TON 生态遇钓鱼风险！慢雾揭秘 TonConnect SDK 伪造漏洞

TonConnect SDK 的 Origin 伪造风险分析：钓鱼攻击的隐患

背景

随着 TON 生态项目的快速发展，Web3 钓鱼团伙也开始盯上了这个新兴市场。TonConnect SDK 作为 TON 生态中常用的跨平台/应用钱包连接和交互工具，其安全性问题也逐渐暴露出来。本文将深入分析 TonConnect SDK 的 Origin 伪造风险，揭示其潜在的钓鱼攻击威胁，并提供相应的防范措施。

问题根源：跨平台/应用通讯的域名验证难题

为了确保用户在使用钱包连接 DApp 或确认签名请求的来源是否可靠，钱包通常会在请求批准页面提示来源的域名。然而，在跨平台/应用通讯场景下，由于消息转发服务器难以对消息发起的域名进行有效检查，导致消息来源存在被伪造的风险。

TonConnect SDK 的漏洞：dappMetadata 的可伪造性

TonConnect SDK 使用 dappMetadata 来存储 DApp 的信息，包括名称、图标、URL 等。恶意 DApp 可以通过修改 dappMetadata，将自身伪装成可信的网站，从而欺骗用户进行连接和签名操作。

案例分析：PoC 演示Origin 伪造

通过修改 dappMetadata 的 manifest.json 文件，将 origin 伪造成 ton.org，我们成功地欺骗了 TonKeeper 钱包，使其连接到一个伪造的 DApp。

攻击场景：钓鱼攻击的潜在威胁

攻击者可以利用 Origin 伪造漏洞，伪造知名 DApp，诱骗用户连接到恶意网站，从而窃取用户的资产或进行其他恶意操作。

解决方案：加强安全措施，防范钓鱼攻击

钱包方：
- 增强对 dappMetadata 的验证机制，例如引入更严格的签名验证或引入第三方信任机制。
- 在用户界面中提供更清晰的 DApp 信息展示，帮助用户识别 DApp 的真实身份。
DApp 开发者：
- 严格遵循安全编码规范，避免在 dappMetadata 中使用可被伪造的数据。
采用更安全的跨平台/应用通讯方案，例如使用基于区块链的验证机制。
用户：
- 谨慎连接 DApp，仔细检查 DApp 的名称、图标、URL 等信息。
- 避免点击可疑链接或扫描可疑二维码。
使用安全可靠的钱包，并开启安全功能。