FX168财经网_全球视野外汇黄金加密货币NFT资讯网

一茬接一茬 | Web3.0移动钱包又现独特钓鱼攻击手法：Modal Phishing

iK对移动钱包的安全研究中，我们注意到Web3.0货币钱包的某些用户界面（UI）元素可以被攻击者控制用来进行网络钓鱼攻击。我们将这种钓鱼技术命名为Modal Phishing，因为攻击者主要针对加密钱包的模态窗口进行钓鱼攻击。模态（或模态窗口）是移动应用程序中经常使用的UI元素。模态通常显示在应用程序主窗口顶部。这样的设计通常用于方便用户执行快速操作，如批准/拒绝Web3.0货币钱包的交易请求。 Web3.0货币钱包上的典型模态设计通常提供供用户检查签名等请求的必要信息，以及批准或拒绝请求的按钮。真实交易批准模式与网络钓鱼交易批准模式对比在上方截图中，我们展示了Metamask上一个常规的交易审批模态窗口是如何出现的。当一个新的交易请求被连接的去中心化应用程序（DApp）初始化时，钱包会展示一个新的模态窗口，并要求用户进行人工确认。如上图左侧所示，模态窗口通常包含请求者的身份，如网站地址（此例中为localhost）、图标等。如Metamask这样的一些钱包也会显示有关请求的关键信息，在实例中我们看到一些UI元素被标记为“Confirm”，以提示用户这是一个常规的交易请求。然而，这些用户界面元素可以被攻击者控制以进行Modal Phishing攻击。在右侧的截图中，我们可以看到攻击者可以更改交易细节，并将交易请求伪装成来自“Metamask”的“Security Update”请求，以诱使用户批准。如截图所示，攻击者可以操纵多个UI元素。因此我们将在本文中为大家分享两个典型案例，并确定那些可被攻击者控制的UI元素。详细信息如下： ① 如果使用Wallet Connect协议，攻击者可以控制DApp信息UI元素（名称、图标等）。 ② 攻击者可以控制某些钱包应用中的智能合约信息UI元素。攻击者控制的Modal和相关的信息源（DApp信息和方法名称）示例示例①：通过Wallet Connect进行DApp钓鱼攻击 Wallet Connect协议是一个广受欢迎的开源协议，用于通过二维码或深度链接将用户的钱包与DApp连接。用户可以通过Wallet Connect协议将他们的钱包与DApp连接起来，然后与该协议进行进行交易或转账。在Web3.0货币钱包和DApp之间的配对过程中，我们注意到Web3.0货币钱包会展示一个模态窗口，显示传入配对请求的元信息——包括DApp的名称，网站地址，图标和描述。Web3.0钱包展示的这些信息和方式根据DApp名称、图标和网站地址不同而变化，以供用户查看。但是这些信息是DApp提供的，钱包并不验证其所提供信息是否合法真实。比如在网络钓鱼攻击中，某雷碧可以假称为某雪碧（均为DApp），而后在用户发起交易请求之前诱骗用户与其连接。小伙伴们可以复制链接【https://www.youtube.com/watch?v=x6muJmDBC3o】到浏览器查看CertiK为此做的一个小测试。在该视频中，CertiK展示了攻击者是如何「欺瞒」Uniswap DApp的——攻击者声称自己是Uniswap DApp，并连接Metamask钱包，以此欺骗用户批准传入的交易。在配对过程中，钱包内显示的模态窗口呈现了合规Uniswap DApp的名称、网站网址和网站图标。由于网址中使用了https方案，所以还显示了一个挂锁图标，这样显得模态窗口更为逼真和合法了。在配对过程中，只要受害者想在假Uniswap网站上进行交易操作，攻击者就可以替换交易请求参数（如目的地地址和交易金额）来窃取受害者的资金。