MetaMask rhybuddio defnyddwyr Apple i fod yn wyliadwrus o ymosodiadau gwe-rwydo ar Ebrill 17 ar ôl i ddefnyddiwr iPhone gael ei sgamio allan o werth $650,000 o NFTs ac ApeCoin (APE).
Yn ôl MetaMask, mae yna broblem diogelwch gyda'r gosodiadau diofyn ar ddyfeisiau fel yr iPhone, iPad, a MacBook sy'n caniatáu i actorion maleisus weld yr ymadrodd hadau neu “gladdgell MetaMask wedi'i amgryptio gan gyfrinair” wedi'i storio ar wasanaeth storio iCloud Apple.
? Os ydych wedi galluogi iCloud backup ar gyfer data app, bydd hyn yn cynnwys eich claddgell MetaMask amgryptio cyfrinair. Os nad yw'ch cyfrinair yn ddigon cryf, a bod rhywun yn gwe-rwydo eich tystlythyrau iCloud, gall hyn olygu bod arian wedi'i ddwyn. (Darllen ymlaen?) 1/3
— MetaMask ?? (@MetaMask) Ebrill 17, 2022
Adnabod y broblem
Ar Ebrill 15, cwynodd defnyddiwr Twitter Domenic Iacovone ei fod wedi colli'r holl docynnau anffyddadwy (NFTs) yn ei waled. Roedd hyn yn cynnwys tair Epa Mutant, tair Cath Gwter, a $ 100,000 yn ApeCoin.
Dywedodd Iacovone iddo gael galwad ar ei ffôn a nododd ID y galwr fel rhif Apple. I ddechrau ni wnaeth godi ond ei alw'n ôl ers i ID y galwr ddweud ei fod yn dod o Apple.
Fodd bynnag, sgamiwr oedd y galwr gan ddefnyddio rhif ffug. Gofynnodd i Iacovone am god a anfonwyd at ei ffôn dan yr esgus o fod yn gynrychiolydd Apple. Dywedodd Iacovone iddo golli popeth yn ei waled Metamask eiliadau ar ôl rhannu'r cod gyda'r sgamiwr.
Dyma sut y digwyddodd, Wedi cael galwad ffôn gan afal, yn llythrennol o afal (ar fy Id galwr) Wedi ei alw'n ôl oherwydd roeddwn yn amau twyll ac roedd yn rhif afal. Felly roeddwn i'n eu credu
Fe wnaethon nhw ofyn am god a anfonwyd at fy ffôn a 2 eiliad yn ddiweddarach cafodd fy MetaMask cyfan ei sychu— Iacovone Domenig (@revive_dom) Ebrill 14, 2022
Egluro'r ymosodiad
Esboniodd defnyddiwr Twitter @Serpent, sylfaenydd system lliniaru bygythiad crypto Sentinel, y broses ar gyfer yr ymosodiad gwe-rwydo. Yn ôl iddo, defnyddiodd yr ymosodwr ffug ID galwr a wnaeth iddynt ymddangos fel pe baent yn dod o Apple, a honnodd fod gweithgaredd amheus ar y cyfrif.
? Twyll gwe-rwydo NEWYDD ?
Eisoes mae $650,000 wedi'i ddwyn oddi wrth un unigolyn ac mae'n mynd i ddigwydd i lawer mwy o bobl.
Dyma sut y digwyddodd ??
— Sarff (@Serpent) Ebrill 17, 2022
Yna gofynnodd y sgamiwr am ailosod cyfrinair ar gyfer ID Apple y dioddefwr. Bydd y dioddefwr yn cael cod ar gyfer ailosod, ac mae'r sgamiwr yn gofyn am y cod hwnnw, gan honni ei fod i wirio ei fod yn berchen ar yr Apple ID.
Mewn gwirionedd, mae'r sgamiwr yn defnyddio'r cod i ailosod cyfrinair y dioddefwr, sy'n rhoi mynediad iddynt i'r cyfrif iCloud. Os yw data MetaMask yn cael ei storio ar iCloud, gallant gael mynediad ato a dwyn asedau'r dioddefwyr.
Ateb arfaethedig MetaMask
Mae MetaMask wedi annog ei ddefnyddwyr i analluogi copïau wrth gefn iCloud ar gyfer eu cymhwysiad trwy ddefnyddio'r togl hwn: “Gosodiadau> Proffil> iCloud> Rheoli Storio> Copïau Wrth Gefn.”
Gallwch analluogi copïau wrth gefn iCloud ar gyfer MetaMask yn benodol trwy ddiffodd y togl yma:
Gosodiadau > Proffil > iCloud > Rheoli Storio > Copïau Wrth Gefn.
2/3— MetaMask ?? (@MetaMask) Ebrill 17, 2022
I'r rhai sydd am ddiffodd y nodwedd yn gyfan gwbl, gallant wneud hynny yn "Gosodiadau> Apple ID/iCloud> iCloud> iCloud Backup."
Ymosodiadau gwe-rwydo a'r gofod crypto
Nid dyma'r cynllun ymosodiad gwe-rwydo cyntaf y mae'r diwydiant crypto wedi'i ddatrys eleni. OpenSea roedd defnyddwyr yn wynebu “ymosodiadau gwe-rwydo” a arweiniodd at hynny colli miliynau o ddoleri; ymosodiad arall Gwelodd mae cyd-sylfaenydd Defiance yn colli gwerth $1.8 miliwn o NFTs.
Gyda nifer yr achosion o ymosodiadau o'r fath a soffistigedigrwydd cynyddol y dulliau a ddefnyddir, mae arbenigwyr diogelwch y diwydiant wedi cynghori deiliaid crypto i ddefnyddio waledi oer ac osgoi cysylltu eu waledi â gwefannau ar hap.
Ffynhonnell: https://cryptoslate.com/metamask-warns-apple-users-of-phishing-attack-after-scammer-steals-650k-in-nfts-apecoin-from-iphone-user/