Аналіз принципів фішингу в Web3: відмінності між авторизацією, Permit та Permit2

У світі Web3 "фішинг підписів" став одним із найпоширеніших методів шахрайства серед хакерів. Незважаючи на те, що експерти з безпеки постійно проводять просвітницьку роботу, щодня багато користувачів потрапляють у пастки. Однією з основних причин цього є те, що більшість людей не розуміє базову логіку взаємодії з гаманцями, і для непрофесіоналів поріг входження досить високий. У цій статті ми спробуємо пояснити базові принципи фішингу підписів у зрозумілій формі.

По-перше, ми повинні зрозуміти, що при використанні гаманця існує два основні типи операцій: "підпис" та "взаємодія". Простими словами, підпис відбувається поза блокчейном (поза ланцюгом) і не потребує сплати плати за газ; тоді як взаємодія відбувається в блокчейні (в ланцюзі) і вимагає сплати плати за газ.

Підпис зазвичай використовується для автентифікації, наприклад, для входу в гаманець або підключення до певного DApp. Цей процес не має суттєвого впливу на блокчейн, тому немає необхідності сплачувати збори.

Взаємодія включає фактичні операції на ланцюгу. Наприклад, під час обміну токенів на деякому DEX вам спочатку потрібно надати дозвіл смарт-контракту використовувати ваші токени, а потім виконати операцію обміну. Обидва ці кроки вимагають сплати Gas-кошту.

Зрозумівши різницю між підписом і взаємодією, давайте розглянемо кілька поширених способів фішингу:

1. Авторизаційна рибалка: Це класичний метод риболовлі. Хакери підробляють красивий веб-сайт (наприклад, підроблений NFT проект), щоб спонукати користувачів натискати кнопки "отримати аеродроп" тощо. Насправді, після натискання користувачі надають хакерським адресам доступ до своїх токенів. Цей спосіб потребує сплати Gas-кошту, тому відносно легко може бути виявлений настороженими користувачами.

2. Підписування фішингу Permit: Permit є розширеною функцією стандарту ERC-20, яка дозволяє користувачам через підпис схвалювати інших на використання своїх токенів. Хакери можуть спонукати користувачів підписати на перший погляд безневинне повідомлення, яке насправді є авторизацією хакера на переказ активів користувача. Цей спосіб не вимагає сплати Gas-кошту, що робить користувачів більш уразливими.

3. Фішинг підписів Permit2: Permit2 – це функція, запроваджена певним DEX, що має на меті спростити процеси користувачів. Вона дозволяє користувачам одноразово авторизувати великі суми, після чого для кожної угоди достатньо лише підписати її. Однак, якщо користувач раніше використовував цей DEX і надав безмежний ліміт, зловмисники можуть скористатися цією механікою для фішингу.

Для запобігання фішингу підписів рекомендується вжити такі заходи:

1. Виховуйте свідомість безпеки, щоразу ретельно перевіряйте під час операцій з гаманцем.
2. Розділіть великі суми грошей та гроші для щоденного використання, щоб зменшити потенційні втрати.
3. Навчіться розпізнавати формати підписів Permit і Permit2, включаючи такі ключові дані:
   • Interactive：інтерактивний веб-сайт
   • Власник：адреса уповноваженої особи
   • Spender: адреса уповноваженої особи
   • Значення：Кількість авторизацій
   • Нонс: випадкове число
   • Deadline：строк придатності

Зрозумівши ці принципи фішингу та заходи запобігання, користувачі можуть краще захистити свої активи Web3.