Prólogo
En el mundo blockchain, cada operación en cadena requiere el soporte de las tarifas de Gas. Es el "combustible" que impulsa la red, pero también se ha convertido en un objetivo codiciado por actores malintencionados. Desde autorizaciones ilimitadas que permiten que los activos sean transferidos "silenciosamente", hasta el secuestro de tarifas de Gas que hace que los usuarios paguen costos muy superiores a lo esperado, estas trampas se están volviendo cada vez más sigilosas.
A diferencia de los ataques de phishing tradicionales, este tipo de ataques a menudo se disfrazan de operaciones normales como "autorización", "acuñación de NFT" o "participación en minería DeFi", aprovechando la falta de familiaridad de los usuarios con los mecanismos de los contratos para consumir o incluso robar activos sin que se den cuenta. Para ayudar a todos a reconocer estos riesgos, el equipo de seguridad de Zero Time Technology, basándose en las prácticas de seguridad de la industria y en una serie de divulgaciones sobre seguridad blockchain, se enfoca en las tarifas de Gas y la seguridad de las transacciones, desglosando las trampas comunes, compartiendo técnicas prácticas de prevención y definiendo planes de acción de emergencia en caso de pérdida de activos.
Parte 01-Trampas Comunes de Seguridad en Tarifas de Gas y Transacciones
Las tarifas de Gas, como el "pase de acceso" a las transacciones en cadena, tienen una seguridad directamente vinculada a la de los activos del usuario. Los actores malintencionados se aprovechan de los puntos ciegos en el conocimiento de los usuarios sobre los mecanismos de Gas y la autorización de contratos, diseñando diversas trampas sigilosas, a menudo disfrazadas de interacciones normales en cadena, lo que las hace difíciles de detectar. Las trampas comunes se dividen principalmente en estas 3 categorías:
1. Autorización Ilimitada
La autorización ilimitada ocurre cuando un usuario, al interactuar con un contrato inteligente, concede al contrato el permiso de usar "sin límite superior" un tipo específico de token en su wallet. Esta es una de las trampas de fuga de activos más comunes y dañinas.
◆Lógica de funcionamiento: Cuando haces clic en el botón "Autorizar" en una DApp, si no revisas cuidadosamente el monto de la autorización, es probable que firmes un acuerdo de "autorización ilimitada". Esto significa que, en teoría, ese contrato puede transferir en cualquier momento todos tus tokens de ese tipo en la wallet, sin necesidad de obtener tu confirmación nuevamente.
◆Escenario típico: Al acuñar NFTs de proyectos pequeños, participar en minería de liquidez DeFi no auditada o usar DEXs no reconocidos para operar, los contratos maliciosos suelen tener preseleccionada la opción "autorización ilimitada" por defecto, induciendo a los usuarios a confirmar rápidamente. Luego, transfieren por lotes los activos de la wallet sin que el usuario se percate.
2. Secuestro de Tarifas de Gas (Gas Fee Hijacking)
El secuestro de tarifas de Gas se refiere a cuando un atacante, mediante un contrato malicioso o manipulando los datos de la transacción, obliga al usuario a pagar tarifas de Gas muy superiores a los niveles normales, o incluso roba directamente las tarifas de Gas pagadas por el usuario. Su esencia es obtener beneficios ilegales manipulando los parámetros relacionados con el Gas.
◆Lógica de funcionamiento:
-
Manipulación del frontend: El frontend de la DApp controlado por el atacante, cuando el usuario inicia una transacción, automáticamente establece el precio del Gas o el límite de Gas a un nivel extremadamente alto, muy por encima de las tarifas normales incluso en congestión de red.
-
Consumo malicioso en el contrato: El contrato malicioso incorpora código de "bucle infinito" que, al ejecutarse, consume Gas continuamente hasta agotar el límite de Gas establecido por el usuario. La transacción finalmente falla, pero la tarifa de Gas ya ha sido cobrada por los nodos de la blockchain.
◆ Escenario típico: Un usuario participa en la acuñación de una lista blanca (whitelist) de un proyecto NFT popular a través de un enlace no oficial. Después de hacer clic en confirmar, la wallet deduce instantáneamente ETH por un valor decenas de veces superior al normal como tarifa de Gas, y el NFT no llega.
3. Autorización Falsa / Transacción Falsa
El atacante falsifica solicitudes de autorización o ventanas emergentes de transacción para inducir al usuario a firmar datos maliciosos, robando así activos directamente o tomando el control de la wallet. A menudo se superpone con trampas de tarifas de Gas.
