Miért mutat a tárcád olyan átutalást, amelyet soha nem indítottál: nullás tranzakciók és címmegmérgezés

Egy ismeretlen kimenő tranzakció nem jelenti automatikusan, hogy feltörték a tárcádat. Tudd meg, mit bizonyítanak valójában a nulla értékű bejegyzések, a megtévesztően hasonló címek és a tényleges eszközmozgások.

Mit bizonyít ez a bejegyzés a tárcámról?

Ha az előzményekben hirtelen az jelenik meg, hogy 0 USDT-t küldtél egy ismeretlen címre, ez önmagában nem bizonyítja, hogy valaki hozzáfért a privát kulcsodhoz. Egy harmadik fél létrehozhat bizonyos, a címedet feltüntető, nulla tokenes átutalási bejegyzéseket az aláírásod és a nullánál nagyobb összeg elköltésére vonatkozó engedélyed nélkül. A bejegyzés akkor is megjelenhet a blokkláncon, ha soha nem kezdeményezted a tranzakciót.

A hasznos kérdések pontosabbak: Melyik eszközről van szó? Valójában mennyi mozgott? Ki küldte be a tranzakciót? Mi engedélyezte a tényleges költést?

• Egy nulla összegű tokenesemény nem bizonyítja, hogy bármit aláírtál vagy elköltöttél. Valódi token esetén a pontosan nulla összeg azt jelenti, hogy az adott átutalás nem mozgatott tokeneket.
• Az ismerős tokennév alatt megjelenő átutalás nem azonosítja az eszközt. Egy független szerződés ugyanazt a nevet és szimbólumot használhatja.
• Egy parányi bejövő fizetés valódi lehet, miközben megtévesztő feladói címet ültet el az előzményeidben.
• Valódi eszközök igazolt, megmagyarázhatatlan kiáramlását ki kell vizsgálni. Ne hagyd figyelmen kívül csak azért, mert egy másik mezőben nulla szerepel.

Ez az útmutató az Ethereum, a BNB Smart Chain (BSC) és más, Ethereum-jellegű tokenszerződéseket használó hálózatokra vonatkozik. A példák szándékosan leegyszerűsített, kitalált bejegyzések, nem képernyőképek vagy egy konkrét tárcára vonatkozó megállapítások.

Először azonosítsd, melyik mezőben szerepel nulla

A nulla értékű tranzakció kifejezést több különböző dologra használják. Ezek közül csak az egyik jelenti azt, hogy a token mennyisége nulla:

• Tokenmennyiség: 0 USDC. A valódi USDC-szerződésnél a pontosan nulla összeg azt jelenti, hogy az adott átutalás nem mozgat USDC-t.
• Tranzakcióérték: 0 ETH. A fő tranzakcióhoz nem kapcsolódott ETH. Ettől még mozoghatnak tokenek, és végrehajtódhatnak szerződésműveletek.
• Becsült érték: $0.00. A felület fiatpénzben kifejezett értékbecslést mutat. Ez nem bizonyítja a token mennyiségét.

A BSC-n a natív érme mezőjében általában BNB szerepel ETH helyett. Egy nulla natív értékű szerződésinterakció is átutalhat tokeneket, módosíthat költési jogosultságokat vagy más műveleteket indíthat. A natív érték különbözik a tranzakció bemeneti adataitól.

Egy nagyon kis pozitív összeg $0.00-ra kerekedhet. A megbízható árfolyam nélküli eszközök fiatértékének megjelenítése is félrevezető lehet. Nyisd meg a tokenmennyiség teljes pontosságú megjelenítését: még a 0.00-ként mutatott tokenmennyiség is rejthet ennél kisebb pozitív összeget. A portfólió értékének változása nem megbízható nyilvántartása annak, hány egység érkezett a számlára vagy távozott onnan.

A nulla megengedett tokenmennyiség, ezért önmagában nem jelez támadást. A hasonló címek és másolt fizetési adatok viszont kivizsgálandó jelek.

Miért térhet el a két From mező?