请注意，虽然不同的钱包上的模态设计不同，但攻击者是始终可以控制元信息的。下图展示了当我们将ZenGo和1Inch钱包连接到钓鱼网站的DApp时，配对批准模式的样子。 Modal Phishing：连接到Zengo和1Inch钱包的虚假DApp 现在我们知道了配对和交易模态窗口可以被攻击者操纵，这样的攻击可以被用来让用户相信交易请求来自合法的DApp。如下方截图所示，我们创建了一个自称是“Metamask”的虚假DApp，并启动了一个钓鱼智能合约。攻击者可以在交易批准模态中冒充Metamask或Uniswap的DApp。如上例所示，被大规模使用的Wallet Connect协议并未验证配对的DApp信息的合法性。被操纵的元信息被钱包应用程序进一步使用并呈现给用户，这可以被用来进行Modal Phishing。作为一个潜在的解决方案，Wallet Connect协议可以提前验证DApp信息的有效性和合法性。Wallet Connect的开发人员已经承认了知晓这个问题，并正在研究相关解决方案。示例② ：通过MetaMask进行智能合约信息网络钓鱼你可能已经注意到，在Metamask批准模态的图标或网站名称下，有另一个视图，显示了一个不固定的字符串例如“Confirm”或“Unknown Method”。这个UI元素是由Metamask设计的，用于识别相应的交易类型。在呈现交易批准模态时，Metamask会读取智能合约的签名字节，并使用链上方法注册表查询相应的方法名称，如以下代码所示。然而，这也会在模态上创建另一个可以被攻击者控制的UI元素。 MetaMask源码通过签名字节读取智能合约的函数名称 MetaMask的智能合约方法名称说明我们可以看到Metamask上有一个交易请求模态，其被标记为“Security Update”。攻击者建立了一个钓鱼智能合约，其有一个SecurityUpdate具备支付函数功能，并允许受害者将资金转入该智能合约。攻击者还使用SignatureReg将方法签名注册为人类可读的字符串“SecurityUpdate”中。如前所述，当Metamask解析这个钓鱼智能合约时，它使用函数签名字节查询相应的函数方法，并在批准模态中呈现给用户。从这个智能合约的交易可以看出，这个特定的钓鱼智能合约已经运行了200多天。钓鱼交易批准模态在上面的例子中，我们展示了钱包上与智能合约信息相关的UI元素是如何被钓鱼攻击者操纵的。虽然我们在这里以Metamask为例，但其他钱包也可能存在类似的漏洞。钱包应用的开发者应该时刻注意监测那些会向用户呈现的内容，并采取预防措施过滤掉可能被用于网络钓鱼攻击的词语。写在最后在本文中，我们为大家展示了Web3.0货币钱包上不应盲目信任的常见UI组件——模态窗口。模态窗口中的某些UI元素可以被攻击者操纵，以创造出非常「真实且有说服力」的钓鱼陷阱。因此，我们将这种新的网络钓鱼技术命名为Modal Phishin（模态钓鱼攻击）。这种攻击发生的根本原因是钱包应用程序没有彻底验证所呈现的UI元素的合法性。例如，钱包应用程序直接信任来自Wallet Connect SDK的元数据，并将其呈现给了用户。 Wallet Connect SDK也并不验证传入的元数据，这在某些情况下使得呈现的元数据可以被攻击者控制。在Metamask中，我们可以看到类似的攻击原理也被攻击者滥用，在模态窗口中显示欺诈性的智能合约函数方法名称。总体而言，我们认为钱包应用程序的开发者应该始终假设外部传入的数据是不可信的。开发者应该仔细选择向用户展示哪些信息，并验证这些信息的合法性。除此之外，用户也应通过对每个未知的交易请求保持怀疑的态度来守好自己安全上的「一亩三分地」。来源：金色财经

