احذر من تضليل التوقيع الأعمى: المبادئ، والأساليب، وطرق الوقاية

مؤخراً، انتشرت عملية تضليل تستخدم eth_sign للتوقيع الأعمى، حيث تم إغراء العديد من المستخدمين بالتوقيع على توقيعات تبدو غير ضارة على مواقع غير معروفة، مما أدى إلى فقدان أصول المحفظة. لمساعدتنا على فهم كيفية عمل هذه العملية بشكل أفضل، نحتاج أولاً إلى فهم جوهر توقيع eth_sign.

مقدمة عن توقيع eth_sign

في نظام إيثيريوم البيئي، تعتبر eth_sign طريقة توقيع مستخدمة على نطاق واسع، تتيح للمستخدمين توقيع الرسائل باستخدام المفتاح الخاص. هذه الآلية التوقيع هي جزء أساسي من معاملات البلوك تشين، تُستخدم لإثبات أن حسابًا معينًا هو المبادر بالمعاملة. ببساطة، هذا مشابه لتوقيع على مستند، للإشارة إلى أنك توافق أو تدعم محتوى المستند.

ومع ذلك، هناك مشكلة سهلة التغاضي عنها في استخدام eth_sign، وهي ما يسمى "التوقيع الأعمى". عندما يقوم المستخدم باستخدام eth_sign لتوقيع رسالة، غالبًا ما لا يمكنه فهم المحتوى الذي يتم توقيعه تمامًا، ولا يمكنه التحقق من معنى التوقيع بشكل عكسي. وذلك لأن إدخال eth_sign هو سلسلة نصية أصلية، وليست في صيغة قابلة للقراءة من قبل البشر. إنه مثل التوقيع على عقد مكتوب بلغة غريبة، لذا يطلق عليه "التوقيع الأعمى".

أساليب التضليل الشائعة

بعد فهم مفهوم توقيع eth_sign والتوقيع الأعمى، يمكننا استكشاف المخاطر المحتملة وآليات الحماية.

نظرًا لأن eth_sign يمكن استخدامه لتوقيع أنواع مختلفة من الرسائل، بما في ذلك المعاملات وتعليمات العقود الذكية، فقد يقوم طرف ثالث ضار بإغواء المستخدمين لتوقيع رسالة يصعب فهمها، مما يؤدي إلى نقل الأصول. والأكثر خطورة، أنهم قد يقدمون رسالة تبدو غير ضارة ليوقع عليها المستخدم، ولكن في الواقع قد تكون هذه تعليمات تشغيل، وبمجرد التوقيع، سيتم نقل أصول المستخدم إلى حساب المهاجم.

تدابير الوقاية

في مواجهة هذا الوضع، كيف يمكننا حماية أنفسنا؟ قامت محفظة معروفة بترقية نظام إدارة المخاطر في الإصدار الجديد. عندما يقوم المستخدمون باستخدام DApp تابع لطرف ثالث لاستدعاء eth_sign لتوقيع الرسائل، ستظهر نافذة تحذير من المخاطر في المحفظة، لتنبه المستخدمين بأن المعاملة الحالية قد تحتوي على مخاطر محتملة، وتبدأ عد تنازلي لمدة 15 ثانية. يهدف هذا التصميم إلى إعطاء المستخدمين وقتًا كافيًا لتقييم ضرورة وأمان عملية التوقيع.

نصائح الأمان

يُذكّر خبراء الأمن الجميع:

1. كن حذرًا من جميع الطلبات التي تتطلب استخدام eth_sign للتوقيع، خاصة تلك التي تأتي من مصادر غير معروفة أو غير موثوقة. إذا كان لديك شكوك حول صحة الطلب أو غرضه، فلا توقع بسهولة.

2. تأكد من أن الرسائل أو طلبات المعاملات التي تتم معالجتها تأتي من قنوات موثوقة، مثل المواقع الرسمية أو وسائل التواصل الاجتماعي الرسمية أو قنوات الاتصال المعتمدة. لا تثق أبدًا في الروابط أو الرسائل أو المعلومات الخاصة التي تأتي من مصادر غير معروفة.

من خلال زيادة اليقظة واتخاذ تدابير أمان مناسبة، يمكننا حماية أصولنا الرقمية بشكل أفضل وتجنب أن نصبح ضحايا لتضليل التوقيع الأعمى.