▶️Не так давно мы с вами обсудили дрейнеры в блокчейне TON; Тогда же мы c командой Neplox обратили внимание на особенности работы TON Connect — протокола для коммуникации dApp 🔄 кошельки; А теперь – подробнее, в новой статье:
🧩 ‟TON't Connect! NOTe on securing TON Wallets” (@neploxaudit)
⌨️ Вот так веб-приложения подключают TON Connect:
const tonConnectUI = new TonConnectUI({
buttonRootId: '<ID>',
manifestUrl: 'https://neplox.security/tonconnect-manifest.json',
...
});⌨️ Вот так они рассказывают о себе кошелькам через манифест,
tonconnect-manifest.json:{
"url": "https://neplox.security",
"name": "Neplox dApp",
"iconUrl": "https://neplox.security/icons/neplox.svg"
...
}▶️Заметили, что кошельки полагаются на информацию, предоставляемую [потенциально вредоносными!] приложениями в манифестах:
Некоторые – не предупреждают пользователей об опасностях, некоторые – недостаточно нормализуют данные, в связи с чем оказываются уязвимы; Сообщили вендорам, а теперь – вам!
1️⃣ Wallet impersonation:
Особенности протокола, благодаря которым возможна подделка кошелька➡️вектор для правдоподобного фишинга ❗️
2️⃣ DApp impersonation:
Особенности протокола, благодаря которым вредоносные приложения успешно притворяются легитимными;
3️⃣ Redirects from trusted context:
Недостатки реализации кошельков, из-за которых пользователи доверяют приложениям;
4️⃣ UI Redressing:
Перерисовка UI кошельков из-за некорректного парсинга манифестов➡️вектор для Clickjacking ❗️
5️⃣ XSS:
Внедрение полезной нагрузки в контекст кошельков из-за некорректного парсинга манифестов➡️взаимодействие с хранилищами / API вызовы / утечка данных / утечка средств / ... ❗️
// Время чтения: ~20 минут
➡Enjoy! 🙇♂
@HaHacking 🐇