أفضل ممارسات أمان Web3: الجزء 4

مسلحًا بالمعرفة المسبقة بهذه الأفعال القذرة - والتي يتم استخدامها جميعًا ضد كل من المبتدئين والمحاربين القدامى المخضرمين على حد سواء - سيكون لديك فرصة أكبر بكثير لاكتشاف هذه الفخاخ السيئة للوهلة الأولى، وبالتالي نأمل أن تتجنبها تمامًا.

يمكنك اللحاق بها أمن الويب 3، الجزء الأول, أمن الويب 3، الجزء 2 و أمن الويب 3، الجزء 3 عبر الروابط المميزة.

المواقع المزيفة (عمليات الاحتيال التقليدية)

هناك العديد من الإصدارات المزيفة من "مواقع الويب Web3 التي يتم زيارتها بشكل متكرر". يمكنك اكتشاف ذلك من خلال فحص كل من امتداد النطاق وعنوان URL للنطاق الذي تزوره بعناية. على سبيل المثال، عنوان URL الرسمي لـ ENS Vision هو ens.vision/tools، وهناك العديد من الطرق التي قد تظهر بها النسخة الاحتيالية من عنوان URL نفسها: 

1. قد يستخدم نطاق TLD مختلفًا (IE .xyz، بدلاً من TLD '.vision')، أو
2. قد يستخدم نطاق TLD مختلفًا مع نطاق فرعي (IE ens.vision.com/tools، الذي يستخدم TLD ".com".)، أو
3. يجوز استخدام رقم في اسم الصفحة (على سبيل المثال: يستخدم "/t00Is" الرقم "00" بدلاً من الحروف "oo")، أو
4. يجوز استخدام حرف كبير في اسم الصفحة (على سبيل المثال: يستخدم "/tooIs" الحرف الكبير "i" بدلاً من الحرف "L").  

قد تحتوي هذه المواقع المزيفة على مطالبة MetaMask مزيفة حيث ستطلب منك كلمة المرور أو العبارة الأولية في مرحلة "الاتصال بالمحفظة". ومع ذلك، نظرًا لأن هذا ليس امتداد MetaMask الأصلي، فستفشل جميع محاولات كلمة المرور وسيُطلب منك استرداد محفظتك عن طريق كتابة العبارة الأولية الخاصة بك. وكما نعلم، فإننا لا نوافق أبدًا على طلب كتابة عباراتنا الأولية.

ومع ذلك، فمن الممكن أيضا ل مطالبة MetaMask بأن تكون حقيقية، وأن يخدعك موقع الويب المخادع للسماح له بالوصول إلى محفظتك. وهذا من شأنه أن يعرض محفظتك للخطر، حتى لو كنت تستخدم محفظة الأجهزة.

روابط الموقع المرسلة عبر الرسائل المباشرة

أحد الأساليب الشائعة التي يتبعها المحتالون هو إرسال رسائل جماعية إلى أعضاء الخادم، وغالبًا ما يتنكرون في هيئة المشروع نفسه، قائلين إنك فزت معهم بمكان في القائمة البيضاء. وسيقومون بإرفاق رابط إلى موقع الاحتيال الخاص بهم، والذي غالبًا ما يبدو شرعيًا للغاية في المظهر، قائلين إنك بحاجة إلى المطالبة هناك. هناك العديد من التجسيدات، لكن بعض المحتالين سيتظاهر بأنه شخص يمكنك الوثوق به، ثم سيحاول خداعك للنقر على الرابط المؤدي إلى موقع الاحتيال الخاص به. في الواقع، إذا قمت بربط محفظتك بموقع الاحتيال هذا، وقمت بالتوقيع على معاملة عبر MetaMask الخاص بك بعد اتباع هذا الرابط، فمن المحتمل أن تكون معاملة "تعيين الموافقة للجميع" والتي ستسمح للمحتال بنقل أي شيء أو الكل من أصولك، من محفظتك، إلى محفظة المحتالين الخاصة بهم.

القاعدة الصارمة "لا تنقر على الروابط" يتم إرسالها إليك عبر Discord/Twitter DM (أو من أي شخص، في أي مكان)، والتي ستحميك في معظم الأوقات. ومع ذلك، تحقق دائمًا من امتداد النطاق واسم النطاق الكامل لعنوان URL وأي من الروابط التي تظهر عبر شاشتك (انظر الأمثلة أعلاه). حقًا، إذا كنت جديدًا في Web3، فمن المستحسن أن تفعل ذلك فقط "أبقِ Discord DMs مغلقًا"حتى تجد قدميك قليلاً.

