Mae Gwenwyno Cyfeiriad MetaMask yn Angen Gwrthwenwyn Syml

MetaMask yn rhybuddio ei ddefnyddwyr rhag newydd sy'n tyfu sgam crypto a elwir yn “gwenwyno cyfeiriad,” ond mae’r newyddion wedi dod braidd yn hwyr i rai.

Gall waledi arian cyfred digidol gynnwys un neu fwy o gyfrifon, pob un â'i gyfeiriad cryptograffig ei hun, mae MetaMask yn esbonio mewn a rhyddhau. Fodd bynnag, mae'r niferoedd hecsadegol hir hyn yn fwriadol anodd eu cofio, sy'n gofyn am ddefnydd aml o gopïo a gludo. Dyma'n union beth mae gwenwyno cyfeiriad yn ceisio manteisio arno.

Sut mae Cyfeiriadau'n Cael eu "Gwenwyno"

Yn lle darnia soffistigedig sy'n peryglu seilwaith protocol, mae mynd i'r afael â gwenwyno yn dibynnu'n hytrach ar seicoleg ddynol a mecaneg trafodion crypto. Mae'r senario a ganlyn yn enghraifft o hyn.

Yn yr achos hwn, mae Defnyddiwr A yn gwneud trafodion rheolaidd i Ddefnyddiwr B, y mae Ymosodwr C yn dod yn ymwybodol o ddefnyddio meddalwedd sy'n monitro trosglwyddiadau rhai tocynnau, sef darnau arian sefydlog yn nodweddiadol. Yna bydd yr ymosodwr yn defnyddio generadur cyfeiriad “gwagedd” i greu cyfeiriad haciwr C sy'n cyfateb yn agos i gyfeiriad defnyddiwr B.

Bydd Ymosodwr C wedyn yn cyflawni trafodiad o $0 rhwng cyfeiriad defnyddiwr A a chyfeiriad haciwr C. Mae hyn yn arwain at 'wenwyno' y cyfeiriad, wrth i gyfeiriad haciwr C gael ei storio dros gyfeiriad defnyddiwr B ar gyfer cyfeiriad defnyddiwr A. Gan fod cyfeiriad haciwr C yn rhannu'r yr un digid cyntaf a 4 digid olaf â chyfeiriad defnyddiwr B, mae Ymosodwr C yn gobeithio bod Defnyddiwr A yn defnyddio ei gyfeiriad yn anfwriadol wrth geisio trafod gyda Defnyddiwr B. 

Gellir osgoi'r sgam yn hawdd trwy wirio cyfeiriadau yn drylwyr cyn ymrwymo i drafodion, waeth pa mor ddiflas yw hi.

Camgymeriadau MetaMask

Mae rhai defnyddwyr yn siomedig gan yr oedi cyn cyhoeddi'r newyddion. “Mae MetaMask o’r diwedd yn dogfennu’r ymosodiad gwenwyno cyfeiriad ar ôl 2+ mis,” trydarodd Han Tuzun. Darparodd ei swydd a cyswllt i erthygl yn esbonio'r sgam gyda manylion trylwyr dyddiedig o ddechrau mis Rhagfyr.

Rhybuddiodd Tuzun ddefnyddwyr ymhellach am eneraduron cyfeiriad gwagedd a allai gynhyrchu cyfeiriadau bron yn union yr un fath mewn eiliadau. Rhoddodd y defnyddiwr Twitter hefyd y dasg i adeiladwyr seilwaith i rybuddio defnyddwyr UI yn ddigonol rhag ymosodiadau o'r fath.

Daw'r rhwystr diweddaraf hwn ar gyfer MetaMask ar ôl iddo wynebu adlach cyhoeddus cryf yn dilyn diweddariad ar ei bolisïau cadw data. Diweddarodd y cwmni ei bolisi preifatrwydd yn hwyr y llynedd, gan arwain at adroddiadau y byddai'n arwain at gasglu waledi defnyddwyr a chyfeiriadau IP.

Arweiniodd hyn yn gyflym at a ymateb gwresog gan y gymuned crypto, a ysgogodd swydd gan y datblygwr ConsenSys ar Ragfyr 6, i geisio tawelu meddwl ei ddefnyddwyr.