金色财经2023-04-20

4月20日午盘主力巨资出逃四大板块(附股)

中原传媒 10.03% 22:25 web3.0 2.46% 146261.3 蓝色光标 18.74% 12:15 eSIM 2.44% 30673.8 澄天伟业 5.97% 7:8 元宇宙 2.38% 312587.05 蓝色光标 18.74% 47:57 虚拟数字人 2.28% 203074.5 蓝色光标 18.74% 18:24 数据要素 2.26% -69.95 德生科技 7.28% 16:18 华为HMS 2.21% 85715.36 掌阅科技 9.46% 19:21 VPN 2.16% 132160.19 启明星辰 6.88% 19:22 东数西算 2.12% 197135.38 城地香江 10.01% 26:41 信创产业 1.96% 214249.79 万兴科技 8.52% 30:38 大数据中心 1.93% 177944.3 剑桥科技 8.4% 29:38 电子身份证 1.84% 17395.14 远方信息 5.07% 12:13 Facebook 1.73% 135180.38 蓝色光标 18.74% 6:10 激光雷达 1.72% 39583.06 福晶科技 10.0% 7:11

金融界2023-04-20

4月20日午盘两市板块龙虎榜排名(名单)

中原传媒 10.03% 22:25 web3.0 2.46% 146261.3 蓝色光标 18.74% 12:15 eSIM 2.44% 30673.8 澄天伟业 5.97% 7:8 元宇宙 2.38% 312587.05 蓝色光标 18.74% 47:57 虚拟数字人 2.28% 203074.5 蓝色光标 18.74% 18:24 数据要素 2.26% -69.95 德生科技 7.28% 16:18 华为HMS 2.21% 85715.36 掌阅科技 9.46% 19:21 VPN 2.16% 132160.19 启明星辰 6.88% 19:22 东数西算 2.12% 197135.38 城地香江 10.01% 26:41 信创产业 1.96% 214249.79 万兴科技 8.52% 30:38 大数据中心 1.93% 177944.3 剑桥科技 8.4% 29:38 电子身份证 1.84% 17395.14 远方信息 5.07% 12:13 Facebook 1.73% 135180.38 蓝色光标 18.74% 6:10 激光雷达 1.72% 39583.06 福晶科技 10.0% 7:11

金融界2023-04-20

Web3引领全球热潮—宴莱科技做Web3项目包装孵化的引领者

区块链技术的不断发展，元宇宙、NFT、Web3.0等区块链技术成为了国内乃至世界的“新宠”，在文化产业领域，譬如音乐、美术、影视、旅游等领域更是一马当先积极参与。宴莱科技作为集资讯内容、媒体文章、视频制作、空中课堂、项目品牌策划与包装孵化和区块链技术落地应用于一体的生态平台，乐于参与到这片新的蓝海中去。宴莱科技通过丰富自身平台的资源，秉承技术驱动创新理念，致力于为区块链创业者提供品牌构建、资源公关、技术开发三位一体的全面支持，涉及DeFi、NFT、GameFi、Web3.0、DAO、元宇宙等多维度前沿创新赛道，业务领域辐射全球。宴莱科技专注项目包装孵化，宴莱科技作为区块链策划孵化平台，对数字经济有着深度的影响，在技术和资本的双重加持下，引领数字经济高速发展，助力数字经济成为世界经济的头部力量！宴莱科技凭借其产业资源优势和专业的投研团队，全力发挥投资孵化服务优势，成功把握住行业脉搏，集策划、包装、孵化、技术开发于一体，为优质项目提供一站式服务。同时宴莱科技整合了10000+海内外媒体，注重品牌的包装和推广，提供高效、优质、实惠的包装孵化服务！宴莱科技发挥本身以及高质量顾问团队的价值，致力于辅助各行业和机构资源共享。宴莱科技将区块链承载价值和传递价值的功能发挥到极致，打造数字经济新高地，构建区块链发展新未来，为创造更美好的世界做出贡献！香港Web3时代的盛世即将开启，宴莱科技也将联合更多的Web3企业助力产业创新及落地。Hong Kong Web3 Festival2023 仅仅是一个开始，一场引领Web3的变革正在东方酝酿！来源：金色财经

