Meilleures pratiques de sécurité Web3 : 4e partie

Armé de la connaissance préalable de ces sales actions – qui sont toutes utilisées aussi bien contre les débutants que contre les vétérans chevronnés – vous aurez beaucoup plus de chances de détecter ces vilains pièges au premier coup d’œil et, espérons-le, de les éviter complètement.

Vous pouvez rattraper votre retard Sécurité Web3, partie 1, Sécurité Web3, partie 2 et Sécurité Web3, partie 3 via les liens mis en évidence.

Faux sites Web (escroqueries traditionnelles)

Il existe de nombreuses fausses versions de « sites Web3 fréquemment visités ». Vous pouvez les détecter en examinant attentivement à la fois l'extension de domaine et l'URL du domaine que vous visitez. Par exemple, l'URL officielle d'ENS Vision est ens.vision/tools, et une version frauduleuse de l'URL peut se présenter de plusieurs manières : 

1. peut utiliser un autre TLD (IE .xyz, en remplacement du TLD '.vision'), ou
2. peut utiliser un autre TLD AVEC sous-domaine (IE ens.vision.com/tools, qui utilise le TLD « .com »), ou
3. peut utiliser un numéro dans le nom de la page (c'est-à-dire : "/t00Is" utilise le numéro "00", à la place des lettres "oo"), ou
4. peut utiliser une lettre majuscule dans le nom de la page (c'est-à-dire : "/tooIs" utilise une lettre majuscule "i", à la place de la lettre "L").  

Ces faux sites peuvent avoir une fausse invite MetaMask dans laquelle ils vous demanderont votre mot de passe ou votre phrase de départ à l'étape « connecter le portefeuille ». Cependant, comme il ne s'agit pas de votre véritable extension MetaMask, toutes les tentatives de mot de passe échoueront et il vous sera demandé de récupérer votre portefeuille en tapant votre phrase de départ. Comme nous le savons, nous n’acceptons jamais la demande de saisie de nos phrases de départ.

Cependant, il est également possible pour le L'invite MetaMask doit être réelle et le site Web frauduleux vous trompe pour l'autoriser à accéder à votre portefeuille. Cela mettrait votre portefeuille en danger, même si vous utilisez un portefeuille matériel.

Liens vers des sites Web envoyés via DM

Une tactique courante des fraudeurs consiste à envoyer des messages massifs aux membres du serveur, se faisant souvent passer pour le projet lui-même, disant que vous avez gagné une place sur la liste blanche avec eux. Ils joindront un lien vers leur site Web frauduleux, qui semblera souvent très légitime en apparence, indiquant que vous devez y faire une réclamation. Il existe de nombreuses incarnations, mais certains escrocs prétendront être quelqu'un en qui vous pouvez avoir confiance, puis tenteront de vous inciter à cliquer sur le lien vers leur site frauduleux.. En réalité, si vous connectez votre portefeuille à ce site Web frauduleux et que vous signez une transaction via votre MetaMask après avoir suivi ce lien, il s'agira probablement d'une transaction « Définir l'approbation pour tous » qui permettra à l'escroc de déplacer tout ou partie. de vos actifs, de votre portefeuille à leur propre portefeuille d'arnaqueur.

La règle stricte de «Ne cliquez pas sur les liens» envoyé via Discord/Twitter DM (ou depuis N'importe qui, n'importe où), ce qui vous protégera la plupart du temps. Quoi qu'il en soit, vérifiez toujours l'extension de domaine et le nom de domaine complet de l'URL, ainsi que tous les liens qui apparaissent sur votre écran (Voir les exemples ci-dessus). Vraiment, si vous êtes nouveau dans le Web3, il est conseillé de simplement "Gardez les DM Discord désactivés» jusqu'à ce que vous ayez un peu trouvé vos marques.

Serveurs Discord piratés ou frauduleux

Malheureusement, la culture de FOMO (peur de rater quelque chose) et les lancements à la mode ont contribué à ce que les gens ignorent temporairement les mesures de sécurité et en paient le prix. Si un Discord est piraté, un signe révélateur est que les canaux de discussion ont été verrouillés (ex: vous ne parvenez pas à envoyer un message dans les zones générales du serveur).

De plus, si le canal d'annonce propose un cadeau ou un cadeau « surprise » (souvent en copiant et en collant le même message à plusieurs reprises), il s'agit d'un énorme signal d'alarme vous indiquant de rester à l'écart et d'alerter toute personne que vous connaissez que Discord est compromis. Tout comme dans l'exemple de Discord DM, les pirates informatiques diffuseront un faux lien avec les mêmes conséquences que votre portefeuille étant vidé de ses actifs, si vous continuez.

N'entrez jamais FOMO et vérifiez toujours sur quoi vous cliquez. Encore, "Vérifiez toujours Le lien» qui tombent sur vous allez cliquer (Voir les exemples ci-dessus). S'il s'agit d'un projet légitime et que vous le manquez, il y aura toujours une autre opportunité. Il suffit d’une seule erreur pour en finir avec tout cela, et cela n’en vaut pas la peine, mais vous pouvez atténuer votre risque si vous «Ne connectez pas vos portefeuilles « VAULT »» sur Discord ou sur n’importe quel site Web.

