Práticas recomendadas de segurança Web3: Parte 4

Armado com o conhecimento prévio dessas ações sujas – todas elas usadas tanto contra novatos quanto contra veteranos experientes – você terá uma chance muito maior de detectar essas armadilhas desagradáveis à primeira vista e, assim, evitá-las completamente.

Você pode se atualizar Segurança Web3, Parte 1, Segurança Web3, Parte 2 e Segurança Web3, Parte 3 através dos links destacados.

Sites falsos (golpes tradicionais)

Existem muitas versões falsas de “sites Web3 comumente visitados”. Você pode detectá-los examinando cuidadosamente AMBOS a extensão do domínio e o URL do domínio que você está visitando. Por exemplo, o URL oficial do ENS Vision é ens.vision/tools, e há muitas maneiras pelas quais uma versão fraudulenta do URL pode se apresentar: 

1. pode usar um TLD diferente (IE .xyz, em substituição ao TLD '.vision'), ou
2. pode usar um TLD COM subdomínio diferente (IE ens.vision.com/tools, que usa o TLD '.com'), ou
3. pode usar um número no nome da página (ou seja: “/t00Is” usa o número '00', em substituição às letras 'oo'), ou
4. pode usar uma letra maiúscula no nome da página (ou seja: “/tooIs” usa uma letra maiúscula 'i', em substituição à letra 'L').  

Esses sites falsos podem ter um prompt MetaMask falso, onde solicitarão sua senha ou frase-semente no estágio de ‘conectar carteira’. No entanto, como esta não é sua extensão MetaMask genuína, todas as tentativas de senha falharão e você será solicitado a recuperar sua carteira digitando sua frase inicial. Como sabemos, nunca aceitamos o pedido de digitação de nossas frases-semente.

Contudo, também é possível que o O prompt do MetaMask é real e o site fraudulento engana você para autorizá-los a ter acesso à sua carteira. Isto colocaria a sua carteira em risco, mesmo se você estiver usando uma carteira de hardware.

Links de sites enviados via DMs

Uma tática comum dos golpistas é enviar mensagens em massa aos membros do servidor, muitas vezes disfarçando-se como o próprio projeto, dizendo que você ganhou uma vaga na lista de permissões com eles. Eles anexarão um link para seu site fraudulento, que muitas vezes parecerá muito legítimo, dizendo que você precisa reivindicar lá. Existem muitas encarnações, mas alguns golpistas fingirão ser alguém em quem você pode confiar e tentarão enganá-lo para que clique no link do site fraudulento.. Na realidade, se você conectar sua carteira a esse site fraudulento e assinar uma transação por meio de sua MetaMask após seguir esse link, provavelmente será uma transação 'Definir aprovação para todos', que permitirá ao golpista mover qualquer um ou todos de seus ativos, da sua carteira, até a própria carteira do golpista.

A regra estrita de “Não clique em links” enviado a você via Discord/Twitter DM (ou de qualquer pessoa, em qualquer lugar), o que irá protegê-lo na maior parte do tempo. Mesmo assim, verifique sempre a extensão do domínio e o nome de domínio completo do URL e qualquer um dos links que aparecem na sua tela (Veja exemplos acima). Na verdade, se você é novo no Web3, é aconselhável apenas “Mantenha os DMs do Discord desligados”até que você se recupere um pouco.

Servidores Discord hackeados ou fraudulentos

Infelizmente, a cultura do FOMO (medo de perder) e lançamentos sensacionalistas contribuíram para que as pessoas desconsiderassem temporariamente as medidas de segurança e pagassem o preço por isso. Se um Discord for hackeado, um sinal revelador é que os canais de bate-papo foram bloqueados (ou seja: você não consegue enviar uma mensagem nas áreas Gerais do servidor).

Além disso, se o canal de anúncio estiver promovendo uma oferta ‘surpresa’ ou hortelã (muitas vezes copiando e colando a mesma mensagem repetidamente), então esta é uma enorme bandeira vermelha dizendo para você ficar claro e alertar qualquer pessoa que você conheça que o Discord está comprometido. Muito parecido com o exemplo dos DMs do Discord, os hackers enviarão um link falso com as mesmas consequências de sua carteira ter seus ativos esgotados, caso você continue.

Nunca FOMO e sempre verifique no que você está clicando. De novo, "Sempre verifique Os links” que aparecer, você clicará em (Veja exemplos acima). Se for um projeto legítimo e você perder, sempre haverá outra oportunidade. Basta um erro para acabar com tudo e não vale a pena correr o risco, mas você pode mitigar o risco se “Não conecte suas carteiras ‘VAULT’”Para Discord ou para qualquer site.