金色财经2023-04-20

4月20日早盘主力巨资出逃四大板块(附股)

76 中际旭创 4.96% 7:10 web3.0 1.82% 43712.17 蓝色光标 17.59% 11:15 大基金二期 1.74% 172195.64 深南电路 8.36% 18:22 元宇宙 1.66% 43752.95 蓝色光标 17.59% 41:57 Facebook 1.66% 54132.93 蓝色光标 17.59% 4:10 虚拟数字人 1.62% 42805.51 蓝色光标 17.59% 17:24 大基金概念 1.58% 172449.83 深南电路 8.36% 19:24 快手概念股 1.43% 39460.89 蓝色光标 17.59% 6:11 电子身份证 1.4% 12400.26 远方信息 4.19% 11:13 WIFI6 1.37% 142040.43 剑桥科技 8.17% 16:21 华为海思概念 1.34% 70207.41 芯源微 9.74% 15:26 TMT 1.33% 316745.22 蓝色光标 17.59% 56:86 数据要素 1.31% -16347.57 思特奇 4.95% 15:18

金融界2023-04-20

4月20日早盘两市板块龙虎榜排名(名单)

76 中际旭创 4.96% 7:10 web3.0 1.82% 43712.17 蓝色光标 17.59% 11:15 大基金二期 1.74% 172195.64 深南电路 8.36% 18:22 元宇宙 1.66% 43752.95 蓝色光标 17.59% 41:57 Facebook 1.66% 54132.93 蓝色光标 17.59% 4:10 虚拟数字人 1.62% 42805.51 蓝色光标 17.59% 17:24 大基金概念 1.58% 172449.83 深南电路 8.36% 19:24 快手概念股 1.43% 39460.89 蓝色光标 17.59% 6:11 电子身份证 1.4% 12400.26 远方信息 4.19% 11:13 WIFI6 1.37% 142040.43 剑桥科技 8.17% 16:21 华为海思概念 1.34% 70207.41 芯源微 9.74% 15:26 TMT 1.33% 316745.22 蓝色光标 17.59% 56:86 数据要素 1.31% -16347.57 思特奇 4.95% 15:18

金融界2023-04-20

【机构调研记录】淳厚基金调研美好医疗、吉宏股份等3只个股（附名单）

有NFT图案的实物商品后，公司将会通过web3.0钱包赠予消费者一份与其所购买商品相对应的、独一无二的NFT，赠与后该NFT所有权归属于消费者，其数字资产可在公链ploygon官网上进行查询，消费者亦可在交易平台上对其进行转赠、售卖。 3）天赐材料（证券之星综合指标：3.5星；市盈率：17.19）个股亮点：公司主营产品包含布局六氟磷酸钠，2022半年报披露，在建年产5万吨氟化氢、年产2.5万吨电子级氢氟酸，另有年产6万吨双氟磺酰亚胺装置在建中；宁德时代供应商；公司目前与宁德时代有业务往来，为公司电解液主要客户之一；20年11月，全资子公司九江天赐与特斯拉签署合同，向特斯拉供应锂离子电池电解液产品。淳厚基金成立于2018年，截至目前，资产规模(全部)313.29亿元，排名94/197；资产规模(非货币)313.28亿元，排名84/197；管理基金数42只，排名101/197；旗下基金经理8人，排名117/197。旗下最近一年表现最佳的基金产品为淳厚信睿混合A，最新单位净值为1.92，近一年增长15.47%。旗下最新募集产品为淳厚添益债券A，类型为债券型-混合债，集中认购期2023年4月3日至2023年4月24日。以上内容由证券之星根据公开信息整理，与本站立场无关。证券之星力求但不保证该信息（包括但不限于文字、视频、音频、数据及图表）全部或者部分内容的的准确性、完整性、有效性、及时性等，如存在问题请联系我们。本文为数据整理，不对您构成任何投资建议，投资有风险，请谨慎决策。