خوادم Discord المخترقة أو الاحتيالية

للأسف ثقافة الفومو (الخوف من الضياع) وساهمت عمليات الإطلاق المبالغ فيها في تجاهل الناس لتدابير السلامة مؤقتًا ودفع ثمن ذلك. إذا تم اختراق Discord، فهذه علامة تشير إلى أن قنوات الدردشة قد تم قفلها (أي: لا يمكنك إرسال رسالة في المناطق العامة بالخادم).

بالإضافة إلى ذلك، إذا كانت قناة الإعلان تقدم هدية "مفاجأة" أو هدية (غالبًا ما تقوم بنسخ نفس الرسالة ولصقها بشكل متكرر)، فهذه علامة حمراء ضخمة تخبرك بالبقاء واضحًا وتنبيه أي شخص تعرفه بأن Discord قد تم اختراقه. كما هو الحال مع مثال Discord DMs، سيدفع المتسللون رابطًا مزيفًا مع نفس العواقب المتمثلة في استنزاف أصول محفظتك، في حالة المتابعة.

لا تدخل أبدًا في حالة FOMO وتحقق دائمًا مما تنقر عليه. مرة أخرى، "تحقق دائما الروابط" التي تصادفك ستنقر (انظر الأمثلة أعلاه). إذا كان مشروعًا مشروعًا، وتفويت الفرصة عليه، فستكون هناك دائمًا فرصة أخرى. لا يستغرق الأمر سوى خطأ واحد لإنهاء كل شيء، ولا يستحق الأمر المخاطرة، ولكن يمكنك تخفيف المخاطر الخاصة بك إذا كنت "لا تقم بتوصيل محافظ "VAULT" الخاصة بك"إلى Discord أو إلى أي موقع ويب.

هندسة اجتماعية

يمكن القول إن الهندسة الاجتماعية هي السبب الأول للأصول المسروقة في مساحة Web3. لدرجة أنه من المحتمل أن يتطلب مقالًا مركزًا خاصًا به. يمكن أن يكون لديك خمسة دفاتر مخزنة جميعها في خزنة مقاومة للحريق، مع حماية عباراتها الأولية بواسطة حراس مسلحين ووضعها في مواقع مختلفة حول العالم - ومع ذلك، لن ينقذك ذلك من عملية احتيال الهندسة الاجتماعية.

الأسلوب الأكثر شيوعًا الذي يستخدمه المحتالون هو مطالبتك بتداول أحد الأصول في صفقة خاصة، مع حدوث أي واحد أو أكثر مما يلي:

• يتم الاتصال بك في Discord DM من قبل مستخدم غير معروف لإجراء صفقة تجارية.
  • ليست كل حالة من حالات الاحتيال هذه تعتبر عملية احتيال، ولكن الأغلبية الساحقة هي كذلك.
  • من الحكمة التحقق من سجل نشر المستخدم في الخادم قبل المشاركة.
    • يمكنك القيام بذلك عن طريق كتابة "من: اسم المستخدم" في شريط بحث الخادم.
    • ستكون العلامة الحمراء في حالة عدم إرجاع أي نتائج.
  • إذا كان هناك العديد من الرسائل، فلا تعتبر ذلك بمثابة ضوء أخضر - وبدلاً من ذلك، اسأل داخل الخادم عما إذا كان بإمكان أي شخص أن يضمن هذا المستخدم.
    • إذا كانت شرعية، فمن المحتمل أن شخصًا ما قد تفاعل معها أو تداول معها سابقًا.
• انتحال صفة المشرفين/أصحاب المشروع.
  • في الآونة الأخيرة، قام المحتالون بفحص الخوادم بحثًا عن معرفات Discord لأعضاء المجتمع ذوي السمعة الطيبة، وتكرارها بشكل جمالي عبر صورة العرض/الاسم واستخدام نفوذهم لاكتساب الثقة التلقائية مع الضحية.
    • ثم يبدأون بعد ذلك في التعامل مع أعضاء الخادم بحساب آخر يتطلعون إلى إجراء تجارة واستخدام حساب المنتحل للعمل كوسيط في الصفقة.
  • لن يتصل بك المشرفون/مؤسسو المشاريع أبدًا عبر الرسالة المباشرة، خشية أن يشاركوا في نشاط تجاري خاص.
    • إذا انتهى بك الأمر في رسالة مباشرة جماعية مع أحد الأشخاص وتمت مناقشة التجارة، فمن المحتمل أنك تتحدث إلى معرف مزيف لهؤلاء الأفراد الموثوق بهم.
      