Engenharia social

A engenharia social é indiscutivelmente a causa número um de ativos roubados no espaço Web3. Tanto é verdade que provavelmente requer seu próprio artigo específico. Você poderia ter cinco Ledgers todos armazenados em um cofre à prova de fogo, com suas frases-semente protegidas por guardas armados e colocadas em diferentes locais ao redor do mundo – e ainda assim, isso não o salvaria de um golpe de engenharia social.

A abordagem mais comum usada por golpistas é pedir que você negocie um ativo em uma transação privada, ocorrendo uma ou mais das seguintes situações:

• Ser abordado em um DM do Discord por um usuário desconhecido para fazer uma troca.
  • Nem todos os casos em que isso acontece são uma farsa, mas a esmagadora maioria é assim.
  • É aconselhável verificar o histórico de postagens de um usuário no servidor antes de interagir.
    • Você pode fazer isso digitando 'from:username' na barra de pesquisa do servidor.
    • Uma bandeira vermelha seria se nenhum resultado fosse retornado.
  • Se houver muitas mensagens, ainda assim não considere isso um sinal verde – em vez disso, pergunte dentro do servidor se alguém pode atestar esse usuário.
    • Se forem legítimos, é provável que alguém já tenha interagido ou negociado com eles anteriormente.
• Representando moderadores/proprietários do projeto.
  • Mais recentemente, os golpistas têm procurado nos servidores os IDs do Discord de membros respeitáveis da comunidade, replicando-os esteticamente por meio da imagem/nome de exibição e usando sua influência para ganhar a confiança automática da vítima.
    • Eles então começam a abordar os membros do servidor com outra conta que desejam fazer uma negociação e usam a conta do imitador para atuar como intermediário no negócio.
  • Moderadores/fundadores de projetos geralmente nunca entrarão em contato com você via DM, para não participar de atividades comerciais privadas.
    • Se você acabar em um DM em grupo com um e a negociação estiver sendo discutida, é provável que você esteja falando com uma identidade falsa desses indivíduos confiáveis.
      
• Emprestar ou emprestar sua criptografia ou NFT para alguém.
  • Infelizmente, mesmo as pessoas de quem você se tornou próximo podem agir fora do personagem e trair sua confiança.
    • Testemunhei um exemplo recente: um membro de confiança de uma comunidade ofereceu-se para atuar como intermediário num acordo de troca privado.
    • Eles deveriam manter ambos os ativos e então distribuir os fundos/ativos de acordo, uma vez que ambos fossem recebidos do comprador e do vendedor.
    • Ele desapareceu logo após levar tudo com ele. Se não fosse pelo golpista ser tão desleixado com sua pegada digital vinculada à sua identidade real, ele nunca teria devolvido os itens roubados – e isso só aconteceu depois que um ataque de pressão para localizá-lo foi feito por outros membros da comunidade .
  • Esta era uma pessoa que conhecia a sua vítima há quase um ano; por mais triste que seja dizer, a melhor maneira de evitar isso é nunca se envolver em tal cenário.
    • Como tal, essa regra pode ser aplicada a todas as situações acima – fique naturalmente paranóico quando seus bens estão em jogo.
• Sendo solicitado a definir o preço para $0.
  • Por razões autoexplicativas, esta nunca é uma boa ideia.
  • O golpista se comprometerá a fazer o mesmo para fazer uma troca direta de ativo por ativo, sem fundos líquidos envolvidos.
  • O golpista não seguirá em frente, é claro.
• Outras novas redes sociais Engenharia Golpes
  • Sempre haverá novos golpes de engenharia social que buscam aproveitar o conhecimento e as emoções dos usuários.
  • Sempre envolverá alguém fingindo ser alguém em quem você confia ou inventando uma história para você confiar nessa pessoa.
    • Normalmente, isso afetará suas emoções, como: compaixão e empatia, ou FOMO e ganância.
  • É importante permanecer sempre vigilante. Com o advento dos vídeos deepfakes, você nunca pode ser muito cuidadoso.

Hackers usados #Deepfake
[da Binance CCO] para fraude.
Espere ver isso em todos os lugares.
Existe uma 'próxima geração' de golpes/golpistas;
Eles estão tentando atacar usuários individuais, em grande escala.
Autocustódia de suas chaves + Consciência do vetor de ataque. #Web3 #SIWE #ENS $ENS https://t.co/BfuAMUV7EU

- GaryPalmerJr.eth 👁 2223.eth 🐇 (@garypalmerjr) 31 de agosto de 2022

E-mails fraudulentos e de phishing

Se você tiver seu endereço de e-mail vinculado ao seu Mar aberto conta, tenha cuidado com qualquer e-mail que supostamente venha deles.

