慢雾：警惕 WalletConnect 使用不当可能存在的钓鱼风险

慢雾表示，需要警惕 Web3 钱包 WalletConnect 钓鱼风险。2023 年 1 月 30 日，慢雾安全团队发现 Web3 钱包上关于 WalletConnect 使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包 App 内置的 DApp Browser + WalletConnect 的场景下。部分 Web3 钱包在提供 WalletConnect 支持的时候，没有对 WalletConnect 的交易弹窗要在哪个区域弹出进行限制，因此会在钱包的任意界面弹出签名请求。当用户离开 DApp Browser 界面切换到钱包其他界面如示例中的 Wallet、Discover 等界面，由于钱包为了不影响用户体验和避免重复授权，此时 Wallet Connect 的连接是没有断开的，但是此时用户却可能因为恶意 DApp 突然发起的签名请求弹窗而误操作导致被钓鱼转移走资产。这个安全问题的核心是用户切换 DApp Browser 界面到其他界面后，是否应继续自动弹窗响应来自 DApp Browser 界面的请求，尤其是敏感操作请求。因为跨界面后盲目弹窗响应很容易导致用户的误操作。这里面涉及到一个安全原则：WalletConnect 连接后，钱包在检测到用户切换 DApp Browser 界面到其他界面后，应该对来自 DApp Browser 的弹窗请求不进行处理。