Avertissement sur les risques du système de blind signing eth_sign : principes, méthodes et mesures de prévention

Récemment, les activités de fraude par eth_sign à l'aveugle se sont multipliées, de nombreux utilisateurs ont été incités à signer des signatures eth_sign apparemment inoffensives sur des sites inconnus, entraînant le vol de leurs actifs de portefeuille. Pour aider tout le monde à mieux comprendre le mécanisme de fonctionnement de ce type de fraude, il est nécessaire d'expliquer d'abord le concept de signature eth_sign.

Introduction à la signature eth_sign

Dans l'écosystème Ethereum, eth_sign est une méthode de signature largement utilisée, permettant aux utilisateurs de signer des messages avec leur clé privée. Ce mécanisme de signature est une composante importante des transactions sur la blockchain, car il peut prouver qu'un compte spécifique est l'initiateur de la transaction. En d'autres termes, cela ressemble à signer un document papier pour indiquer que vous êtes d'accord ou que vous soutenez le contenu du document.

Cependant, il existe un problème facilement négligé lors de l'utilisation de eth_sign, connu sous le nom de "signature aveugle". Lorsque l'on utilise eth_sign pour signer un message, l'utilisateur peut ne pas comprendre complètement le contenu de la signature et ne peut pas vérifier ce que représente réellement la signature. Cela est dû au fait que l'entrée de eth_sign est une chaîne brute, et non un format lisible par l'homme. C'est comme signer un contrat en langue étrangère que l'on ne comprend pas, c'est pourquoi on l'appelle "signature aveugle".

Méthodes de fraude courantes

Après avoir compris le concept de signature eth_sign et de signature aveugle, nous pouvons explorer les risques potentiels de eth_sign et comment prévenir ce type de fraude par signature aveugle.

Puisque eth_sign peut être utilisé pour signer divers types de messages, y compris des transactions et des instructions de contrat intelligent, des tiers malveillants peuvent inciter les utilisateurs à signer un message qu'ils ne comprennent pas entièrement, ce qui peut entraîner le transfert d'actifs. Plus grave encore, ils peuvent fournir un message apparemment inoffensif à faire signer par les utilisateurs, mais en réalité, cela peut être une instruction d'opération, et une fois signé, les actifs de l'utilisateur peuvent être transférés vers le compte de l'escroc.

Face à cette situation, comment devrions-nous nous protéger ? En réponse à ce type de fraude, un portefeuille bien connu a effectué une mise à jour de son système de gestion des risques. Lorsque les utilisateurs accèdent à un DApp tiers et appellent eth_sign pour signer un message, le portefeuille affichera une fenêtre d'alerte de risque, informant les utilisateurs que la transaction actuelle pourrait comporter des risques potentiels, et lancera un compte à rebours de 15 secondes. Ce design vise à donner aux utilisateurs suffisamment de temps pour évaluer la nécessité et la sécurité de l'opération de signature.

Conseils de sécurité

Les experts en sécurité rappellent à tous :

• Restez vigilant face à toutes les demandes utilisant eth_sign, en particulier celles provenant de sources inconnues ou non fiables. Si vous avez des doutes sur l'authenticité ou l'objectif de la demande, ne signez surtout pas à la légère.
• Assurez-vous que les messages ou demandes de transaction que vous traitez proviennent de canaux fiables, tels que le site officiel, les réseaux sociaux officiels ou des canaux de communication vérifiés. Ne croyez jamais aux liens, e-mails ou messages privés d'origine inconnue.

En restant vigilant et en renforçant notre conscience de la sécurité, nous pouvons mieux protéger nos actifs numériques et éviter de devenir victimes du piège du blind signing eth_sign. Dans le monde de la blockchain, la sécurité est toujours la priorité.