证券之星2023-04-20

金色Web3.0日报 | 特朗普将推出新系列个人NFT收藏品

金色财经推出《金色Web3.0日报》，为您提供最新、最快的游戏、DeFi、DAO、NFT和元宇宙行业新闻。

金色财经2023-04-19

去中心化社交网络的时代已经到来 GetChat也在这场产业变革中力挽狂澜

0世界上，为所有的网络公民构建一个通向Web3.0的门户。 GetChat是一个帮助用户从Web 2.0无缝过渡到Web 3.0的去中心化社交流量聚合平台，为用户提供一个免费、简易又安全可靠的通讯应用程式。其提供的主要功能是去中心化链上信息传输，并围绕着这一功能不断发展，GetChat倡导用户珍视自己的隐私数据，个人资产并将信息数据主权归还给用户。 GetChat建了一个去中心化的应用程序生态系统，为用户搭建了一个连接Web 2.0（现有互联网）和Web 3.0（新型开放的互联网）的桥梁。致力于解决当前加密世界中更加迫切的用户需求，提供连接互联网和Web3.0 世界的解决方案，让普通人轻松用上 Web3.0功能。 GetChat的核心文化战略定位：基于Web3打造由用户掌控的去中心化协议加密社交网络平台核心理念：倡导用户珍视自己的隐私数据，个人资产并将信息数据主权归还给用户。战略目标：成为全球领先的去中心化协议加密社交网络平台，让WEB3.0的价值回归每一位创造者。价值观：自治、透明、对等、包容、自由、平等互惠。 GetChat的核心团队 GetChat拥有一支来自世界各地的精英团队。现有专职创业团队成员10余人，核心成员包括技术极客、早期加密风投基金成员、亚太加密社区成员、社交媒体专职运营成员，团队成员有过多次社交领域和区块链加密领域成功创投经历，具备较宽的行业知识面和较广的视野，更具备对大众用户敏锐的心理洞察能力，善于捕捉用户需求，还具备很强的创意与用户体验设计能力，在加密技术研发、社交媒体运营及服务拥有丰富的经验。 GetChat将实现的生态系统 ●GetChat团队将自主开发的功能：包括链上信息（个人/群聊）、GetChat 钱包、加密会议室、GetChat Swap、GetChat 公链、Web 3.0资产展示（GetChat NFT marketplace和NFT头像）等； ●可使用的区块链Layer1/Layer2：包括以太坊主网（Ethereum Mainnet）、Polygon（Matic）、币安智能链（Binance Smart Chain）、波场（TRX）、Arbitrum等； ●将接入第三方DApps：如UniSwap 、PancakeSwap、JSwap、OpenSea等，涵盖DeFi、NFT及更广阔的Web 3.0世界； ●将对 Web 2.0社交/媒体网站连接支持：Twitter、Facebook、WeChat、Telegram、Tik Tok等； ●将对交易/数据信息支持：CoinMarketCap、非小号和AVE.ai、Binance、Coinbase等。 GetChat在达到一定的粉丝流量后，开始GetChat公链的研发以及上下游产业链业务进行拓展，让GetChat更全面发展。并推出GetChat DAO，社区用户可以进行策略的上架与下架投票，共同推动GetChat的生态发展。同时，培训更多优质人才，并在全球多个国家和地区推出独立的社交业务和运营中心，为超过130个国家百万级用户提供优质服务，吸引更多用户参与，不断扩大市场占有率，大幅提升平台流量及品牌影响力。 GetChat的推出不仅实现了去中心化加密聊天，保护了我们的隐私，还可一键查看最新行情、最新区块链资讯、实现最安全的区块检测、最安全的数字存储。拥有GetChat，实现轻松玩转币圈。所以，你Get到了吗？来源：金色财经