A tárca előzményei több rétegből származó információkat egyesíthetnek:

1. A tranzakció: a hálózatnak beküldött, aláírt utasítás. Hagyományos Ethereum-tranzakció esetén a fő From mező az aláíró számlát azonosítja.
2. A tokenesemény: a szerződés által a végrehajtás során kibocsátott bejegyzés. A Transfer eseménynek saját From, To és összeg mezője van.
3. Az előzménysor: ahogy a tárca vagy a blokkláncböngésző bemutatja ezeket az adatokat. OUT címkét tehet egy eseményre, mert az a te címedet nevezi meg küldőként.

A két From mező nem felcserélhető. Ha a címed egy eseményben szerepel, az nem a tárcád aláírása. Egy rosszindulatú szerződés beírhatja a címedet az eseményadatokba, ettől azonban a napló nem a valódi tokenszerződésből származik. Ezért a kibocsátó szerződés az egyik legfontosabb bizonyíték.

Hasonlóképpen a tranzakcióhash egy tranzakciót azonosít, nem pedig a beleegyezésedet bizonyítja. A láncba felvett, Success állapotú tranzakció azt mutatja, hogy a külső végrehajtása nem állt vissza. Ez nem igazolja a tokent, a címzettet vagy a tranzakció célját.

Öt magyarázattal ellátott tranzakciótörténeti példa

1. példa: Kimenő nullás tokenátutalás, amelyet soha nem írtál alá

Előzménybejegyzés: OUT · 0 USDC · A címedről egy ismeretlen, megtévesztően hasonló címre.

• Tranzakció From: egy független számla küldte be a tranzakciót.
• Tokenesemény From: az esemény a te címedet nevezi meg.
• Eseményt kibocsátó tokenszerződés: az adott hálózat valódi USDC-szerződése.
• Pontos tokenmennyiség: nulla.

Mit bizonyít: a valódi tokenszerződés egy nulla tokenes átutalást rögzített, amely a te címedet jelöli meg. Ez az átutalás nem mozgatott USDC-t. Nem bizonyítja, hogy a tárcád aláírta a tranzakciót, hogy a hívó jogosult pozitív összeget elkölteni, vagy hogy ellopták a kulcsodat.

Hogyan lehetséges: az elterjedt ERC-20 tokenszabvány megköveteli, hogy a nulla összegű átutalások is Transfer eseményt bocsássanak ki. Sok megvalósításban a delegált átutalási függvény, a transferFrom ellenőrzi, hogy a kért összeg meghaladja-e a hívó engedélyezett keretét. A nulla nem nagyobb a nulla engedélynél. A szerződés többi szabályától függően így a hívás előzetes jóváhagyás nélkül is sikerülhet.

Ez nem általános garancia minden tokenre. Az egyes szerződések további korlátozásokat írhatnak elő.

Mit ellenőrizz ezután: vizsgáld meg a tranzakció többi részét. Egy nullás sor csak önmagát írja le; más műveletnek lehet eltérő hatása. Ha ez elszigetelt címmegmérgezési bejegyzés, gyanús költés vagy jogosultságváltozás nélkül, akkor a helyes lépés az elültetett cím kerülése, nem pedig a tárca automatikus lecserélése.

2. példa: Nagy tokenösszeget mutató hamis tranzakció

Előzménybejegyzés: OUT · 2,500 USDC · A címedről egy ismeretlen címre.

• Megjelenített tokenszimbólum: USDC.
• Kibocsátó szerződés: egy független szerződés, nem a valódi USDC.
• Bejelentett eseményösszeg: 2,500.
• Valódi USDC mozgása ebben a tranzakcióban: semennyi.

Mit bizonyít: egy másik szerződés USDC címkével megjelenített bejegyzést bocsátott ki. Ez nem bizonyítja, hogy 2,500 valódi USDC távozott a számládról.

A tárcában látható hamis tranzakció valódi blokkláncadat lehet félrevezető értelmezéssel. A támadók lemásolhatják egy token nevét és szimbólumát, és olyan eseményeket bocsáthatnak ki, amelyek korábbi fizetéseidre, akár azok összegére is hasonlítanak. A nem szabványos szerződések olyan átutalási rekordokat is kibocsáthatnak, amelyek nem felelnek meg saját egyenlegváltozásaiknak.

Mit ellenőrizz ezután: azonosítsd a hálózatot és az eseményt kibocsátó pontos szerződéscímet. Vesd össze a címet a kibocsátó adott hálózatra vonatkozó, függetlenül beszerzett szerződésadataival. Az ismerős ticker, logó vagy forráskód-ellenőrzési jelzés nem elegendő a kibocsátó azonosítására.