Ingénierie sociale

L’ingénierie sociale est sans doute la première cause de vol d’actifs dans l’espace Web3. À tel point qu’il nécessite probablement son propre article ciblé. Vous pourriez avoir cinq registres tous stockés dans un coffre-fort ignifuge, avec leurs phrases de départ protégées par des gardes armés et placés à différents endroits dans le monde – et pourtant, cela ne vous protégerait pas d’une arnaque d’ingénierie sociale.

L'approche la plus couramment utilisée par les fraudeurs consiste à vous demander d'échanger un actif dans le cadre d'une transaction privée, avec un ou plusieurs des événements suivants :

• Être approché dans un Discord DM par un utilisateur inconnu pour effectuer un échange.
  • Tous les cas ne constituent pas une arnaque, mais l’écrasante majorité l’est.
  • Il est sage de vérifier l'historique des publications d'un utilisateur sur le serveur avant de s'engager.
    • Vous pouvez le faire en tapant « from:username » dans la barre de recherche du serveur.
    • Un signal d’alarme serait le cas si aucun résultat n’est renvoyé.
  • S'il y a beaucoup de messages, ne prenez pas cela comme un feu vert – demandez plutôt à l'intérieur du serveur si quelqu'un peut se porter garant de cet utilisateur.
    • S’ils sont légitimes, il est probable que quelqu’un ait déjà interagi ou échangé avec eux.
• Se faire passer pour des modérateurs/propriétaires de projet.
  • Plus récemment, des escrocs ont exploré les serveurs à la recherche des identifiants Discord de membres réputés de la communauté, les reproduisant esthétiquement via l'image/le nom affiché et utilisant leur influence pour gagner automatiquement la confiance de la victime.
    • Ils commencent ensuite à approcher les membres du serveur possédant un autre compte cherchant à effectuer une transaction et à utiliser le compte de l'usurpateur pour agir en tant qu'intermédiaire dans la transaction.
  • Les modérateurs/fondateurs de projets ne vous contacteront généralement jamais via DM, et encore moins ne participeront à aucune activité commerciale privée.
    • Si vous vous retrouvez dans un groupe DM avec un et qu'un échange est en cours, il est probable que vous parlez à une fausse pièce d'identité de ces personnes de confiance.
      
• Prêter ou prêter votre crypto ou NFT à quelqu’un.
  • Malheureusement, même les personnes avec lesquelles vous avez grandi dans l’espace peuvent agir hors de leur caractère et trahir votre confiance.
    • Un exemple récent dont j'ai été témoin : un membre de confiance d'une communauté a proposé d'agir comme intermédiaire dans un accord d'échange privé.
    • Ils devaient détenir les deux actifs, puis distribuer les fonds/actifs en conséquence une fois que les deux auraient été reçus de l'acheteur et du vendeur.
    • Il a disparu peu de temps après avoir tout emporté avec lui. Si l'escroc n'avait pas été si négligent en associant son empreinte numérique à sa véritable carte d'identité, il n'aurait jamais restitué les objets volés - et ce n'est qu'après qu'une vague de pression a été exercée par d'autres membres de la communauté pour le retrouver. .
  • Il s'agissait d'une personne qui connaissait sa victime depuis près d'un an ; aussi triste que cela puisse paraître, la meilleure façon d’éviter cela est de ne jamais s’impliquer dans un tel scénario.
    • En tant que telle, cette règle peut être appliquée à toutes les situations ci-dessus : soyez naturellement paranoïaque lorsque vos actifs sont en jeu.
• On lui a demandé de fixer le prix à $0.
  • Pour des raisons évidentes, ce n’est jamais une bonne idée.
  • L’escroc s’engagera à faire de même afin d’effectuer un échange direct d’actif contre actif sans impliquer de fonds liquides.
  • Bien entendu, l’escroc ne donnera pas suite à ses actes.
• Autres nouveaux réseaux sociaux Ingénierie Escroqueries
  • Il y aura toujours de nouvelles escroqueries d’ingénierie sociale cherchant à tirer parti des connaissances et des émotions des utilisateurs.
  • Cela impliquera toujours que quelqu'un prétende être quelqu'un en qui vous avez confiance ou qu'il invente une histoire pour que vous lui fassiez confiance.
    • Généralement, cela jouera sur vos émotions, telles que votre : compassion et empathie, ou FOMO et cupidité.
  • Il est important de toujours rester vigilant. Avec l’avènement des deep-fakes vidéo, on n’est jamais trop prudent.

