در روزگاری که وب ۳ با سرعت پیش میرود، در کنار رشد اکوسیستمها و مبادله داراییهای رمزنگاریشده، تعداد و روشهای هک و کلاهبرداری نیز در حال افزایش است. شما همیشه باید نسبت به قوانین و دستورالعملهای امنیتی واقف باشید تا بتوانید از کیفپول و داراییهایتان به خوبی نگهداری کنید. به علاوه آشنایی شما با انواع روشهای هک، میتواند امنیت داراییهای شما را بالاتر ببرد. در این مقاله بررسی میکنیم که Sweeper Attack چیست و به نکات لازم برای جلوگیری از این حمله میپردازیم. با میهن بلاکچین همراه باشید.
Sweeper Attack چیست؟
Sweeping (با عنوان Scavenging هم به کار میرود) به یک اسکریپت با بخشهای مخرب گفته میشود، که به کیف پول شما اختصاص پیدا کرده و تمام تراکنشهای ارسالشده به شبکه را مانیتور میکند؛ حتی تراکنشهایی که در Mempool یا Txpool (محلی که تراکنشهای معلق، موقتا آنجا ذخیره میشوند) قرار میگیرند.
هر زمان که این اسکریپتهای سوییپر (این کدها به صورت رفت و برگشتی عمل میکنند؛ به همین دلیل نام آنها را Sweeper گذاشتهاند)، یک تراکنش ورودی یا خروجی را از کیف پول مورد نظر شناسایی کنند، قبل ازاین که تراکنش اصلی تکمیل شود، یک تراکنش جدید ایجاد کرده و آن را امضا میکنند؛ به این ترتیب، از جابهجایی داراییها طبق تراکنش اصلی جلوگیری شده و به کیف پولی که توسط هکر در اسکریپت نوشته شده است، انتقال داده میشود.
اسکریپت Sweeper، تنها در یک صورت میتواند روی کیف پول شما اثر بگذارد و آن هم زمانی است که شما به هر دلیلی، عبارت بازیابی خود را در اختیار هکر بگذارید.
چرا کدهای مخرب مشکل ایجاد میکنند؟
کدهای Sweeper، به ۲ دلیل میتوانند دردسر ایجاد کنند:
- یک کد میتواند بسیار سریعتر از یک انسان واکنش نشان دهد؛ در رقابت با کد برای انتقال دارایی از کیف پول، شما همیشه بازنده هستید.
- اسکریپت نامحسوس و دور از چشمان شما کار میکند. به همین دلیل، کاربران همان لحظه متوجه نمیشوند که هک شدهاند. برای مثال، شما تراکنش مهمی را انجام میدهید و خودتان یا گیرنده، دارایی را دریافت نمیکنید؛ ممکن است تصور کنید که تراکنش متوقف یا معلق شده یا اینکه کیف پول عملکرد نادرستی داشته است، اما احتمال هک شدن را نمیدهید.
Sweeper Attack در عمل چطور اتفاق میافتد؟
اولین و حیاتیترین گام برای یک هکر، به دست آوردن سید (Seed) محرمانه شما است. هکرها برای دستیابی به Recovery Phrase، روشهای مختلفی را به کار میبرند. آنها ممکن است یک حمله فیشینگ را اجرا کنند.
هکرها خود را بهعنوان یک دوست و مهندس معرفی کنند، که میخواهد کمک کند تا مشکلتان را حل کنید. روش دیگر این است که با اکانتی شبیه به پشتیبانی رسمی کیف پولتان، به شما پیام میدهند و برای حل یک مشکل، از شما درخواست اطلاعات میکنند.
یکی دیگر از راهکارها، راهاندازی یک اپلیکیشن غیرمتمرکز (Dapp) به ظاهر قابل اعتماد یا مشابه با برنامههای مطرح موجود است. کاربر برای استفاده از این برنامه، مجبور است کلید خصوصی یا عبارت بازیابی محرمانه را وارد کند.
اگر هکر موفق شود، میتواند به کیف پول شما دسترسی داشته باشد، Private Key شما را بهدست آورد و آن را در اسکریپت Sweeper بنویسد. کد حاوی کلید خصوصی، میتواند بدون اطلاع شما تراکنشها را امضا کند و کنترل کامل و بدون محدودیت بر فعالیتهای کیف پول داشته باشد.
پس از آن، اسکریپت تمام تراکنشهای کیف پول شما را مانیتور میکند؛ چه آنهایی که به حساب شما وارد و چه آنهایی که از آن خارج میشود. قصد جابهجایی هر توکنی را که داشته باشید، مقصد آن والت هکر خواهد شد؛ پیش از آن که شما واکنش خاصی بتوانید نشان دهید.
برای پیشگیری از حمله سوییپر چه اقداماتی باید انجام دهیم؟
رعایت نکات امنیتی و نگهداری امن از عبارت بازیابی، بهترین و مطمئنترین راه برای جلوگیری از هک شدن به وسیله اسکریپتهای Sweeper است. بدون داشتن سید، کدهای مخرب نمیتوانند به کلید خصوصی شما دسترسی پیدا کرده و با امضای تراکنشها، دارایی شما را به سرقت ببرند.
مورد دیگری که در برابر این حمله به ما کمک میکند، استفاده از کیف پول سختافزاری است. Ledger و Trezor از محبوبترین گزینهها هستند. البته استفاده از این مدل Walletها، به میزان دارایی که قصد نگهداری از آن را دارید نیز بستگی دارد. به کیف پولهای سختافزاری، والت سرد هم گفته میشود؛ زیرا کلیدهای خصوصی را کاملا آفلاین ذخیره میکنند. این موضوع یک مانع بسیار بزرگ برای هکرها است.
سخن پایانی
وب ۳.۰ در کنار جذابیتهای زیاد، تهدیدهایی هم دارد و شما همیشه باید هوشیار باشید. هر زمان که با یک اپلیکیشن غیرمتمرکز کار میکنید، آن را از پیش معتبر و قابلاعتماد فرض نکنید. همواره بررسی همهجانبه انجام دهید و مطمئن شوید که ریسکها و خطرات را درنظرگرفتهاید. در این مقاله به این موضوع پرداختیم که Sweeper Attack چیست، چطور اتفاق میافتد و چگونه با رعایت نکات ساده از این حمله در امان بمانیم. آیا تا به حال بر اثر حمله یا هکی، دارایی خود را از دست دادهاید؟ تجربه خود را با کاربران ما به اشتراک بگذارید.