3. példa: Apró valódi befizetés egy megtévesztően hasonló címről

Előzménybejegyzés: IN · 0.000001 USDC · Egy ismeretlen címről a te címedre.

Tegyük fel, hogy a valódi tokenszerződés megerősíti az átutalást, és a tokenegyenleged valóban nő ezzel az apró összeggel. Ebben az esetben valódi tokenek érkeztek. A fogadásukhoz nem kellett jóváhagynod a küldőt, és ettől a küldő nem kap költési jogosultságot.

A csapda a címben rejlik. Nézd meg ezeket a kitalált példákat: a karaktereket szóközökkel csoportosítottuk, hogy mindegyik látható legyen. A valódi címekben nincsenek szóközök; a félkövér középső csoportok különböznek:

Ellenőrzött címzett: 0x7a2f 1111 2222 3333 4444 5555 6666 7777 8888 9c4d

Elültetett cím: 0x7a2f aaaa bbbb cccc dddd eeee ffff 0000 1111 9c4d

Egy csak az elejét és a végét mutató felület mindkettőt így jelenítheti meg: 0x7a2f...9c4d.

Mit bizonyít: valaki kis összeget küldött neked erről a címről. Ez nem bizonyítja, hogy a küldő a szokásos címzetted vagy egy általad ellenőrzött számla. A látható karakterek egyezése nem igazolja a tulajdonjogot.

Mit ellenőrizz ezután: szerezd be a tervezett célcímet külön ellenőrzött kapcsolattól vagy a címzett megbízható fiókoldaláról. Hasonlítsd össze a teljes címet. A címmegmérgezés célja, hogy egy elültetett előzménybejegyzést válassz ki későbbi fizetéskor. A veszteség később történhet meg, amikor teljesen érvényes átutalást engedélyezel rossz célcímre.

4. példa: Nulla ETH, mégis 2,500 valódi token távozik

Tranzakciófejléc: Value · 0 ETH.

• A híváshoz csatolt natív érték: 0 ETH.
• Valódi tokenátutalás: 2,500 USDC a címedről.
• A tranzakció okozta USDC-egyenlegváltozás: 2,500 USDC csökkenés.
• Végrehajtási állapot: Success.

Mit bizonyít: ebben a példában valódi USDC távozott. A nulla a híváshoz kapcsolódó ETH-ra vonatkozik, nem az USDC-átutalásra, és a gasdíjakat sem zárja ki.

Mi marad ismeretlen: miért történt a fizetés, és szándékos volt-e. Lehet swap, befizetés, ütemezett művelet, rossz címre küldött fizetés vagy jogosulatlan költés. Mielőtt besorolod, vesd össze a végrehajtott művelettel és az eredetileg tervezett célcímmel.

5. példa: Valódi tokenek távoznak, de másik számla küldte be a tranzakciót

Előzménybejegyzés: OUT · 500 valódi USDC · Ismeretlen célcím.

Tegyük fel, hogy a sikeres tranzakció 500-zal csökkentette a valódi USDC-egyenlegedet, miközben a fő From mezőben valaki más szerepel.

Mit bizonyít: a tokenek elmozdultak. Az eltérő tranzakcióküldő nem teszi hamissá ezt a mozgást.

Egy korábban jóváhagyott költő a tokenengedélyt felhasználva minden egyes levonás előtt kért új aláírás nélkül költhet. Egyes tokenek permit aláírást is támogatnak, amely aláírt üzenettel engedélyez költési keretet, és ezt másik fél nyújthatja be. Az okosszámlák és delegált tárcák további lehetőségeket adnak arra, hogy más küldjön be engedélyezett műveletet.

Mit ellenőrizz ezután: nézd meg a költő címét, a vonatkozó engedélyt vagy aláírt jogosultságot és a tárcaműveletet. Ha a levonás továbbra is megmagyarázhatatlan, kezeld biztonsági incidensként. A bizonyíték káros jóváhagyásra, megtévesztő aláírásra vagy a fiók feletti irányítás elvesztésére utalhat; önmagában a sor nem különbözteti meg ezeket.

