하드웨어 지갑 주소를 확인하는 방법은 무엇입니까? (피싱방지)

하드웨어 지갑 주소 확인 이해

1. 하드웨어 지갑은 오프라인에서 암호화 키 쌍을 생성하여 개인 키가 인터넷에 연결된 장치에 닿지 않도록 합니다. 개인 키에서 파생된 공개 주소는 사용자가 자금을 받기 위해 공유하는 주소입니다.

2. 거래를 시작할 때, 특히 인출이나 자금 이체 중에 주소 확인이 중요합니다. 공격자는 대상 주소를 가로채고 변경하기 위해 합법적인 지갑 소프트웨어를 모방하는 가짜 인터페이스를 배포하는 경우가 많습니다.

3. 하드웨어 지갑의 물리적 화면은 수신자 주소를 확인하는 유일한 신뢰할 수 있는 소스 역할을 합니다. 장치 디스플레이의 일치 확인 없이 컴퓨터나 모바일 화면에만 표시되는 모든 주소는 본질적으로 신뢰할 수 없습니다.

4. 사용자는 하드웨어 지갑 화면에 표시된 주소의 각 문자를 연결된 애플리케이션에 표시된 주소와 수동으로 비교해야 합니다. 단 하나의 변경된 캐릭터라도 자금을 영구적으로 리디렉션할 수 있습니다.

5. 일부 지갑은 QR 코드 확인을 지원합니다. 별도의 에어갭 장치를 사용하여 하드웨어 지갑에서 생성된 QR 코드를 스캔하면 전송을 완료하기 전에 또 다른 보증 계층이 추가됩니다.

하드웨어 지갑 사용자를 표적으로 삼는 일반적인 피싱 벡터

1. 악성 브라우저 확장 프로그램은 지갑 인터페이스에 잘못된 주소 필드를 삽입하여 사용자가 인식하지 못하는 사이에 유효한 대상을 공격자가 제어하는 ​​주소로 바꿉니다.

2. 가짜 펌웨어 업데이트 페이지는 공식 제조업체 도메인을 사칭하여 사용자를 속여 키 입력을 기록하고 거래 데이터를 조작하는 손상된 소프트웨어를 설치하도록 합니다.

3. 스피어 피싱 이메일은 합법적인 도메인과 시각적으로 유사한 도메인에 호스팅된 위조 복구 문구 입력 양식으로 사용자를 안내하여 전체 계정 탈취를 위한 시드 단어를 수집합니다.

4. 손상된 제3자 dApp 인터페이스는 자동으로 계약 호출 매개변수를 대체하여 사용자가 의도한 수신자 대신 악의적인 계약에 대한 토큰 전송을 승인하게 만들 수 있습니다.

5. Discord 또는 Telegram을 통한 사회 공학 공격은 사용자가 지갑을 악의적인 브리지 사이트에 연결하여 서명 재생 또는 주소 대체를 가능하게 하여 지갑을 "검증"하도록 유도합니다.

단계별 장치 내 확인 프로토콜

1. 데스크톱 또는 모바일 지갑 애플리케이션에서 거래를 시작한 후 최종 서명 단계를 진행합니다.

2. 전체 길이 및 체크섬 문자를 포함하여 정확한 대상 주소를 확인하기 위해 하드웨어 지갑 화면을 관찰하십시오. 잘린 미리보기에 의존하지 마십시오.

3. 하드웨어 화면과 호스트 애플리케이션 인터페이스 모두에서 주소의 처음 6자와 마지막 6자를 대조 확인합니다.

4. 지갑이 지원하는 경우 물리적 버튼을 사용하여 주소 검토 메뉴로 이동하고 전체 문자열을 수동으로 스크롤합니다. 특히 긴 EVM 호환 주소의 경우 중요합니다.

5. 대소문자 구분, 영숫자 일관성, Ethereum의 경우 "0x" 또는 Bitcoin SegWit의 경우 "bc1"과 같은 네트워크별 접두사를 확인한 후에만 확인하세요.

네트워크 수준 보호 및 주소 형식 유효성 검사

1. 알려진 네트워크 표준에 따라 주소 형식을 검증합니다. 이더리움 주소는 "0x"로 시작하는 42자여야 하는 반면, Solana는 가변 길이의 base58 문자열을 사용하지만 항상 "0", "O", "I" 또는 "l"을 제외한 문자나 숫자로 시작합니다.

2. ethereumjs-util 또는 bs58check 와 같은 오픈 소스 주소 유효성 검사기를 사용하여 트랜잭션을 브로드캐스트하기 전에 체크섬 무결성을 프로그래밍 방식으로 확인합니다.

3. 거래 확인을 지연시키고 노출 기간을 늘릴 수 있는 기존 가스 가격 조작을 방지하려면 이더리움 호환 지갑에서 EIP-1559 수수료 설정을 활성화하세요.

4. 다중 서명 설정의 경우 최종 승인 전에 동일한 주소를 표시하고 확인하기 위해 최소 2개의 독립 하드웨어 장치가 필요하므로 단일 지점 손상 위험을 제거합니다.

5. 복사-붙여넣기 작업을 완전히 피하세요. 대신, 클립보드 액세스를 우회하고 클립보드 하이재킹 악성코드가 페이로드를 변경하지 못하도록 방지하는 하드웨어 지갑 기반 서명 흐름을 사용하세요.

자주 묻는 질문

Q: 내 Ledger가 연결된 경우 MetaMask에만 표시된 주소를 신뢰할 수 있나요? A: 아니요. MetaMask는 브라우저 환경에서 전송된 데이터를 기반으로 주소를 표시합니다. 승인하기 전에 Ledger의 실제 화면에서 정확한 주소를 확인하고 확인해야 합니다.

Q: Trezor의 주소가 일치하지 않는 거래를 승인하면 어떻게 되나요? A: 자금은 잘못된 주소로 취소할 수 없게 전송됩니다. 수령인이 자발적으로 반환하지 않는 한 복구는 불가능합니다.

Q: 암호를 사용하면 주소 스푸핑에 대한 보호 기능이 추가됩니까? 답변: 암호는 파생 경로와 결과 주소를 변경하지만 피싱을 방지하지는 않습니다. 인터페이스를 제어하는 ​​공격자는 여전히 암호에서 파생된 계정에 연결된 가짜 주소를 표시할 수 있습니다.

Q: 주소 확인 중에 하드웨어 지갑 복구 문구가 필요한 경우가 있나요? 답: 절대로요. 합법적인 주소 확인에서는 시드 단어, 암호 문구 또는 개인 키를 요구하지 않습니다. 이러한 정보를 요청하는 프롬프트는 피싱 시도를 나타냅니다.