Guia de Segurança de Transações Web3: Proteja seus ativos digitais

Com o constante desenvolvimento da tecnologia blockchain, as transações on-chain tornaram-se uma parte indispensável da vida quotidiana dos utilizadores de Web3. Cada vez mais utilizadores escolhem transferir ativos de plataformas centralizadas para redes descentralizadas, o que significa que a responsabilidade pela segurança dos ativos está gradualmente a passar das plataformas para os próprios utilizadores. No ambiente on-chain, os utilizadores precisam ser responsáveis por cada passo da operação, seja a importação de carteiras, o acesso a DApps, ou a realização de autorizações de assinatura e a iniciação de transações; qualquer erro de operação pode gerar riscos de segurança, resultando em vazamento de chaves privadas, abuso de autorizações ou ataques de phishing, entre outras consequências graves.

Apesar de atualmente as extensões de carteira e os navegadores mainstream já terem integrado gradualmente funcionalidades como identificação de phishing e alertas de risco, enfrentar métodos de ataque cada vez mais complexos apenas com a defesa passiva das ferramentas ainda é difícil para evitar completamente os riscos. Para ajudar os usuários a identificar melhor os riscos potenciais nas transações on-chain, organizamos um conjunto abrangente de diretrizes de segurança para transações on-chain com base na experiência prática, com o objetivo de ajudar cada usuário do Web3 a estabelecer uma linha de defesa "autônoma e controlável".

Princípios fundamentais do comércio seguro

• Recusar a assinatura cega: nunca assine transações ou mensagens que não compreenda.
• Verificação repetida: Antes de realizar qualquer transação, certifique-se de verificar várias vezes a precisão das informações relevantes.

Sugestões para transações seguras

1. Escolha uma carteira segura e confiável: Priorize o uso de carteiras de hardware ou carteiras de software com boa reputação, as carteiras de hardware são especialmente adequadas para armazenar grandes quantidades de ativo digital.

2. Verifique cuidadosamente os detalhes da transação: Antes de confirmar a transação, certifique-se de verificar repetidamente o endereço de recebimento, o valor e as informações da rede, para evitar perdas devido a erros de digitação.

3. Ativar a autenticação em duas etapas: Se a carteira ou plataforma de negociação suportar a autenticação de dois fatores (2FA), deve ativar esta funcionalidade para aumentar a segurança da conta.

4. Evite usar Wi-Fi público: Não faça transações em redes Wi-Fi públicas para evitar ataques de phishing ou ataques de intermediários.

Processo de negociação segura

Um processo completo de transação de DApp geralmente inclui as seguintes etapas: instalação da carteira, acesso ao DApp, conexão da carteira, assinatura de mensagem, assinatura de transação e processamento pós-transação. Cada etapa apresenta riscos de segurança potenciais, e abaixo vamos detalhar as questões de segurança que devem ser observadas em cada passo.

1. Instalação da carteira

• Certifique-se de instalar o software da carteira a partir da loja oficial de aplicativos, evitando usar versões fornecidas por sites de terceiros.
• Recomenda-se usar uma carteira de hardware em conjunto, para aumentar ainda mais a segurança da gestão das chaves privadas.
• Ao fazer backup da frase-semente, deve armazená-la em um local seguro e offline, longe de dispositivos digitais.

2. Aceder ao DApp

• Cuidado com ataques de phishing na web, especialmente com comportamentos de indução sob a forma de airdrops.
• Verifique cuidadosamente a correção do URL antes de acessar o DApp:
  • Evite acessar diretamente através de motores de busca
  • Não clique facilmente em links nas redes sociais
  • Verifique o URL oficial do DApp com várias partes.
  • Adicionar sites seguros aos favoritos do navegador
• Após abrir a página da DApp, verifique a barra de endereços:
  • Confirme que o domínio e o URL estão corretos
  • Assegure-se de utilizar uma ligação HTTPS, o navegador exibirá o ícone de cadeado de segurança.

3. Conectar carteira

• Preste atenção às informações de aviso de risco do plugin da carteira.
• Esteja atento a comportamentos anormais de solicitações de assinatura frequentes, que podem ser características de sites de phishing.

4. Assinatura de mensagem

• Recusar assinaturas cegas, revisar cuidadosamente cada conteúdo de assinatura.
• Compreender os tipos de assinatura comuns e os seus usos:
  • eth_sign: usado para assinatura de dados hash
  • personal_sign: utilizado para assinatura de informações em texto simples, comumente encontrado na verificação de login
  • eth_signTypedData (EIP-712): usado para assinatura de dados estruturados, como Permissão ERC20, listagens de NFT, etc.

5. Assinatura de transação

• Verifique cuidadosamente o endereço de recebimento, o montante e as informações da rede para garantir que estão corretos.
• Para grandes transações, recomenda-se o uso de assinatura offline para reduzir o risco de ataques online.
• Preste atenção às taxas de gas, garantindo que sejam razoáveis, e esteja atento a taxas de gas anormalmente altas.
• Para utilizadores tecnicamente experientes, é possível realizar uma análise aprofundada do contrato alvo de interação através do explorador de blockchain.

6. Processamento pós-negociação

• Verifique rapidamente o estado da transação na blockchain para confirmar se está de acordo com as suas expectativas.
• Ao detectar anomalias, tome imediatamente medidas de stop-loss, como transferência de ativos e revogação de autorização.
• Gestão periódica da autorização ERC20 Approval:
  • Seguir o princípio de autorização mínima
  • Revogar rapidamente as autorizações de tokens que não são mais necessários

Estratégia de Isolamento de Fundos

Para reduzir o risco, recomenda-se adotar a seguinte estratégia de isolamento de fundos:

• Utilize uma carteira multi-assinatura ou uma carteira fria para armazenar ativos de grande valor
• Usar a carteira de plug-in como carteira quente para interações diárias
• Trocar regularmente o endereço da carteira quente, reduzindo o risco de exposição a longo prazo

Se você for vítima de um ataque de phishing, tome as seguintes medidas imediatamente:

• Usar ferramentas profissionais para revogar autorizações de alto risco
• Para as assinaturas de permit que já foram assinadas mas ainda não executadas, iniciar imediatamente uma nova assinatura para torná-las inválidas.
• Transferir rapidamente os ativos restantes para um novo endereço ou carteira fria, se necessário.

Participação Segura em Atividades de Airdrop

• Realizar uma pesquisa aprofundada sobre o contexto do projeto e confirmar a sua credibilidade
• Participar com um endereço dedicado, isolando os ativos principais
• Tenha cuidado com os links, obtenha informações sobre a airdrop apenas através de canais oficiais.

Escolha e uso de ferramentas de plugin

• Escolha plugins de carteira de boa reputação e amplamente utilizados.
• Verifique as avaliações dos usuários e a quantidade de instalações antes de instalar um novo plugin
• Atualizar plugins regularmente para obter as últimas funcionalidades de segurança

Conclusão

No mundo da blockchain, os usuários precisam enfrentar de forma independente vários desafios de segurança. Ao seguir as recomendações de segurança fornecidas neste guia, combinando o uso de carteiras de hardware, implementando estratégias de isolamento de fundos, verificando regularmente as autorizações, entre outras medidas, e aderindo ao princípio de "verificação múltipla, recusar assinatura cega, isolamento de fundos" em cada transação, os usuários podem desfrutar da conveniência que a tecnologia blockchain oferece, ao mesmo tempo que protegem efetivamente a segurança dos seus ativos digitais. Lembre-se, no mundo Web3, a consciência de segurança e bons hábitos operacionais são essenciais para proteger os ativos.