Web3サインフィッシング原理解析：承認、PermitとPermit2の違い

Web3の世界では、「サインフィッシング」はハッカーが最も一般的に使用する詐欺手段の一つとなっています。セキュリティ専門家が啓蒙活動を続けているにもかかわらず、毎日多くのユーザーが罠にはまっています。この状況の主な原因の一つは、大多数の人々がウォレットインタラクションの基本的な論理を理解しておらず、非技術者にとって学習のハードルが高いことです。本記事では、サインフィッシングの基本原理をわかりやすく説明しようと試みます。

まず、ウォレットを使用する際に主に2つの操作があることを理解する必要があります："署名"と"インタラクション"。簡単に言うと、署名はブロックチェーンの外（オフチェーン）で行われ、Gas代は必要ありません。一方、インタラクションはブロックチェーン上（オンチェーン）で行われ、Gas代が必要です。

署名は通常、ウォレットにログインしたり、特定のDAppに接続したりするための認証に使用されます。このプロセスはブロックチェーンに実質的な影響を与えないため、手数料を支払う必要はありません。

インタラクションは実際のオンチェーン操作を含みます。たとえば、あるDEXでトークンを交換する際には、まずスマートコントラクトにあなたのトークンを使用する権限を付与し、その後に交換操作を実行する必要があります。これらの2つのステップにはガス代が必要です。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名とインタラクションの違いを理解した後、一般的なフィッシング手法をいくつか見てみましょう：

1. 権限フィッシング： これはクラシックなフィッシング手法です。ハッカーは偽の美しいウェブサイト（例えば、偽のNFTプロジェクト）を作成し、ユーザーを"エアドロップを受け取る"ボタンをクリックするように誘導します。実際には、ユーザーがクリックすると、ハッカーのアドレスに自分のトークンを使用する権限を与えてしまいます。この方法はGas代を支払う必要があるため、比較的警戒心のあるユーザーによって識別されやすいです。

2. Permitサインフィッシング： PermitはERC-20標準の拡張機能であり、ユーザーが署名を通じて他者に自分のトークンの使用を許可できるようにします。ハッカーはユーザーに無害に見えるメッセージに署名させ、実際にはハッカーがユーザーの資産を移転することを許可させることができます。この方法はGas代を支払う必要がなく、ユーザーの警戒心を緩める可能性があります。

3. Permit2署名フィッシング： Permit2はあるDEXが導入した機能で、ユーザーの操作プロセスを簡素化することを目的としています。これにより、ユーザーは一度に大額の承認を行い、その後は各取引ごとに署名するだけで済みます。しかし、もしユーザーが以前にそのDEXを使用して無制限の額面を授与していた場合、ハッカーはこのメカニズムを利用してフィッシングを行うことができます。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名フィッシングを防ぐために、以下の対策を講じることをお勧めします:

1. セキュリティ意識を育て、ウォレット操作を行うたびに慎重に確認してください。
2. 大額資金を日常使用のウォレットと分けて、潜在的な損失を減らす。
3. PermitとPermit2の署名形式(次の重要な情報を含む)を認識する方法を学びます。
   • インタラクティブ：インタラクティブウェブサイト
   • オーナー：権限を持つ者のアドレス
   • Spender：承認されたアドレス
   • 値:認証の数
   • ノンス：ランダム数
   • Deadline:有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらのフィッシングの原理と防止策を理解することで、ユーザーは自分のWeb3資産をよりよく保護できるようになります。