الحاجة إلى أي إجراء آخر منك.
3. غالبًا ما تكون الموافقات غير محدودة؛ إذ تطلب معظم العقود الخبيثة الحد الأقصى المسموح به، مما يمنحها وصولاً دائمًا وغير مقيد إلى عملاتك أو رموز غير قابلة للاستبدال.
4. عقود الاحتيال السلبي لا تسرق الأموال بطريقة مباشرة ونشطة، فهي تعتمد كليًا على توقيع المستخدمين للموافقات طواعية، مما يساعدهم على التهرب من تحذيرات الأمان التقليدية.
5. غالبًا ما تكون مطالبات الموافقة على المحفظة فنية للغاية أو مبسطة للغاية، ممّا يجعل من الصعب فهم ما تقوم بالتوقيع عليه. يفترض العديد من المستخدمين أن هذا التصريح غير ضار ويؤكدونه دون إدراك المخاطر.

السيناريوهات الشائعة

1. تروج صفحات توزيع مجاني أو إصدار NFT المزيفة لعروض "توزيعات مجانية محدودة" أو "إصدارات مجانية". ويؤدي النقر على الزر إلى تفعيل طلب الموافقة على الوصول إلى العملة أو الرموز غير القابلة للاستبدال. وبمجرد الموافقة، يمكن للمحتالين استنزاف أصولك في أي وقت.
2. تقوم منصات DEX أو Swap المزيفة بتوصيل محفظتك بمنصة لا مركزية مزيفة لتبديل العملات. وبدلاً من تنفيذ عملية تداول، يخدعك الموقع للموافقة على الوصول إلى عملتك. ومن ثم ستتم سرقة أموالك.
3. منصات الاحتفاظ بالعملة أو الألعاب المزيفة: يتم تحريضك على "الاحتفاظ بالعملات" أو "بدء اللعب" على منصة خداعية للتمويل اللامركزي (DeFi) أو الألعاب اللامركزية (GameFi). يطلب الموقع الموافقة على الوصول إلى عملاتك أو الرموز غير القابلة للاستبدال، لكن المنصة بأكملها مزيفة.
4. يقوم المهاجمون باختراق المواقع الإلكترونية الموثوقة أو اختطاف سجلات DNS لاستبدال العقود المشروعة بعقود خبيثة. يعتقد المستخدمون أنهم يستخدمون تطبيقًا لامركزيًا (dApp) حقيقيًا، لكنهم في الواقع يوافقون على أذونات ضارة.
5. دعم العملاء المزيف أو الوثائق المزيفة: يرسل وكيل دعم عملاء مزيف رابطًا يدّعي حل مشكلة. وتطلب منك الصفحة الموافقة على عقد، والذي تم تصميمه في الواقع لسرقة أصولك.

الكيفية

الفكرة الأساسية وراء الموافقات الخبيثة بسيطة:

استغلال عدم وعي المستخدمين بالأذونات الموجودة على السلسلة. ومن خلال تضليلك لمنح الموافقات، يتمكن المحتالون من السيطرة على أصولك وسرقتها دون علمك.

العملية الفنية

تتبع عملية الاحتيال بالموافقة الخبيثة النموذجية الخطوات التالية:

1. يقوم المحتال بنشر عقد خبيث (لا يبدأ عمليات النقل بنفسه).
2. يُخدع المستخدم للقيام بطلب الموافقة (على العملات).
3. تم منح الموافقة — تظل الأصول في المحفظة مؤقتًا.
4. يستخدم المحتالون الوظائف لنقل الأموال إلى محفظتهم.
5. نظرًا لأن المعاملة معتمدة من جانب المستخدم، فهي تعدّ صالحة ولا يتم حظرها.

أفضل الممارسات لحماية نفسك

انتبه إلى هذه العلامات التحذيرية لتجنب الموافقات الخبيثة:

• لا يحتوي التطبيق اللامركزي dApp على وظائف حقيقية؛ فهو يقتصر على طلب الموافقة فقط.
• يطلب الوصول إلى الأصول ذات القيمة العالية مثل ETH أو العملات المستقرة أو الرموز غير القابلة للاستبدال.
• الموافقة ليس لها حد للإنفاق.
• تُظهر النافذة المنبثقة للتوقيع الإجراءات ذات المخاطر العالية.
• يبدو أن الموقع الإلكتروني غير احترافي أو يحاكي مشروعًا معروفًا.
• تجنب النقر على الروابط العشوائية أو الموافقة على الطلبات من مصادر غير موثوقة مثل الرسائل المباشرة على تيليجرام أو ردود تويتر.

الخلاصة

إذا كنت لا تفهمه، فلا توقع عليه. إذا لم يكن ذلك تداولاً، فكر مرتين قبل الموافقة.

بالنسبة للمستخدمين اليوميين، يجب أن تتم الموافقة على أذونات العقد الذكي بحذر شديد. اتبع عقلية الأمن أولاً: تعامل مع كل موافقة على أنها تحويل محتمل للأموال. دقق دائمًا وراجع كل تصريح مرتين قبل التوقيع.

قراءات إضافية

• تنبيه أمني من WEEX — الرموز عالية الخطورة
• تنبيه أمني من WEEX – انتحال الرسائل النصية القصيرة (SMS Spoofing)
• تنبيه أمني من WEEX — وسائل التواصل الاجتماعي والمنتديات عبر الإنترنت
• تنبيه أمني من WEEX - عمليات احتيال شائعة في العملات المشفرة