Web3 İmza Phishing İlkeleri Analizi: Yetkilendirme, Permit ve Permit2 Arasındaki Farklar

Web3 dünyasında, "imza oltası" hackerların en yaygın dolandırıcılık yöntemlerinden biri haline geldi. Güvenlik uzmanları sürekli olarak farkındalık yaratmaya çalışsalar da, her gün birçok kullanıcı tuzağa düşüyor. Bunun başlıca nedenlerinden biri, çoğu insanın cüzdan etkileşimlerinin temel mantığını anlamakta yetersiz kalması ve teknik olmayan kişiler için öğrenme eşiğinin yüksek olmasıdır. Bu makale, imza oltasının temel prensiplerini anlaşılır bir şekilde açıklamayı deneyecektir.

Öncelikle, cüzdan kullanırken iki ana işlem olduğunu anlamamız gerekiyor: "imza" ve "etkileşim". Kısaca, imza blok zincirinin dışında (off-chain) gerçekleşir, Gas ücreti ödenmesi gerekmez; etkileşim ise blok zincirinde (on-chain) gerçekleşir ve Gas ücreti ödenmesi gerekir.

İmza genellikle kimlik doğrulama için kullanılır, örneğin cüzdana giriş yapmak veya bir DApp'e bağlanmak. Bu süreç, blok zincirinde herhangi bir maddi etki yaratmaz, bu nedenle ücret ödenmesine gerek yoktur.

Etkileşim, gerçek zincir üstü işlemleri içerir. Örneğin, bir DEX'te token değişimi yaparken, öncelikle akıllı sözleşmeye token'larınızı kullanma izni vermeniz gerekir, ardından değişim işlemini gerçekleştirirsiniz. Bu iki adım da Gas ücreti ödemeyi gerektirir.

İmza ve etkileşim arasındaki farkı anladıktan sonra, birkaç yaygın dolandırıcılık yöntemine bakalım:

1. Yetki Phishing: Bu klasik bir oltalama yöntemidir. Hackerlar, kullanıcıları "Airdrop'u al" gibi düğmelere tıklamaya yönlendirmek için şık bir web sitesi (örneğin sahte bir NFT projesi) sahte olarak oluştururlar. Aslında, kullanıcı tıkladığında hacker adresine kendi token'larını kullanma izni vermiş olur. Bu yöntem Gas ücreti ödemeyi gerektirir, bu nedenle dikkatli kullanıcılar tarafından görece kolay bir şekilde fark edilir.

2. Permit imza phishing: Permit, ERC-20 standardının bir genişletme özelliğidir ve kullanıcılara kendi token'larını başkalarının kullanmasına izin vermek için imza ile onay verme imkanı tanır. Hackerlar, kullanıcılara zararsız görünen bir mesaj imzalamaya ikna edebilirler, bu aslında hacker'ın kullanıcının varlıklarını transfer etmesine yetki vermektedir. Bu yöntem, Gas ücreti ödemeden gerçekleştirilebilir ve kullanıcıların dikkatini dağıtmakta kolaylık sağlar.

3. Permit2 imza oltalama: Permit2, bazı DEX'ler tarafından başlatılan bir özellik olup, kullanıcı işlemlerini basitleştirmeyi amaçlamaktadır. Kullanıcılara bir kerede yüksek limit yetkisi verme imkanı tanırken, her işlemde sadece imza atmak yeterlidir. Ancak, kullanıcı daha önce bu DEX'i kullanıp sınırsız yetki vermişse, bir hacker bu mekanizmayı kullanarak oltalama yapabilir.

İmza oltalama saldırılarına karşı önlem almak için aşağıdaki önlemleri almanız önerilir:

1. Güvenlik bilincini geliştirin, cüzdan işlemleri yaparken her zaman dikkatlice kontrol edin.
2. Büyük miktardaki fonları günlük kullanılan cüzdanlardan ayırarak potansiyel kayıpları azaltın.
3. Permit ve Permit2'nin imza formatını tanımayı öğrenin, aşağıdaki ana bilgileri içermektedir:
   • İnteraktif：etkileşimli web sitesi
   • Sahibi：Yetki veren adres
   • Harcayan: Yetkilendirilmiş tarafın adresi
   • Değer: Yetkilendirilmiş Miktar
   • Nonce：rastgele sayı
   • Son Tarih：geçerlilik süresi

Bu balıkçılık ilkeleri ve önleme tedbirlerini anlayarak, kullanıcılar Web3 varlıklarının güvenliğini daha iyi koruyabilir.