اگر مقالۀ کریپتوجکر ما را خوانده باشید، می‌دانید که حوزه کریپتوکارنسی یک دنیای جدید است و بارها در رابطه با امنیت شبکه ها صحبت کرده ایم. بر کاربران عرصه عرضه دیجیتال پوشیده نیست که سواستفاده گران همیشه در کمین هستند. یکی از این حالات حمله سویپینگ می باشد. این مقوله دستور کار تیم توکن باز بوده، پس با ما همراه باشید.
مفاهیم کلی:
- حملهٔ سوییپر (Sweeper Attack) چیست؟
- چرایی ایجاد مشکل کدهای مخرب
- اقدامات پیشگیرانه از حمله سوییپر
- چگونگی رخداد Sweeper Attack
حملهٔ سوییپر (Sweeper Attack) چیست؟
سویپینگ Sweeping به یک اسکریپت با قسمت‌های تخریب کننده می‌گویند، که به کیف پول ارز دیجیتال کاربر راه یافته و همهٔ تراکنش‌های ارسالی را به شبکه مانیتور می‌کند؛ باید اذعان کنیم حتی تراکنش‌هایی که در Mempool یا Txpool (جایی که تراکنشات به صورت معلق و موقتی در آنجا نگه داشته می‌شوند.) هم تحت شعاع قرار می‌گیرند.
لازم است بدانیم که این کدها به گونه رفت و برگشتی صورت می‌پذیرند؛ به همین علت اسامی آنان سوییپر گذاشته‌اند. هرگاه اسکریپت‌های سوییپر یک تراکنش وارد یا خارج شده از کیف پول مدنظر تشخیص دهند، یک تراکنش مجدد به وجود آورده و آن را امضا می‌کنند. بدین صورت، از استقرار دارایی‌ها توسط تراکنش اولیه و اصلی جلوگیری شده و دارایی فرد هک شده به کیف پول مدنظر هکر که در اسکریپت لحاظ شده منتقل خواهد شد.
آنچه باید کاربر بداند این است که اسکریپت سوییپر، صرفاً در یک صورت قادر خواهد بود که بر روی کیف پول دیجیتال وی اثر گذار باشد، آن هم هنگامی خواهد بود که شمای کاربر به هر ادله‌ای عبارت یا واژهٔ بازیابی خود را تحت اختیار هکر بگذارید.
چرایی ایجاد مشکل کدهای مخرب
آنچه در پس ذهن کاربران وجود دارد این است که چرا و یا چگونه کدهای تخریبگر، اشکال به وجود می‌آورند. بدین صورت می‌توان گفت که کدهای سوییپر تنها به 2 علت قادر به ایجاد اشکالات خواهند بود که در ذیل به اختصار به توضیح آن می‌پردازیم.
- یک کد قادر است بسیار فوری‌تر از یک شخص واکنش از خود نشان دهد؛ بنابراین لازم است بدانید که در رقابت با کد برای منتقل نمودن دارایی از کیف پول، شما همواره یک بازنده محسوب خواهید شد.
- اسکریپت به صورت نامشهود و به‌دور از چشم‌های شمای کاربر به عمل خود ادامه داده و کار می‌کند. به همین علت، کاربران در همان لحظات رخداد متوجه نخواهند شد که مورد هک قرار گرفته‌اند.
به طور مثال، کاربر تراکنشی که از اهمیت بسزای برخوردار است را انجام می‌دهد و خودش یا گیرنده، دارایی را دریافت یا اخذ نمی‌کنند؛ به گونه‌ای که امکان دارد دیدگاه شما این باشد که تراکنش معلق یا متوقف شده یا آن که کیف پول کارکردی نادرستی داشته است. اما حتی در تصورتان نخواهد گنجید که دچار هک شده‌اید.
اقدامات پیشگیرانه از حملهٔ سوییپر
آنچه محرز است و لازم به رعایت و هم جزو نکات ایمنی می‌باشد، این است که در حفظ و نگهداری واژهٔ بازیابی، یکی از اطمینان بخش‌ترین روش برای ممانعت از هک شدن از طریق اسکریپت‌های سوییپر است. بدون داشتن Seed، کدهای تخریبگر قادر نخواهند بود به کلید خصوصی کیف پول دیجیتال دسترسی بیابند و با امضا کردن تراکنش‌ها، اندوختهٔ شمای کاربر را به یغما ببرند.
از دیگر مواردی دیگری که در مقابله با این حمله به کاربران یاری می‌رساند، بهره جویی از کیف پول سخت‌افزاری همچون لجر (Ledger) و ترزور (Trezor) که از محبوب‌ترین کیف پول‌های سخت افزاری نزد کاربران هستند. البته باید بدانیم که بهره جویی از این مدل کیف پول‌ها، به مقدار دارایی که کاربر قصد حفظ و نگهداری از آن را دارد نیز وابسته خواهد بود.
کیف پول‌های سخت‌افزاری، والت سرد محسوب می‌شوند؛ زیرا کلیدهای خصوصی را به طور کامل آفلاین نگهداری می‌کنند. وجود این امر یک سد و مانع بزرگ برای هکرها تلقی می‌شود.
چگونگی رخداد Sweeper Attack
یکی از اصلی‌ترین و مهم‌ترین قدم‌ها برای یک هکر، به دست آوردن Seed محرمانه افراد است. هکرها برای به دست آوردن واژه بازیابی (Recovery Phrase) راه‌های گوناگونی را به کار می‌بندند. به صورتی که امکان دارد یک حملهٔ فیشینگ را به مرحلهٔ اجرا در بیاورند.
- اغلب هکرها در لباس دوست یا متخصص که قصد یاری رسانی به شما را دارند حضور پیدا می‌کنند تا حلال مشکلات شما باشند.
- نوع دیگری نیز وجود دارد که هکرها با اکانتی مشابه به پشتیبانی رسمی ولت شما، به شما پیام ارسال می‌کنند و برای رفع یک اشکال از شما اطلاعاتتان را مطالبه می‌کنند.
- روش دیگری نیز وجود دارد که هکر با راه‌اندازی یک Dapp به ظاهری که کاربر بتواند به آن اعتماد کند، یا مشابه با اپلیکیشن‌های مطرح است اقدام می‌کند. در این حین کاربر برای بهره جویی از این برنامه، ملزم خواهد بود کلید خصوصی کیف پول خود یا عبارت بازیابی محرمانه را درون برنامه وارد کند تا اجازه دسترسی به برنامه را داشته باشد. در صورتی که هکر موفق شود، این عبارت را با ترفند موجود اخذ نماید قادر خواهد بود تا به کیف پول شما دسترسی پیدا کند، کلید خصوصی (Private Key) شما را به چنگ آورد و اقدام به نوشتن آن در اسکریپت Sweeper کند.
- کد حاوی پرایوت کی، قادر خواهد بود بی آنکه به شمای کاربر اطلاع دهد تراکنش‌ها را امضا کند و تسلط کامل و بی حد و مرز بر عملکرد‌های کیف پول داشته باشد.
- سپس، اسکریپت همهٔ تراکنش‌های کیف پول دیجیتال شمای کاربر را مانیتور می‌کند؛ اعم از آنکه ورودی یا خروجی‌های حساب شما باشند. قصد انتقال هر رمز ارزی را که داشته باشید، مقصد نهایی انتقال آن کیف پول هکر خواهد بود؛ حتی قبل از آن که شما اقدام یا واکنش خاصی بتوانید از خود به معرض نمایش بگذارید.