Atenção aos riscos de segurança da assinatura eth_sign: Análise dos princípios e sugestões de prevenção

Recentemente, têm ocorrido frequentemente eventos de segurança relacionados à assinatura eth_sign, e muitos usuários foram induzidos a realizar operações de assinatura eth_sign que pareciam inofensivas em alguns sites desconhecidos, resultando na perda de ativos da carteira. Para ajudar todos a entender melhor esses riscos, é necessário primeiro compreender a essência da assinatura eth_sign.

Introdução à assinatura eth_sign

eth_sign é um método de assinatura amplamente utilizado no ecossistema Ethereum, que permite que os usuários assinem mensagens com uma chave privada. Este mecanismo é uma parte central das transações em blockchain, usado para provar que uma conta é a iniciadora da transação. Em termos simples, é como assinar em papel para indicar concordância ou apoio ao seu conteúdo.

No entanto, existe um problema com o uso do eth_sign que é frequentemente ignorado, conhecido como o risco de "assinatura cega". Quando os usuários assinam mensagens com eth_sign, muitas vezes não conseguem compreender completamente o conteúdo da assinatura, nem verificar retroativamente o significado específico da assinatura. Isso ocorre porque a entrada do eth_sign é uma string bruta, e não um formato legível por humanos. É como assinar um contrato escrito em uma língua desconhecida, e é por isso que é chamado de "assinatura cega".

Métodos Comuns de Fraude

Depois de entender os conceitos de assinatura eth_sign e assinatura cega, podemos reconhecer melhor os riscos potenciais da eth_sign e como prevenir fraudes desse tipo de assinatura cega.

Como o eth_sign pode ser utilizado para assinar vários tipos de mensagens, incluindo instruções de transação e operações de contratos inteligentes, partes maliciosas podem induzir os usuários a assinar uma mensagem que parece inofensiva, mas que na verdade pode resultar na transferência de ativos. Mais grave ainda, elas podem fornecer uma mensagem que parece inofensiva para o usuário assinar, mas que na verdade pode ser uma instrução de operação, e uma vez assinada, os ativos do usuário podem ser transferidos.

Diante dessa situação, como devemos nos prevenir? Para mitigar esses riscos, uma famosa carteira lançou uma atualização de versão com um upgrade no sistema de segurança. Quando os usuários utilizam o eth_sign através de um DApp de terceiros para assinar mensagens, a carteira exibirá uma janela de aviso de risco, informando que a operação atual pode apresentar riscos potenciais, e iniciará uma contagem regressiva de 15 segundos. Este design visa fornecer aos usuários tempo suficiente para avaliar a necessidade e a segurança da operação de assinatura.

Sugestões de segurança

Com base na análise acima, recomendamos aos usuários:

1. Mantenha-se altamente alerta para todos os pedidos que exigem a assinatura eth_sign, especialmente aqueles de origem desconhecida ou não confiável. Se houver qualquer dúvida sobre a autenticidade ou o propósito do pedido, não assine facilmente.

2. Certifique-se de que as mensagens ou pedidos de transação que está a tratar provêm de canais confiáveis, como sites oficiais, contas de redes sociais verificadas ou canais de comunicação de confiança. Nunca confie em links, e-mails ou mensagens privadas de origem desconhecida.

3. Antes de realizar qualquer operação de assinatura, verifique cuidadosamente e compreenda o conteúdo da assinatura. Se não conseguir compreender totalmente, é melhor procurar a ajuda de um profissional ou desistir da operação.

4. Atualize regularmente o software da carteira para garantir que está a usar as últimas funcionalidades de segurança e medidas de proteção.

5. Adote bons hábitos de gestão de ativos digitais, como usar uma carteira de hardware para armazenar grandes quantias de ativos e realizar backups regulares das chaves privadas e outras informações importantes.

Através de uma maior vigilância e um fortalecimento da consciência de segurança, só assim poderemos proteger melhor os nossos ativos digitais e evitar sermos vítimas de fraudes de assinatura cega eth_sign.