金色财经2023-04-19

拓展全球市场——SNARK全球路演新西兰•奥克兰站即将震撼开启

pto精英联合代码极客组织共同维护，以Web3.0核心技术为底层架构，结合DeFi金融与以太坊理论开发出的以太坊2.0生态网络。 SNARK在ETH基础上无缝衔接POS版的ETH，结合DPOS共识机制，通过全新的POS+DPOS共识机制，凝聚原来ETH公链网络的算力，在全球各地建立云算力中心。通过算力增长与共识机制升级推动SNARK网络的安全提升，并与ETH链上的DAPP无缝接入，相互通信，真正实现互操作，提升网络可扩展性能，完成SNARK的应用落地，吸引更多开发者来SNARK生态网络中部署应用。 SNARK取代传统金融领域中的特权机构，使用户以更低的成本享受到金融服务，并且提升整个金融体系的运行效率，降低运行成本。从团队资历到技术集合，无不体现区块链当前先进技术的集合。因此，SNARK承载了大家对区块链前进的重要期待，其使命不仅仅是以太坊公链自身性能的提高，还有对区块链如何更好地发展的探索。在以太坊基础上，SNARK实现了怎样的升级？ SNARK并非是对现有网络的升级，而是完全革新以太坊的共识系统，对网络的底层协议作出更大改变，最重要的一点就是要从原来的POW共识机制升级到POS共识机制，并结合了DPOS共识机制。在 POW 共识机制下，以太坊只有一条最长的链作为主链，而SNARK网络则拥有一条信标链和1024 条分片链，以实现扩容。这些不同的分片链可以互相通信，并统一由主链信标链进行控制和验证。SNARK更新整体跨度的时间比较久，技术创新度高且难度大，需要更多节点与技术团队不断加入。SNARK将成为ETH2.0超级节点(分片链）之一，并协同完成ETH的全面升级。在SNARK生态网络中，分片将导致以太坊被分割成95条独立的链，这些链之间并行运行并实现无缝互操，这意味着在SNARK生态网络中不会出现像以太坊系统中的数据历史中断的现象。并且，SNARK未来价值锚定ETH，即ETH持有者也将不必在ETH和SNK代币之间进行任何形式的代币转移或交换；相反，他们将能够在SNARK继续使用手中的ETH，在操作上没有额外的步骤，也不会有原有ETH作废的风险。 SNARK的推出，可以将以太坊网络处理交易的能力提高一千倍。会推动区块链扩容技术向前发展，不断达到商用的标准。据官方消息，SNARK已获得了加拿大 Hut 8 Mining、嘉楠（CAN）科技、Marathon Patent 、 Riot Blockchain 、 HIVE Blockchain 、美国 Dialog Semiconductor 、Northern Data、miningcity 八大知名机构的联合投资并加盟。初期投入1.5亿美金，用于搭建SNARK云算力服务器集群及超算中心（建成后全球最大的超算中心之一），建成后可以稳定提供亿万级别算力。首轮资金已使用 8000万美金。后期，将在全球24国家地区搭建成了60 P的SNARK云算力服务器。据悉，SNARK已于2022年第二季度开始全球洲际俱乐部与科技服务中心及云算力中心的建设，预计至2023年第四季度逐步完成8大洲际俱乐部与12科技服务中心的建成，2024年全面建成8大洲际俱乐部与 24个科技服务中心，并于2026年完成云算力服务器集群及超算中心的搭建，实现全球194个国家算力业务的全覆盖，实现存储数据第一，参与人数第一，服务器总数第一。 SNARK生态网络，全面的将区块链与金融无缝衔接，不仅为区块链提供了更加全面的投资方案策略，也为传统互联网金融打开了新转型、新升级的时代大门。在应用领域细分、用户习惯碎片化的今天，SNARK的出现，既是洞察市场后的结果导向，也是顺应时代发展的必然趋势，必将开启数字经济发展新纪元。来源：金色财经

金色财经2023-04-19

24小时热点