◆Lógica de funcionamiento:
-
Inducción mediante enlaces de phishing: El usuario hace clic en un "enlace oficial" dentro de un correo de phishing, un mensaje privado de Discord o un anuncio en redes sociales, y accede a un sitio web falso muy similar a la DApp legítima.
-
Falsificación de solicitudes maliciosas: La ventana emergente de "autorización" que aparece en el sitio falso, superficialmente muestra "autorizar token para transacciones", pero los datos reales de la transacción han sido manipulados y son una instrucción para transferir directamente los activos del usuario a la wallet del atacante.
◆ Escenario típico: Un usuario recibe un mensaje privado que dice "Su wallet tiene riesgo de seguridad, necesita autorización urgente para verificación". Al hacer clic en el enlace y completar la autorización, no solo paga una tarifa de Gas exorbitante, sino que los tokens principales en su wallet son transferidos instantáneamente.
Parte 02-Configuración de Seguridad de Wallets y Medidas Preventivas
Para hacer frente a las trampas de seguridad mencionadas relacionadas con el Gas y las transacciones, el núcleo está en la "prevención anticipada". Los usuarios no necesitan dominar tecnología blockchain compleja, solo deben enfocarse en tres pilares clave: gestión de autorizaciones, configuración de tarifas de Gas y verificación de transacciones, desarrollando buenos hábitos operativos para evitar riesgos efectivamente. Se puede proceder específicamente desde los siguientes 3 puntos:
1. Control Estricto del Monto de Autorización, Adherirse al Principio de "Autorización Mínima"
La operación de autorización es la principal brecha para la fuga de activos. Controlar el monto de la autorización significa cortar el riesgo desde la fuente. La clave es "no autorizar saldos excesivos, revocar cuando no se use".
◆Rechazar la autorización ilimitada: Al realizar cualquier operación de autorización en una DApp, asegúrate de descartar la "opción por defecto" y seleccionar "monto personalizado", autorizando solo la cantidad mínima de tokens necesaria para la operación actual (por ejemplo, acuñar un NFT solo requiere autorizar 0.01 ETH, una transacción solo requiere autorizar el monto de esta transacción).
◆Autorizar según necesidad, revocar después de usar: Para DApps con las que interactúas temporalmente, revoca la autorización inmediatamente después de completar la operación. Para DApps合规 (cumplimiento) de uso prolongado, verifica periódicamente los montos de autorización para evitar riesgos de activos debido a vulnerabilidades en el contrato.
2. Configuración Precisa de las Tarifas de Gas, Evitar el Secuestro Malicioso
La configuración de los parámetros de Gas es clave para prevenir el secuestro de tarifas de Gas. Es necesario tomar el control activo de los permisos de configuración de Gas, no ser manipulado por frontends o contratos maliciosos, y reducir pérdidas costosas innecesarias.
◆Habilitar el control avanzado de Gas: En wallets principales (como MetaMask, TokenPocket) activa la función "Gestión avanzada de Gas" para establecer manualmente el límite superior del precio del Gas y del límite de Gas, evitando que parámetros sean alterados por frontends maliciosos.
◆Usar datos on-chain como referencia: Antes de iniciar una transacción, consulta el precio promedio de Gas actual de la red a través de exploradores de bloques como Etherscan, Arbiscan, y rechaza solicitudes de transacción con precios明显mente por encima del nivel del mercado.
◆Evitar períodos de alta congestión: Durante momentos de acuñación de proyectos populares, anuncios de políticas importantes, etc., las tarifas de Gas de la red se disparan. En estos casos, se deben suspender las operaciones no urgentes, o elegir redes Layer2 para completar las interacciones, reduciendo costos y riesgos.
3. Fortificar la Defensa de Seguridad de Transacciones, Evitar Trampas Básicas
Además de la autorización y la configuración de Gas, verificar los detalles de cada transacción y la seguridad del escenario de interacción también son eslabones importantes para prevenir trampas. Se debe "verificar con cuidado, rechazar lo sospechoso".
◆Verificar la información central de la transacción: Al confirmar la ventana emergente de la wallet, se deben verificar tres puntos indispensables: si la dirección del contrato receptor coincide con la oficial, si el monto de la transacción es correcto y si los parámetros de la tarifa de Gas son razonables.
◆Verificar la autenticidad de la DApp: Acceder a los enlaces de la DApp solo a través de sitios web oficiales, cuentas verificadas (blue V) en redes sociales; verificar el certificado SSL del sitio web y la dirección del contrato; rechazar hacer clic en enlaces de origen desconocido.