Em junho deste ano, a OpenSea teve um vazamento de banco de dados de endereços de e-mail, onde um funcionário de um de seus fornecedores usou indevidamente seu acesso para baixar e compartilhar endereços de usuários do OpenSea com terceiros não autorizados.

VAZAMENTO DE DADOS do OpenSea. Acabei de receber este e-mail do sistema operacional. Portanto, tome cuidado se receber comunicações de pessoas que fingem ser funcionários da OpenSea. 🙏🚨 pic.twitter.com/QP6erbE7xj

— jackasscrypto.ethᵍᵐ (@crypto_jackass) 30 de junho de 2022

Portanto, com isso em mente, é quase certo que as pessoas afetadas receberão e-mails de phishing por algum tempo. Se você receber um e-mail da OpenSea, verifique novamente o remetente e certifique-se de que seja da caixa de correio oficial da OpenSea. Um e-mail fraudulento redirecionará para um site falso. Eu mitigo isso simplesmente nunca clicando em nada dentro de um e-mail do OpenSea. Eles nunca poderão me pegar desse jeito!

Contratos maliciosos e lançamentos aéreos

Um contrato malicioso contém um código escrito que concederá ao golpista (que é o proprietário do acesso ao contrato) acesso para drenar fundos e ativos de sua carteira.

Se você não tem experiência na leitura de contratos Web3, a melhor maneira de evitar essa armadilha é pedir a alguém que os examine em busca de possíveis problemas. Alternativamente, embora não seja uma opção perfeita, é esperar para ver como os outros serão afetados após usá-lo. De novo, evite FOMO pois é aí que muitos erros são cometidos – especialmente com contratos de desenvolvedores desconhecidos ou não de fonte altamente confiável.

Os golpistas são indivíduos incansavelmente empreendedores e os golpistas se ramificaram no lançamento aéreo de Scam-NFTs para carteiras Web3.

A maioria deles tem como alvo carteiras que mantêm projetos de alto valor, como o BAYC, mas qualquer um pode ser alvo. Apesar do fato de que a arte desses airdrops costuma ser “feia”, o que já é ruim o suficiente, mas ao interagir com esses NFTs fraudulentos (ou seja: tentar vendê-los ou movê-los para outra carteira) significará que você está interagir com um contrato malicioso, o que pode fazer com que você arrisque todos os seus ativos para serem roubados.

Um tema comum recente é que um golpista lançará o NFT no ar e, em seguida, fará uma grande oferta WETH sobre ele. Isto é para induzir as potenciais vítimas a aceitar a oferta e, assim, interagir com o contrato malicioso. É uma perda de tempo e um risco, pois a oferta WETH nunca poderá ser concluída, mesmo que aceite, pelo que é uma tarefa totalmente infrutífera e arriscada.

Malware, keylogging e proteção

Como mencionado anteriormente, fique extremamente atento aos downloads que você faz, especialmente se eles se originam do Twitter ou de DMs do Discord. A menos que você conheça e confie na pessoa com quem está interagindo, baixar um link por meio de um DM não solicitado tem uma taxa de risco de recompensa terrível.

Uma vez ativos no seu dispositivo, esses downloads malévolos às vezes podem conceder a um hacker acesso remoto ao seu PC ou instalar malware. Por falar nisso e conforme mencionado na Parte 1, adquirir algum software confiável como MalwareBytes é um bom investimento e é considerado o melhor software de proteção antivírus por um preço muito acessível de $30 por ano.

Baixar uma versão não confiável de um programa, como o LedgerLive, irá enganá-lo e levá-lo a uma falsa sensação de segurança ao digitar suas frases-semente nele. Além disso, essas versões falsas de programas têm a capacidade de instalar malware no seu dispositivo. Sempre verifique se a fonte do download é legítima seguindo os conselhos dados na Parte 1 em 'Seja seletivo com as extensões do seu navegador'. ponto de bala.

Para concluir

Isso conclui a série sobre Melhores Práticas de Segurança Web3. Esperançosamente, essas dicas básicas deixarão você pronto para embarcar em uma jornada segura e altamente próspera na Web3!

Lembre-se de que estar seguro e cuidadoso sempre exigirá mais tempo e esforço, mas vale a pena fazê-lo. Basta um erro para acabar com anos de trabalho duro.

Tomar cuidado!