Közvetlenül aláírt hagyományos tranzakciónál, ha a fő From mezőben a te címed szerepel, az az adott számlához tartozó érvényes aláírás bizonyítéka. Attól még nem bizonyítja, hogy értetted a műveletet, ezt a címzettet akartad, vagy személyesen indítottad. Egy tokenesemény From mezője ennél sokkal gyengébb bizonyíték.

Mit mért valójában a 270 millió címmegmérgezési kísérletről szóló kutatás?

Az Ethereum és a BSC 2022. július 1. és 2024. június 30. közötti, kétéves tevékenységét elemző tanulmány körülbelül 270 millió, 17 millió címet célzó mérgező átutalási rekordot azonosított.

A rekordok három kategóriába estek:

• 147.7 millió nulla értékű átutalás.
• 118.4 millió hamisított tokenátutalás.
• 4.0 millió parányi átutalás.

Ezek a rekordok körülbelül 18.2 millió tranzakcióban szerepeltek, mivel a támadók több rekordot is összecsomagolhatnak. A megcélzott címek száma nem azonos az emberek, a feltört tárcák vagy a tényleges kárt szenvedett áldozatok számával.

Az elemzés 6,633 sikeres, összesen legalább $83.8 millió értékű kifizetést azonosított. Egyes áldozatok többször is fizettek. A felismerés kiválasztott stabilcoinokra összpontosított, ezért a becsült veszteség e körön belüli alsó korlát, nem az összes token és lánc teljes kára.

A gyakorlati tanulság az, hogy a kizárólag nullás összegeket kereső ellenőrzés a támadások jelentős részét elmulasztja. A hamisított bejegyzések értelmesnek tűnő fizetést utánozhatnak, és egy apró beérkező átutalás valódi tokeneket mozgathat, miközben veszélyes címet ültet el.

Hogyan vizsgáld meg a saját ismeretlen bejegyzésedet?

1. Nyisd meg a tranzakciót a megfelelő hálózaton. Használd a tárcád blokkláncböngésző-opcióját vagy egy ismert böngészőt, például az Etherscant vagy a BscScant. Ellenőrizd a tranzakció állapotát. A nyilvános tranzakciós adatok megtekintéséhez nem kell csatlakoztatnod a tárcát, tokent jóváhagynod, üzenetet aláírnod vagy megadnod a helyreállítási kifejezést.
2. Azonosítsd a tényleges eszközt. Különböztesd meg a natív ETH-t vagy BNB-t egy ilyen nevű tokentől. Tokenek esetén ellenőrizd a pontos hálózatot és a kibocsátó szerződést egy megbízható kibocsátói forrás alapján.
3. Olvasd le az összeget teljes pontossággal. Válaszd külön a tokenmennyiséget, a natív tranzakcióértéket és a fiatpénzben becsült értéket.
4. Különítsd el a tranzakció és az esemény küldőjét. Okosszámla esetén vizsgáld meg a tárcaműveletet és az engedélyeket is. Az, hogy valaki más fizette a gasdíjat, nem bizonyítja, hogy a vagyonod nem mozdulhatott el.
5. Vizsgáld meg az egész tranzakciót. Nézd át az összes tokenmozgást, natívérme-átutalást és releváns jogosultságváltozást. Ha a böngésző tranzakciószintű egyenlegváltozásokat mutat, ezekkel egyeztesd az eredményt. A mai változatlan egyenleg gyengébb bizonyíték: későbbi befizetések vagy ellentétes irányú átutalások elfedhetik a korábbi mozgást.
6. Ellenőrizd függetlenül a célcímet. Használd a címzett megbízható fizetési adatait vagy egy korábban ellenőrzött címjegyzék-bejegyzést. A friss előzménysor vizsgálandó adat, nem bizonyíték a helyes célcímre.

Ha a blokkláncböngészőből nem egyértelmű az eredmény, add meg a tárcaszolgáltató hivatalos ügyfélszolgálatának a hálózatot és a nyilvános tranzakcióhash-t. Írd le, milyen műveletre számítottál, ha egyáltalán volt ilyen. Ezzel a tárcád feletti ellenőrzést biztosító titkok kiadása nélkül lehet megkülönböztetni a szokatlan, de szándékos műveletet a megmagyarázhatatlan költéstől.

Mit tegyél az ellenőrzés után?

