TonConnect SDK 的 Origin 伪造风险分析：钓鱼攻击的隐患
背景
随着 TON 生态项目的快速发展，Web3 钓鱼团伙也开始盯上了这个新兴市场。TonConnect SDK 作为 TON 生态中常用的跨平台/应用钱包连接和交互工具，其安全性问题也逐渐暴露出来。本文将深入分析 TonConnect SDK 的 Origin 伪造风险，揭示其潜在的钓鱼攻击威胁，并提供相应的防范措施。
问题根源：跨平台/应用通讯的域名验证难题
为了确保用户在使用钱包连接 DApp 或确认签名请求的来源是否可靠，钱包通常会在请求批准页面提示来源的域名。然而，在跨平台/应用通讯场景下，由于消息转发服务器难以对消息发起的域名进行有效检查，导致消息来源存在被伪造的风险。
TonConnect SDK 的漏洞：dappMetadata 的可伪造性
TonConnect SDK 使用 dappMetadata 来存储 DApp 的信息，包括名称、图标、URL 等。恶意 DApp 可以通过修改 dappMetadata，将自身伪装成可信的网站，从而欺骗用户进行连接和签名操作。
案例分析：PoC 演示Origin 伪造
通过修改 dappMetadata 的 manifest.json 文件，将 origin 伪造成 ton.org，我们成功地欺骗了 TonKeeper 钱包，使其连接到一个伪造的 DApp。
攻击场景：钓鱼攻击的潜在威胁
攻击者可以利用 Origin 伪造漏洞，伪造知名 DApp，诱骗用户连接到恶意网站，从而窃取用户的资产或进行其他恶意操作。
解决方案：加强安全措施，防范钓鱼攻击
- 钱包方：
- 增强对 dappMetadata 的验证机制，例如引入更严格的签名验证或引入第三方信任机制。
- 在用户界面中提供更清晰的 DApp 信息展示，帮助用户识别 DApp 的真实身份。
- DApp 开发者：
- 严格遵循安全编码规范，避免在 dappMetadata 中使用可被伪造的数据。
- 采用更安全的跨平台/应用通讯方案，例如使用基于区块链的验证机制。
- 用户：
- 谨慎连接 DApp，仔细检查 DApp 的名称、图标、URL 等信息。
- 避免点击可疑链接或扫描可疑二维码。
- 使用安全可靠的钱包，并开启安全功能。
结论
TonConnect SDK 的 Origin 伪造漏洞为钓鱼攻击打开了大门，对用户资产安全构成严重威胁。为了保障 TON 生态的安全，钱包方、DApp 开发者和用户都需要采取相应的安全措施，共同防范钓鱼攻击。
参考文献
免责声明
本文仅供参考，不构成任何投资建议。请自行判断信息来源的可靠性，并承担所有投资风险。
Views: 0