Подальший оригінальний заголовок: Розкриття шахрайських схем honeypot

Зануртесь у токен-код та забезпечте безпеку Web3

Передмова

Якщо ви користувач децентралізованих платформ, концепція "Honeypot scam" вам не буде чужою. Навіть якщо ви раніше не чули цього терміну, ви, ймовірно, стикнулися з такими шахрайськими діями.

«Honeypot» насправді є аналогією, яка в основному відноситься до навмисної пастки інших. У випадку токенів Honeypot створюються різні ілюзії (такі як надзвичайно висока ліквідність та зростання цін), щоб залучити інвесторів до покупки токенів. Однак, після покупки вони розуміють, що через розгортання зловмисного коду в контракті, вони не можуть продати ці токени. Це шахрайство Honeypot.

У своїх користувачів схеми honeypot часто постійно оновлюють і змінюють код контракту у спробі його експлуатації. Вони використовують все складнішу логіку реалізації, щоб приховати свої справжні мотиви, мета яких полягає в уникненні уваги з боку механізмів безпеки або підвищенні аналітичної складності для експертів з безпеки.

Характеристики атак шахрайства засадою

Дані від GoPlus показують, що загальна кількість токенів Honeypot на криптовалютному ринку побачила значний приріст у 2022 році, з 64 661 вперше введеними токенами Honeypot. Це позначає вражаючий ріст на 83,39% порівняно з таким самим періодом у 2021 році. З них 92,8% токенів Honeypot походять з ланцюга BNB, тоді як 6,6% прийшли з Ethereum. Ці два блокчейни також виділяються серед найактивніших та населених мереж з точки зору токенів.

Одиним з факторів, які спричинили різкий підйом токенів Honeypot, можна вважати вплив інциденту з FTX в кінці 2022 року. Значна кількість користувачів переклала свої цифрові активи з централізованих бірж на децентралізовані гаманці, що призвело до зростання активних користувачів on-chain. Внаслідок цього зловмисники також стали активнішими. За даними, лише за один тиждень після інциденту з FTX, з'явилося понад 120 нових методів атаки Honeypot, що свідчить про шестикратне збільшення частоти атак.

Поза абсолютним збільшенням кількості, характеристики токенів Honeypot стали більш різноманітними й складними. Аналізуючи безпечні дані минулого року, GoPlus виявив, що атаки на токени Honeypot стали складнішими для виявлення та більш хитрими. В цілому вони мають наступні ключові особливості:

1. Ускладнення коду: Зменшуючи зрозумілість коду, вводячи непов'язану логіку або ускладнюючи взаємозв'язки виклику, атакувачі створюють складну реалізаційну логіку для ускладнення аналізу для захисних двигунів.
2. Фальшиві Відомі Контракти: Ці типи атак контрактів видають себе за поважні проектні контракти, використовуючи фальшиві назви контрактів та реалізуючи процеси, що вводять в оману механізм та тим самим збільшують ймовірність неправильної ідентифікації ризиків.
3. Використання прихованих механізмів спуску: Ці контракти нападу ховають умови спуску глибоко всередині, часто приховуючи їх у поведінці користувача під час транзакції. Вони також можуть використовувати складну маніпуляцію поведінкою транзакції, таку як вкладення кількох рівнів умовних перевірок перед викликом дій, таких як призупинення транзакцій, надування запасів або передача активів. Це дозволяє реальний час змінювати стани контракту та сприяє крадіжці активів користувача.
4. Фальсифікація даних транзакції: Щоб транзакції виглядали більш дійсними, зловмисники можуть випадково спричиняти дії, такі як airdrop або wash trading. Це служить подвійною метою: спонукати більше користувачів та зробити поведінку транзакцій більш природною.

Аналіз справи

Цей токен випущено на головній мережі ETH за адресою контракту: 0x43571a39f5f7799607075883d9ccD10427AF69Be.

Після аналізу коду контракту можна зрозуміти, що цей контракт намагається реалізувати механізм «чорного списку переказів» для адрес рахунків власників. Якщо адреса переказу перебуває у чорному списку, переказова транзакція буде неуспішною. Це типовий механізм токена Honeypot, який в кінцевому рахунку запобігає власникам продавати свої активи.

Однак, для більшості користувачів може бути складно виявити такі ризики безпеки шляхом аудитування коду, оскільки вони можуть не мати знань або навичок для читання і аналізування коду. У цій статті перераховані основні інструменти, які доступні на ринку для аналізу ризиків шахрайства в розумних контрактах EVM. Якщо ви бажаєте оцінити ризик шахрайства, пов'язаний з розумними контрактами, які вже були розгорнуті, ви можете використовувати наступні інструменти, з вказаною вище адресою контракту в якості ілюстрації:

GoPlus Безпека

1. Відкрийте веб-сайт GoPlus та виберіть блокчейн мережу, таку як Основна мережа Ethereum або інші мережі Layer2.

1. Введіть адресу контракту, яку ви хочете перевірити, та натисніть кнопку "Перевірити", щоб отримати інформацію про ризики контракту. Результат запиту відображає, що під заголовком "Ризик Honeypot" є попередження про ризик, що свідчить про те, що в контракті існує чорний список трансферу.

Token Sniffer

1. Відкрийте Token Sniffer, введіть адресу контракту, яку ви хочете перевірити, та виберіть відповідний контракт з результатів пошуку.

1. Після цього відображається результат запиту щодо ризику. Ми бачимо, що в розділі «Аналіз обміну» цей контракт не пройшов цей тест, що свідчить про те, що сам контракт несе ризик «honeypot».

За допомогою вищезазначених інструментів аналізу користувачі можуть швидко виявити ризики шахрайства в смарт-контрактах та проаналізувати небезпеки. Якщо ризик Honeypots виявлено, настійно рекомендується утриматися від участі, щоб уникнути потрапляння жертвою контрактів такого типу.

Висновок

Постійно розвиваючи свої стратегії атак, хакери ставлять перед нами все більш складне завдання щодо забезпечення безпеки. Як користувачі блокчейну, ми повинні звернути увагу на наступні моменти, коли стикаємося зі шахрайством з використанням горшочків меду:

• Це важливо ретельно зрозуміти справжню природу токенів, включаючи їхню ліквідність, тенденції цін та більше, перед придбанням токенів.
• Уважно перевірте код контракту токена, щоб перевірити наявність зловмисного коду або будь-яких аномалій. Якщо у вас немає навичок програмування, ви можете скористатися інструментами або відвідати поважні ринкові веб-сайти, щоб оцінити ризики, пов'язані з контрактом токена.
• Не легко довіряти так званим роздачам або схемам «насосу та вивалу», оскільки вони часто є частиною шахрайств.
• Уникайте покупки токенів на невідомих біржах або гаманцях; вибирайте замість цього надійні біржі або гаманці.

Вивчення криптобезпеки повинно залишатися постійним процесом. Лише через це можна ефективно впоратися з викликами, що створюються зростаючими та змінюються ризиками безпеки.

Disclaimer:

1. Цю статтю взято з [ Середній]. Усі авторські права належать оригінальному автору [GoPlus Security]. Якщо є заперечення до цього перевидання, будь ласка, зв'яжіться з Gate Learnкоманди, і вони оперативно займуться цим.
2. Відповідальність за відмову: Погляди та думки, висловлені в цій статті, належать виключно автору і не становлять інвестиційні поради.
3. Команда Gate Learn перекладала статтю на інші мови. Копіювання, поширення або плагіат перекладених статей заборонено, якщо не зазначено інше.