Ha csak egy elszigetelt címmegmérgezési bejegyzést találtál

Ha a tárcád támogatja, rejtsd el vagy jelentsd spamként a bejegyzést, és ne használd a benne szereplő címeket. Egy sor elrejtése csak a felületet módosítja; nem törli a blokklánc előzményeit és nem von vissza jogosultságokat.

Nullás átutalás nulla engedélyezett kerettel is történhet, ezért a bejegyzés önmagában nem ok minden jóváhagyás visszavonására vagy az összes pénz áthelyezésére. Lehet, hogy nincs is a rekordhoz kapcsolódó költési engedély, amit vissza lehetne vonni. Soha ne használd egy token reklámozott weboldalát vagy idegen helyreállítási hivatkozását a tárcád „kitisztítására”.

Ha gyanús költési jogosultságot találtál

A tárcád megbízható engedélykezelő funkciójával vizsgáld meg és vond vissza az érintett keretet. Egy weboldal leválasztása a tárcádról nem vonja vissza a már meglévő láncon rögzített tokenjóváhagyásait. A visszavonás csak az adott engedélyt kezeli; az ellopott privát kulcsot nem teszi ismét biztonságossá.

Ha valódi eszközök távoztak a szándékod ellenére

Őrizd meg a tranzakcióhash-t, a hálózatot, az érintett eszköz nevét és a kapcsolódó címeket. Vizsgáld át a legutóbbi aláírásokat, jóváhagyásokat és tárcaműveleteket hivatalos támogatási csatornák segítségével.

Ha bizonyíték van arra, hogy a helyreállítási kifejezésed vagy privát kulcsod illetéktelenekhez került, megbízható eszközön hozz létre új tárcát új helyreállítási kifejezéssel, és körültekintően tervezd meg a megmaradt eszközök áthelyezését. A kompromittált kifejezésből származtatott újabb számla nem szünteti meg a kitettséget. Ha az alapok automatikusan eltűnnek, ne tölts fel újra és újra gasra szánt pénzt: egy automatikus kiürítő program elviheti.

Ha tudatosan írtál alá egy fizetést, de mérgezett célcímet másoltál be, dokumentáld ezt a különbséget. Az átutalás lehet szabályosan aláírt és végrehajtott, miközben rossz címzetthez érkezik. Ez önmagában nem bizonyítja a privát kulcs ellopását.

Gyakori kérdések az ismeretlen tranzakciókról

A támadó velem fizettette ki a gasdíjat?

A szokásos címmegmérgezési helyzetben a támadó küldi be a tranzakciót, és ő fizeti a hálózati díjat. A címed puszta feltüntetése egy tokeneseményben nem terheli meg a számládat. A szponzorált tranzakciók és az okosszámlák miatt azonban önmagában a díjfizető személye nem bizonyítja, hogy a művelet ártalmatlan volt. Ellenőrizd a tényleges hatásokat.

Mi történik, ha a tranzakció sikertelen volt?

Egy visszavont tokenátutalás nem vitte véghez azt az átutalást, bár gasdíjat így is felszámíthatnak. Ha a tárca számladelegálást használ, azt külön is ellenőrizd: az Ethereum megőrizheti a delegálást akkor is, ha a későbbi végrehajtás meghiúsul. Egy ismeretlen delegálást érdemes kivizsgálni.

Megvéd a hardvertárca a címmegmérgezéstől?

Egy további helyet biztosít a célcím ellenőrzésére az aláírás előtt. Nem teszi helyessé a támadó által ellenőrzött címet, ha jóváhagyod azt. Hasonlítsd össze a megbízható aláíróeszköz képernyőjén a teljes címet a függetlenül ellenőrzött címzetti adatokkal.

Megakadályozhatom, hogy idegenek ilyen bejegyzéseket adjanak hozzá?

Általában nem akadályozhatod meg, hogy harmadik felek eszközöket küldjenek egy nyilvános címre, vagy hozzá kapcsolódó bejegyzéseket hozzanak létre. A tárcák és blokkláncböngészők szűrői csökkenthetik a látható rekordok számát. Mentsd el az ellenőrzött címzetteket, és fizetés előtt nézd át a teljes célcímet; a nulla értékű bejegyzések elrejtése önmagában nem szűri ki az összes hamis tokenes vagy apró átutalásos változatot.