Slow Mist: WalletConnect の不適切な使用によるフィッシング リスクの可能性に注意してください

SlowMist は、Web3 ウォレット WalletConnect のフィッシング リスクに注意する必要があると述べました。 2023 年 1 月 30 日、SlowMist のセキュリティ チームは、Web3 ウォレットでの WalletConnect の不適切な使用により、フィッシングのセキュリティ リスクが生じる可能性があることを発見しました。この問題は、モバイル ウォレット アプリで組み込みの DApp Browser + WalletConnect を使用するシナリオで発生します。一部の Web3 ウォレットが WalletConnect サポートを提供する場合、WalletConnect トランザクション ポップアップ ウィンドウがポップアップする領域に制限がないため、ウォレットの任意のインターフェースで署名要求がポップアップします。ユーザーが DApp ブラウザ インターフェイスを離れ、この例の Wallet や Discover などのウォレットの他のインターフェイスに切り替える場合、ユーザー エクスペリエンスに影響を与えず、承認の繰り返しを避けるために、この時点で Wallet Connect の接続は切断されません。しかし、このときユーザーが悪意のある DApp によって突然署名要求のポップアップ ウィンドウが表示されることによる誤操作であり、フィッシングによる資産の譲渡につながる可能性があります。このセキュリティ問題の核心は、DApp Browser インターフェースを他のインターフェース、特に機密性の高い操作リクエストに切り替えた後、ユーザーが DApp Browser インターフェースからのリクエストに応答するためにウィンドウを自動的にポップアップし続ける必要があるかどうかです。インターフェイスを通過した後の盲目的なポップアップ応答は、ユーザーの誤操作につながりやすいためです。これにはセキュリティ原則が含まれます。WalletConnect が接続された後、ユーザーが DApp ブラウザ インターフェイスを別のインターフェイスに切り替えたことをウォレットが検出した後、DApp ブラウザからのポップアップ リクエストを処理してはなりません。