◆Aislar activos de riesgo: Adoptar una "estrategia de doble wallet": la wallet caliente (hot wallet) solo contiene una pequeña cantidad de activos para interacciones diarias; los activos de gran valor se almacenan en una wallet hardware o wallet fría (cold wallet), aislando completamente el riesgo de interacción on-chain.
Parte 03-Gestión tras Daños a los Activos y Herramientas Recomendadas
Incluso con las precauciones tomadas, es posible sufrir un ataque malicioso por descuido. En ese momento, una gestión rápida y precisa puede minimizar las pérdidas. El equipo de seguridad de Zero Time Technology, basándose en experiencia práctica, ha recopilado "pasos de actuación de emergencia" y "herramientas de seguridad esenciales" para ayudar a los usuarios a tomar la iniciativa durante una crisis.
1. Tres Pasos de Actuación de Emergencia (Los 10 Minutos de Oro)
La operación de autorización es la principal brecha para la fuga de activos. Controlar el monto de la autorización significa cortar el riesgo desde la fuente. La clave es "no autorizar saldos excesivos, revocar cuando no se use".
◆Congelar inmediatamente la wallet y revocar autorizaciones: Al detectar una transferencia anormal de activos o una deducción excesiva de tarifas de Gas, lo primero es congelar las operaciones usando la función "Pausar transacciones" de la wallet; simultáneamente, abrir una herramienta de gestión de autorizaciones y revocar masivamente todas las autorizaciones de contratos sospechosos, cortando el canal de transferencia de activos del atacante.
◆Recopilar evidencia e informar a las plataformas: Hacer capturas de pantalla del hash de la transacción (TxID), la dirección del contrato malicioso, los registros de autorización, el enlace de acceso a la DApp y otras evidencias clave; enviar el hash de la transacción al explorador de bloques para marcarla como "ataque sospechoso"; además, proporcionar feedback oficial a la wallet y a la plataforma de la DApp, solicitando asistencia para interceptar.
◆Buscar ayuda de agencias de seguridad profesionales: Si involucra pérdidas de activos de gran valor, contactar inmediatamente a una agencia profesional de seguridad blockchain (como Zero Time Technology), proporcionando la cadena completa de evidencia. Los equipos de seguridad pueden usar técnicas de trazabilidad on-chain para rastrear el flujo de fondos del atacante, asistir en contactar con las autoridades encargadas de hacer cumplir la ley e intentar congelar los activos de las direcciones involucradas.
2. Herramientas Esenciales de Seguridad Blockchain Recomendadas
Para ayudar a los usuarios en la protección diaria y la gestión rápida de riesgos, se seleccionan 4 herramientas prácticas que cubren escenarios clave como gestión de autorizaciones, verificación de transacciones y alertas de riesgo, todas reconocidas en la industria:
3. Errores Comunes en la Gestión (Guía para Evitar Problemas)
Para ayudar a los usuarios en la protección diaria y la gestión rápida de riesgos, se seleccionan 4 herramientas prácticas que cubren escenarios clave como gestión de autorizaciones, verificación de transacciones y alertas de riesgo, todas reconocidas en la industria:
◆Error uno: Pagar una "tarifa de descongelación" para recuperar activos — Los atacantes piden tokens con la excusa de "ayudar a congelar la dirección involucrada", es esencialmente una estafa secundaria, no se debe creer.
◆Error dos: Eliminar la wallet y asunto resuelto — Eliminar la wallet no revoca las autorizaciones de los contratos, el atacante aún puede transferir los activos. Lo correcto es revocar los permisos primero y luego resetear la wallet.
◆Error tres: Ignorar la trazabilidad on-chain — Tras una pérdida grande, la fuerza individual no puede rastrear el flujo de fondos. Se debe recurrir a agencias profesionales y autoridades, no renunciar a defender los derechos.
Conclusión
Las tarifas de Gas y la seguridad de las transacciones son la "primera línea de defensa" en el mundo blockchain. Trampas como la autorización ilimitada o el secuestro de Gas se aprovechan esencialmente de la心理 de侥幸 (mentalidad de侥幸 - suerte/riesgo) de los usuarios y de su desconocimiento de los detalles técnicos. Frente a las invitaciones de interacción de varias DApps, recordar los tres principios de "autorización mínima, transacción con calma, gestión rápida tras daños" permite evitar efectivamente la gran mayoría de los riesgos.
