تحليل مبادئ تصيد الويب 3: الفرق بين التفويض، الإذن و الإذن 2

في عالم Web3، أصبحت "احتيالات التوقيع" واحدة من أكثر أساليب الاحتيال استخدامًا من قبل القراصنة. على الرغم من أن خبراء الأمان يقومون باستمرار بتوعية الناس، لا يزال العديد من المستخدمين يقع في الفخ يوميًا. أحد الأسباب الرئيسية وراء ذلك هو أن معظم الناس يفتقرون إلى فهم المنطق الأساسي لتفاعل المحفظة، وأن مستوى التعلم مرتفع جدًا بالنسبة لغير المتخصصين. ستسعى هذه المقالة إلى شرح المبادئ الأساسية للاحتيال بالتوقيع بطريقة سهلة الفهم.

أولاً، نحتاج إلى فهم أن هناك نوعين رئيسيين من العمليات عند استخدام المحفظة: "التوقيع" و"التفاعل". ببساطة، يحدث التوقيع خارج سلسلة الكتل (خارج السلسلة) ولا يتطلب دفع رسوم الغاز؛ بينما يحدث التفاعل داخل سلسلة الكتل (داخل السلسلة) ويتطلب دفع رسوم الغاز.

عادةً ما تُستخدم التوقيعات للتحقق من الهوية، مثل تسجيل الدخول إلى المحفظة أو الاتصال بتطبيق لامركزي معين. هذه العملية لن تؤثر بشكل جوهري على blockchain، لذا لا داعي لدفع أي رسوم.

التفاعل يتضمن عمليات فعلية على السلسلة. على سبيل المثال، عند تبادل الرموز في DEX معين، تحتاج أولاً إلى تفويض العقد الذكي لاستخدام رموزك، ثم تنفيذ عملية التبادل. كلا الخطوتين تتطلبان دفع رسوم الغاز.

بعد فهم الفرق بين التوقيع والتفاعل، دعونا نلقي نظرة على بعض طرق الاحتيال الشائعة:

1. التصيد المصرح به: هذه تقنية صيد كلاسيكية. يقوم المخترقون بتزوير موقع جميل (مثل مشروع NFT مزيف) لجذب المستخدمين للنقر على أزرار مثل "استلام الإيجابية". في الواقع، بعد النقر، سيقوم المستخدم بتفويض عنوان المخترق باستخدام رموزه الخاصة. تتطلب هذه الطريقة دفع رسوم الغاز، وبالتالي من السهل نسبيًا على المستخدمين الحذرين التعرف عليها.

2. توقيع تصيد التصاريح: تُعتبر Permits ميزة موسعة لمعيار ERC-20، تتيح للمستخدمين الموافقة على استخدام رموزهم الخاصة من قبل الآخرين من خلال التوقيع. يمكن للمخترقين أن يحفزوا المستخدمين على توقيع رسالة تبدو غير ضارة، ولكنها في الواقع تفوض المخترق لنقل أصول المستخدم. هذه الطريقة لا تتطلب دفع رسوم الغاز، مما يجعل من السهل على المستخدمين الاسترخاء وعدم الانتباه.

3. تصيد توقيع Permit2: تعتبر Permit2 ميزة طرحتها بعض منصات التداول اللامركزية (DEX) تهدف إلى تبسيط إجراءات المستخدم. حيث تتيح للمستخدمين تفويض مبالغ كبيرة مرة واحدة، وبعد ذلك يتطلب فقط توقيعاً في كل صفقة. ومع ذلك، إذا كان المستخدم قد استخدم هذه المنصة من قبل ومنح صلاحيات غير محدودة، يمكن للقراصنة استغلال هذه الآلية في عمليات الاحتيال.

لتجنب هجمات الصيد بالتوقيع، يُوصى باتخاذ التدابير التالية:

1. تعزيز الوعي بالأمان، يجب التحقق بعناية في كل مرة يتم فيها إجراء عمليات على المحفظة.
2. فصل الأموال الكبيرة عن المحفظة المستخدمة يوميًا لتقليل الخسائر المحتملة.
3. تعلم كيفية التعرف على تنسيق توقيع Permit و Permit2، بما في ذلك المعلومات الأساسية التالية:
   • تفاعلي：رابط التفاعل
   • المالك：عنوان المصرح له
   • Spender: عنوان الطرف المفوض
   • القيمة：عدد التفويضات
   • Nonce：رقم عشوائي
   • Deadline: موعد انتهاء الصلاحية

من خلال فهم هذه المبادئ والاحتياطات ضد الصيد الاحتيالي، يمكن للمستخدمين حماية أصولهم على الويب 3 بشكل أفضل.