Da durch Phishing-Angriffe nach der Unterzeichnung böswilliger Berechtigungen Vermögenswerte im Wert von mehreren Millionen Dollar verloren gehen, ist die Gefahr, dass Krypto-Assets durch fragwürdige Links verloren gehen, sehr real. Wenn diese mit Plattformen gepaart werden, die versteckte Links zulassen, sind Benutzer einem anderen Risiko ausgesetzt.
Am 4. September teilte der Web3-Sicherheitsanbieter Pocket Universe mit, wie Betrüger auf der Instant-Messaging-Plattform Discord in beliebigen Texten Wallet-Drainer-Links verstecken können. Während einige Benutzer berichten, dass die Funktion nur verfügbar war ermöglicht Für Discord-Benutzer gibt es seit einiger Zeit auf vielen verschiedenen sozialen Plattformen die Möglichkeit, Links in beliebige Texte einzubetten.
Betrüger können jetzt Links in jedem Discord-Text verstecken ☠️
Achten Sie auf versteckte Links zum Abtropfen Ihrer Brieftasche
z.B pic.twitter.com/mgqG18sOF9— Taschenuniversum (@PocketUniverseZ) 4. September 2023
Cointelegraph wandte sich an mehrere Cybersicherheitsexperten, um mehr darüber zu erfahren, wie sich Benutzer vor solchen Versuchen schützen können und wie Plattformen ihre Sicherheit verbessern können, damit Benutzer solchen Angriffen nicht ausgesetzt sind.
Christian Seifert, der als Researcher in Residence bei der Web3-Sicherheitsfirma Forta Network arbeitet, sagte, dass diese Art von Angriff seit der Entstehung des Internets das tägliche Brot von Hackern sei. Er erklärte:
„Was auch immer eine Plattform erstellt, es wird einen Hacker geben, der bereit ist, einen Weg zu finden, es zu hacken. Hyperlinks mit Text sind eine Funktion, die als Teil von HTML unterstützt wird und seit den Anfängen des Internets eine Quelle für Phishing-Angriffe darstellt.“
Sicherheit erfordert laut Seifert einen tiefgreifenden Verteidigungsansatz. „Sowohl Plattformen als auch Benutzer müssen daran arbeiten, sich selbst zu schützen“, sagte er. Seitens der Nutzer betonte der Sicherheitsexperte, dass es Plugins gebe, mit denen man sich vor solchen Betrügereien schützen könne.
In Bezug auf Discord wies Seifert darauf hin, dass die Plattform zwar Informationen über das wahre Ziel der URL bereitstellt, nachdem der Benutzer darauf geklickt hat. Die Plattform ermöglicht es Benutzern jedoch auch, einer Domain künftig zu „vertrauen“. Dies könne laut Seifert von Betrügern missbraucht werden. Er erklärte:
„Stellen Sie sich eine Domain wie foo.bar vor, der der Benutzer vertraut. Ein Betrüger kann einen potenziell bösartigen Link erstellen, der eine Aktion auf dieser Domain ausführt, beispielsweise eine „Oauth“-Anfrage an den Betrüger, etwa foo.bar/oauth/scammer-account.“
Der Cybersicherheitsexperte sagte, dass ein Problem bei der aktuellen Implementierung der Plattform darin besteht, dass Links und Texte irreführend sein und nicht den Erwartungen der Benutzer entsprechen können. „Wenn ein Textlink eindeutig einer Domain oder URL ähnelt und nicht mit der tatsächlichen Ziel-URL übereinstimmt, sollte Discord solche Links nicht zulassen“, fügte er hinzu.
Verwandt: Exploits, Hacks und Betrügereien haben im Jahr 2023 fast 1 Milliarde US-Dollar gestohlen: Bericht
Unterdessen teilte Hugh Brooks, Leiter der Sicherheitsabteilung des Blockchain-Sicherheitsunternehmens CertiK, einige von Seiferts Ansichten. Laut Brooks haben Benutzer und Plattformen die gemeinsame Verantwortung, vor böswilligen Akteuren Ausschau zu halten. Er erklärte, dass es für Plattformen wichtig sei, ihre Sicherheitsfunktionen kontinuierlich zu überprüfen und zu verfeinern, und dass die Benutzer wachsam und informiert bleiben müssten.
Für Benutzer sagte Brooks, dass sie bei Links proaktiv und vorsichtig sein sollten, insbesondere wenn sie nach Signaturen und Berechtigungen gefragt werden. Die Führungskraft forderte die Benutzer auf, die Authentizität der Website-Adresse zu überprüfen, bevor sie ihr Zugriff auf Krypto-Wallets gewähren. Brooks teilte mit:
„Eine gute Vorgehensweise besteht darin, Webadressen mit anerkannten Phishing-Warnlisten abzugleichen. PhishTank, Google Safe Browsing und OpenPhish sind hier wertvolle Ressourcen, zusammen mit Browser-Erweiterungen wie HTTPS Everywhere und Werbeblockern wie uBlock.“
Brooks erklärte, dass diese Tools Benutzer in Echtzeit benachrichtigen können, wenn sie im Begriff sind, bekannte Phishing- oder bösartige Websites zu besuchen. „Darüber hinaus wird durch einfaches Bewegen der Maus über einen URL-Link die tatsächliche Webadresse angezeigt, sodass Benutzer deren Legitimität bestätigen können, bevor sie weiter interagieren“, fügte er hinzu.
Auf Seiten der Plattform sagte der Cybersicherheitsexperte, dass es Maßnahmen gebe, die umgesetzt werden könnten, etwa die Möglichkeit, Nachrichten nur von vertrauenswürdigen Kontakten zu empfangen. Brooks sagte, ein gutes Beispiel hierfür sei „Facebook Protect“ von Meta, das Benutzern erhöhte Sicherheitsfunktionen für ihre Konten bietet.
„Wie das Sprichwort sagt: Die einzige Konstante ist der Wandel. Plattformen sind es ihren Nutzern und ihrer anhaltenden Relevanz schuldig, der Sicherheit Priorität einzuräumen. Dazu gehört nicht nur die Aktualisierung der Sicherheitsmaßnahmen, sondern auch die Förderung einer Kultur der Wachsamkeit und des Bewusstseins bei den Benutzern“, fügte er hinzu.
Zeitschrift: Sollten Kryptoprojekte jemals mit Hackern verhandeln? Wahrscheinlich