• إقراض أو إقراض التشفير أو NFT الخاص بك لشخص ما.
  • للأسف، حتى الأشخاص الذين تقربت منهم في هذا المجال يمكن أن يتصرفوا بشكل غير طبيعي ويخونوا ثقتك.
    • أحد الأمثلة الحديثة التي شهدتها: عرض أحد الأعضاء الموثوقين في المجتمع العمل كوسيط في صفقة مبادلة خاصة.
    • كان عليهم الاحتفاظ بكلا الأصلين ثم توزيع الأموال / الأصول وفقًا لذلك بمجرد استلامهما من المشتري والبائع.
    • اختفى بعد وقت قصير من أخذ كل شيء معه. لولا كون المحتال غير متقن للغاية في ربط بصمته الرقمية بهويته الحقيقية، لما أعاد العناصر المسروقة أبدًا - وكان هذا فقط بعد هجمة من الضغط لتعقبه من قبل زملائه أعضاء المجتمع .
  • كان هذا شخصًا يعرف ضحيته منذ عام تقريبًا؛ من المحزن أن نقول إن أفضل طريقة لتجنب ذلك هي عدم التورط أبدًا في مثل هذا السيناريو في المقام الأول.
    • وعلى هذا النحو، يمكن تطبيق هذه القاعدة على جميع الحالات المذكورة أعلاه - كن مذعورًا بشكل طبيعي عندما تكون أصولك على المحك.
• يُطلب منك تحديد السعر على $0.
  • لأسباب لا تحتاج إلى شرح، هذه ليست فكرة عظيمة على الإطلاق.
  • سوف يتعهد المحتال بالقيام بالشيء نفسه من أجل إجراء مبادلة مباشرة من الأصول إلى الأصول دون الحاجة إلى أموال سائلة.
  • لن يتابع المحتال من نهايته بالطبع.
• اجتماعية جديدة أخرى هندسة الغش
  • سيكون هناك دائمًا عمليات احتيال جديدة تتعلق بالهندسة الاجتماعية تسعى إلى الاستفادة من معرفة المستخدمين وعواطفهم.
  • سيتضمن الأمر دائمًا شخصًا يتظاهر بأنه شخص تثق به، أو يقوم بإعداد قصة لتثق به.
    • عادة، سوف يلعب ذلك على مشاعرك، مثل: الرحمة والتعاطف، أو الخوف من الخوف والجشع.
  • من المهم أن تظل يقظًا دائمًا. مع ظهور مقاطع الفيديو المزيفة بعمق، لا يمكنك أبدًا أن تكون حذرًا للغاية.

يستخدم المتسللون # Deepfake
[من Binance CCO] للاحتيال.
نتوقع أن نرى هذا في كل مكان.
يوجد 'الجيل التالي' من عمليات الاحتيال/المحتالين؛
إنهم يسعون إلى مهاجمة المستخدمين الفرديين على نطاق واسع.
الاحتفاظ بمفاتيحك ذاتيًا + الوعي بمتجهات الهجوم. #Web3 #SIWE #ENS $ENS https://t.co/BfuAMUV7EU

— غاري بالمير جونيور 👁 2223.eth 🐇 (@garypalmerjr) 31 أغسطس 2022

رسائل البريد الإلكتروني الاحتيالية والتصيدية

إذا كان لديك عنوان بريدك الإلكتروني مرتبطًا بحسابك أوبن سي الحساب، كن حذرًا من أي بريد إلكتروني يُزعم أنه يأتي منهم.

في يونيو من هذا العام، تعرضت OpenSea لتسرب قاعدة بيانات عناوين البريد الإلكتروني حيث أساء أحد موظفي أحد البائعين استخدام وصوله لتنزيل ومشاركة عناوين مستخدمي OpenSea مع طرف ثالث غير مصرح به.

تسرب بيانات OpenSea. لقد تلقيت للتو هذا البريد الإلكتروني من نظام التشغيل. لذا كن حذرًا إذا تلقيت اتصالات من أشخاص يتظاهرون بأنهم موظفون في OpenSea's. 🙏🚨 pic.twitter.com/QP6erbE7xj

— jackasscrypto.ethᵍᵐ (@crypto_jackass) 30 يونيو 2022

لذا، مع أخذ ذلك في الاعتبار، فمن المؤكد تقريبًا أن المتضررين سيتم تعيينهم لتلقي رسائل البريد الإلكتروني التصيدية لبعض الوقت. إذا تلقيت بريدًا إلكترونيًا من OpenSea، فتحقق مرة أخرى من المرسل وتأكد من أنه من صندوق بريد OpenSea الرسمي. سيتم إعادة توجيه البريد الإلكتروني الاحتيالي إلى موقع ويب مزيف. أقوم بتخفيف ذلك من خلال عدم النقر مطلقًا على أي شيء داخل بريد OpenSea الإلكتروني. لا يمكنهم أبداً أن يفهموني بهذه الطريقة!

