피싱 공격으로부터 NFT 지갑을 어떻게 보호하나요?

NFT 지갑 피싱 벡터 이해

1. 공격자는 "opensea.io" 대신 "opensea-support[.]xyz"와 같이 합법적인 URL을 모방하는 도메인에 호스팅된 가짜 로그인 페이지를 통해 Blur 또는 OpenSea와 같은 공식 NFT 마켓플레이스를 가장하는 경우가 많습니다.

2. 지갑 커넥터로 가장하는 악성 브라우저 확장 프로그램은 악성 스크립트를 dApp 인터페이스에 주입하여 사용자가 거래를 승인하기 전에 자동으로 서명 요청을 캡처합니다.

3. Discord 및 Telegram 사기꾼은 커뮤니티 중재자로 위장하여 위조 에어드롭 링크를 배포하여 사용자에게 지갑을 연결하고 "청구 확인"으로 위장한 악의적인 허가 전화에 서명하도록 유도합니다.

4. 손상된 NFT 프로젝트 웹사이트는 MetaMask의 공급자 개체를 하이재킹하는 감염된 JavaScript 번들을 제공하여 모든 후속 트랜잭션 서명을 공격자가 제어하는 ​​중계기로 다시 라우팅합니다.

5. 가짜 토큰 게이트 Discord 서버는 독점적인 액세스 권한으로 수집가를 유인한 다음, 임의 데이터 페이로드의 서명을 요구하는 긴급 "지갑 확인" 프롬프트로 새로운 회원에게 DM을 보내는 피싱 봇을 배포합니다.

지갑 수준 강화 기술

1. 손상된 사이트를 방문할 때 자동 인증을 방지하기 위해 지갑 확장의 자동 연결 기능을 비활성화합니다.

2. 기본 NFT 보유를 위해 하드웨어 지갑을 사용하십시오. 펌웨어가 업데이트되었는지 확인하고 정확한 내용이 표시되고 이해되지 않는 한 메시지에 서명하지 마세요.

3. Etherscan의 토큰 승인 탭 또는 Revoke.cash와 같은 전용 도구를 통해 사용하지 않은 토큰 승인을 취소합니다. 특히 오래된 NFT 목록이나 더 이상 사용되지 않는 DeFi 프로토콜의 경우 더욱 그렇습니다.

4. "서명 메시지" 또는 "개인_서명" 라벨이 붙은 서명 요청을 포함하여 모든 서명 요청에 대해 수동 확인을 요구하도록 지갑 알림 설정을 구성합니다.

5. 공식 앱 스토어에 나타나더라도 NFT 포트폴리오 추적을 주장하는 모바일 앱에 시드 문구를 가져오지 마십시오. 상당수가 키로깅 기능을 사용하여 재패키징된 악성 코드이기 때문입니다.

NFT 커뮤니티의 행동 위험 신호

1. 무료 민트 스팟이나 드문 화이트리스트 할당을 제공하는 원치 않는 직접 메시지는 거의 항상 피싱 시도보다 우선합니다.

2. 공식 팀원은 검증된 다중 서명 거버넌스 제안 외에 개인 키, 시드 문구 또는 서명된 임의 데이터를 요청하지 않습니다.

3. “지금 확인하지 않으면 귀하의 NFT는 12분 안에 상장폐지됩니다”와 같은 시간에 민감한 언어는 합리적인 조사를 우회하도록 설계되었습니다.

4. 그룹 채팅에서 공유된 "확인된" 계약 주소의 스크린샷에는 악성 배포로 리디렉션되는 보이지 않는 유니코드 문자가 포함되어 있는 경우가 많습니다.

5. 명확한 가스 요금 내역이 없거나 서명을 요청할 때 "0 ETH"를 표시하는 에어드롭 청구 인터페이스는 허가 기반 도난 벡터의 강력한 지표입니다.

보안 상호작용 프로토콜

1. 알려진 마켓플레이스 URL을 항상 수동으로 입력하십시오. 이메일, DM 또는 소셜 미디어 게시물의 링크를 클릭하지 마십시오.

2. 제3자 수집자가 아닌 공식 프로젝트 GitHub 리포지토리 또는 Etherscan 검증 페이지에 게시된 주소와 비교하여 계약 주소를 확인합니다.

3. 별도의 지갑을 사용하세요. 하나는 최소한의 잔액으로 일일 dApp 상호 작용을 위한 것이고, 다른 하나는 고가치 NFT 저장을 위한 에어 갭입니다.

4. 모든 거래 미리보기에 예상되는 함수 호출만 포함되어 있는지 확인합니다. "승인" 또는 "setApprovalForAll"이 예기치 않게 나타나면 거부가 필수입니다.

5. 최종 승인 전에 Rabby의 도메인 바인딩 서명 또는 Phantom의 거래 시뮬레이션과 같은 지갑별 보안 계층을 활성화합니다.

자주 묻는 질문

Q: 피싱으로 도난당한 NFT를 복구할 수 있나요? 무단 전송이 체인 상에서 확인되면 복구가 거의 불가능합니다. 블록체인 불변성은 공격자가 자발적으로 자산을 반환하거나 중앙화된 거래소가 관련 계정을 동결하지 않는 한 역전을 방지합니다. 이는 P2P 전송에서는 거의 발생하지 않습니다.

Q: 하드웨어 지갑은 모든 피싱 시나리오로부터 보호합니까? 하드웨어 지갑은 시드 문구 노출을 방지하지만 사용자가 악의적인 거래를 승인하는 것을 막지는 못합니다. 피싱 사이트가 사용자를 속여 setApprovalForAll 호출에 서명하도록 하는 경우에도 하드웨어 장치는 지시에 따라 이를 계속 실행합니다.

Q: NFT 입찰에 지갑 연결 브라우저를 사용하는 것이 안전한가요? 브라우저 확장 프로그램이 엄격한 도메인 바인딩을 시행하고 서명 전에 전체 거래 세부 정보를 표시하는 경우에만 해당됩니다. 이러한 보호 장치가 없는 확장 프로그램은 합법적인 도메인에서도 사용자를 크로스 사이트 지갑 하이재킹에 노출시킵니다.

Q: 일부 피싱 사이트에서 올바른 SSL 인증서를 표시하는 이유는 무엇입니까? 인증서는 합법성이 아닌 도메인 소유권을 확인합니다. 공격자는 자동화된 인증 기관을 사용하여 사기성 도메인에 대해 유효한 TLS 인증서를 획득하므로 HTTPS 상태가 신뢰성과 무관해집니다.