Les pirates informatiques utilisés #Deepfake
[de Binance CCO] à l'arnaque.
Attendez-vous à voir cela partout.
Il existe un 'nouvelle génération' d'escroqueries/arnaqueurs ;
Ils cherchent à attaquer des utilisateurs individuels, à grande échelle.
Auto-garde de vos clés + sensibilisation aux vecteurs d'attaque. #Web3 #SIWE #ENS $ENS https://t.co/BfuAMUV7EU

— GaryPalmerJr.eth 👁 2223.eth 🐇 (@garypalmerjr) 31 août 2022

E-mails frauduleux et de phishing

Si votre adresse e-mail est liée à votre OpenSea compte, méfiez-vous de tout e-mail censé provenir d’eux.

En juin de cette année, OpenSea a connu une fuite dans sa base de données d'adresses e-mail, au cours de laquelle un employé de l'un de ses fournisseurs a abusé de son accès pour télécharger et partager les adresses des utilisateurs d'OpenSea avec un tiers non autorisé.

FUITE DE DONNÉES OpenSea. Je viens de recevoir cet e-mail d'OS. Soyez donc prudent si vous recevez des communications de personnes prétendant être le personnel d'OpenSea. 🙏🚨 pic.twitter.com/QP6erbE7xj

– jackasscrypto.ethᵍᵐ (@crypto_jackass) 30 juin 2022

En gardant cela à l’esprit, il est presque certain que les personnes concernées seront susceptibles de recevoir des e-mails de phishing pendant un certain temps. Si jamais vous recevez un e-mail d'OpenSea, vérifiez l'expéditeur et assurez-vous qu'il provient de la boîte aux lettres officielle d'OpenSea. Un e-mail frauduleux redirigera vers un faux site Web. J'atténue cela en ne cliquant simplement sur rien dans un e-mail OpenSea. Ils ne pourront jamais m'avoir de cette façon !

Contrats et parachutages malveillants

Un contrat malveillant contient un code qui permettra à l'escroc (qui est le propriétaire de l'accès à ce contrat) d'accéder à votre portefeuille de fonds et d'actifs.

Si vous n'êtes pas doué pour lire les contrats Web3, la meilleure façon d'éviter cet écueil est de demander à quelqu'un qui doit les examiner pour déceler des problèmes potentiels. Une autre solution, bien que ce ne soit pas une option parfaite, consiste à attendre de voir comment les autres sont affectés après l'avoir utilisé. Encore, éviter FOMO car c'est là que beaucoup d'erreurs sont commises – en particulier avec des contrats signés par des développeurs inconnus ou provenant d'une source très réputée.

Les escrocs sont des individus implacablement entreprenants et les escrocs se sont lancés dans le largage de Scam-NFT vers des portefeuilles Web3.

Ils ciblent principalement les portefeuilles qui contiennent des projets de grande valeur, tels que BAYC, mais n'importe qui peut être ciblé. Malgré le fait que les illustrations de ces airdrops sont souvent « laides », ce qui est déjà assez mauvais en soi, mais lorsque vous interagissez avec ces NFT frauduleux (c'est-à-dire : essayer de les vendre ou de les déplacer vers un autre portefeuille), cela signifie que vous êtes interagir avec un contrat malveillant, ce qui pourrait vous amener à risquer que tous vos actifs soient volés.

Un thème commun récent est qu’un escroc larguera le NFT, puis fera une offre WETH importante sur celui-ci. Ceci afin d'inciter les victimes potentielles à accepter l'offre et ainsi à interagir avec le contrat malveillant. C'est une perte de temps et un risque, car l'offre WETH ne pourra jamais être complétée, même si elle est acceptée, c'est donc une tâche totalement infructueuse et risquée.

Logiciels malveillants, enregistrement de frappe et protection

Comme mentionné précédemment, soyez très vigilant quant aux téléchargements que vous effectuez, en particulier s'ils proviennent de Twitter ou de DM Discord. À moins que vous ne connaissiez et ne fassiez confiance à la personne avec laquelle vous interagissez, télécharger un lien via un DM non sollicité présente un terrible taux de risque/récompense.

Une fois installés sur votre appareil, ces téléchargements malveillants peuvent parfois accorder à un pirate informatique un accès à distance à votre PC ou installer des logiciels malveillants. Sur cette note et comme mentionné dans la partie 1, l'achat de logiciels fiables comme MalwareBytes est un bon investissement et est considéré comme le meilleur logiciel de protection antivirus pour un prix très abordable de $30 par an.

Le téléchargement d'une version non fiable d'un programme, tel que LedgerLive, vous donnera un faux sentiment de sécurité en y tapant vos phrases de départ. De plus, ces fausses versions de programmes ont la capacité d’installer des logiciels malveillants sur votre appareil. Vérifiez toujours que la source du téléchargement est légitime en suivant les conseils donnés dans la partie 1 sous « Soyez sélectif avec les extensions de votre navigateur ». puce.

En conclusion

Ceci conclut la série sur les meilleures pratiques de sécurité Web3. Espérons que ces conseils de base vous permettront de vous lancer dans un voyage sûr et très prospère vers le Web3 !

N'oubliez pas qu'être prudent et prudent nécessitera toujours plus de temps et d'efforts, mais cela en vaut la peine. Il suffit d’une seule erreur pour effacer des années de dur labeur.

Prends soin de toi!