العقود الخبيثة والإسقاط الجوي

يحتوي العقد الضار على رمز مكتوب فيه يمنح المحتال (مالك حق الوصول إلى العقد) حق الوصول لاستنزاف محفظتك من الأموال والأصول.

إذا لم تكن ماهرًا في قراءة عقود Web3، فإن أفضل طريقة لتجنب هذا المأزق هي أن تطلب من شخص ما أن يفحصها بحثًا عن مشكلات محتملة. البديل الآخر، على الرغم من أنه ليس خيارًا مثاليًا، هو الانتظار لمعرفة مدى تأثر الآخرين بعد استخدامه. مرة أخرى، تجنب FOMO حيث أنه يتم ارتكاب الكثير من الأخطاء - خاصة فيما يتعلق بالعقود المبرمة مع مطورين غير معروفين أو من مصدر غير معروف.

المحتالون، هم أفراد مغامرون بلا هوادة، و لقد تشعب المحتالون إلى إسقاط Scam-NFTs على محافظ Web3.

إنهم يستهدفون في الغالب المحافظ التي تحتوي على مشاريع عالية القيمة، مثل BAYC، ولكن يمكن استهداف أي شخص. على الرغم من حقيقة أن العمل الفني الموجود على هذه الإسقاطات الجوية غالبًا ما يكون "قبيحًا"، وهو أمر سيئ بما فيه الكفاية في حد ذاته، ولكن عند التفاعل مع هذه NFTs الاحتيالية (أي: محاولة بيعها، أو نقلها، إلى محفظة أخرى) سيعني أنك التفاعل مع عقد ضار، مما قد يؤدي في النهاية إلى المخاطرة بجميع أصولك والسرقة.

هناك موضوع شائع مؤخرًا وهو أن المحتال سوف يقوم بإسقاط NFT من الجو ثم تقديم عرض WETH كبير عليه. وذلك من أجل إغراء الضحايا المحتملين بقبول العرض وبالتالي التفاعل مع العقد الخبيث. إنها مضيعة للوقت ومخاطرة، حيث لا يمكن إكمال عرض WETH أبدًا، حتى لو تم قبوله، لذا فهي مهمة غير مثمرة ومحفوفة بالمخاطر على الإطلاق.

البرامج الضارة وتسجيل المفاتيح والحماية

كما ذكرنا سابقًا، كن أكثر يقظة بشأن التنزيلات التي تجريها، خاصة إذا كانت صادرة من Twitter أو Discord DMs. إلا إذا كنت تعرف وتثق بالشخص الذي تتفاعل معه، إن تنزيل رابط عبر رسالة مباشرة غير مرغوب فيها ينطوي على معدل مخاطرة مقابل مكافأة رهيب.

وبمجرد أن يتم نشرها على جهازك، يمكن لهذه التنزيلات الخبيثة في بعض الأحيان أن تمنح المتسلل إمكانية الوصول عن بعد إلى جهاز الكمبيوتر الخاص بك أو تثبيت برامج ضارة. في هذا الصدد وكما هو مشار إليه في الجزء الأول، قم بشراء بعض البرامج الموثوقة مثل MalwareBytes يعد استثمارًا جيدًا ويعتبر أفضل برنامج حماية من الفيروسات بسعر مناسب جدًا يبلغ $30 سنويًا.

إن تنزيل إصدار غير موثوق به من برنامج، مثل LedgerLive، سوف يخدعك ويمنحك إحساسًا زائفًا بالأمان عن طريق كتابة عباراتك الأولية فيه. بالإضافة إلى ذلك، تتمتع هذه الإصدارات المزيفة من البرامج بالقدرة على تثبيت البرامج الضارة على جهازك. تأكد دائمًا من أن مصدر التنزيل شرعي باستخدام النصائح الواردة في الجزء الأول ضمن عنوان "كن انتقائيًا مع ملحقات المتصفح". نقطة رصاصة.

ختاماً

وبهذا تنتهي السلسلة حول أفضل ممارسات أمان Web3. نأمل أن تكون هذه النصائح الأساسية جاهزة للبدء في رحلة آمنة ومزدهرة للغاية إلى Web3!

تذكر أن كونك آمنًا وحذرًا سيتطلب دائمًا المزيد من الوقت والجهد، لكن الأمر يستحق القيام بذلك. لا يستغرق الأمر سوى خطأ واحد للقضاء على سنوات من العمل الشاق.

يعتني!