Uniswap Permit2サインフィッシング目薬の秘密

ハッカーはWeb3エコシステムにおいて恐ろしい存在です。プロジェクト側にとって、コードがオープンソースである特性は、彼らが開発する際に戦々恐々とさせ、一つのミスが脆弱性を残すことを恐れさせます。個人ユーザーにとって、自分の操作の意味を理解していなければ、毎回のチェーン上のインタラクションや署名が資産の盗難につながる可能性があります。したがって、安全性の問題は暗号世界の痛点の一つです。ブロックチェーンの特性により、盗まれた資産はほぼ回収不可能であるため、安全に関する知識を持つことが特に重要です。

最近、ある研究者が新しいフィッシング手法を発見しました。この手法では、署名するだけで資産が盗まれる可能性があります。この手法は非常に巧妙で防ぐのが難しく、Uniswapとやり取りしたアドレスもリスクにさらされる可能性があります。この記事では、この署名フィッシング手法について解説し、さらなる資産の損失を避けるための手助けをします。

###イベント

友人(の小A)のウォレット資産が盗まれた後、助けを求めています。一般的な盗難手口とは異なり、小Aは秘密鍵を漏らすこともなく、疑わしい契約とやり取りすることもありませんでした。

調査によると、小AのUSDTはTransferFrom関数を通じて移動されました。これは、第三者のアドレスがトークンを操作して移動したことを意味し、ウォレットの秘密鍵が漏洩したわけではありません。

取引の詳細が表示されます:

• アドレス(fd51)は小Aの資産を別のアドレス(a0c8)に移転します。
• この操作はUniswapのPermit2コントラクトと相互作用しています。

重要な問題は:fd51アドレスがどのように資産権限を取得したのか?なぜUniswapに関連しているのか?

さらに調査したところ、資産を移転する前に、fd51アドレスがPermit操作を1回行い、2つの操作がUniswap Permit2コントラクトと相互作用していることが分かりました。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

Uniswap Permit2は2022年末に導入された新しいコントラクトで、クロスアプリケーションのトークン承認の共有と管理を実現し、より統一された、高効率で、安全なユーザー体験を創出することを目的としています。より多くのプロジェクトが統合されるにつれて、Permit2はトークン承認の標準化を実現し、取引コストの削減と安全性の向上が期待されています。

Permit2の登場はDappエコシステムのルールを変える可能性があります。従来、ユーザーは各Dappに対して個別に承認する必要がありましたが、Permit2が中間者として機能することで、ユーザーはPermit2にのみ承認を与えれば、すべての統合されたDappがその承認を共有できるようになります。これにより、ユーザーのインタラクションコストが削減され、体験が向上します。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

しかし、Permit2は二刃の剣でもあります。ユーザーの操作をオフチェーン署名に変え、オンチェーン操作は中間者によって行われます。これにより、ユーザーはETHなしで他のトークンを使用してガスを支払ったり、中間者に払い戻しを受けたりすることが可能になりますが、オフチェーン署名が最も見落とされがちなセキュリティリスクになることも意味します。

分析表明,只要在2023年後とUniswapと相互作用し、Permit2を許可すれば、このフィッシングリスクに直面する可能性があります。鍵はPermit関数であり、これによりハッカーはユーザーの署名を通じてTokenの権限を取得し、資産を移転することができます。

イベントの詳細な分析

Permit関数はオンライン契約の署名に似ており、他者に将来トークンを使用することを事前に許可します。これは、署名の有効期限を確認し、署名の真実性を検証し、その後、許可記録を更新します。

verify関数は署名からv、r、sデータを抽出し、署名アドレスを復元してトークン所有者のアドレスと比較します。_updateApproval関数は、検証が通過した後に承認値を更新します。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

実際の取引では:

• ownerは小Aのウォレットアドレスです
• Detailsは、承認されたTokenのコントラクトアドレスと金額を表示します。
• Spenderはハッカーアドレスです
• sigDeadline は署名の有効期間です
• signature:Aの署名情報を示します

小Aは以前にUniswapを使用して、ほぼ無限の限度額を付与しました。ハッカーはこれを利用してフィッシングで署名を取得し、Permit2コントラクト内でPermitとTransferFrom操作を実行して資産を移転しました。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

現在、Uniswap Permit2契約はフィッシングのホットスポットとなっており、大量のインタラクションがマークされたフィッシングアドレスから来ています。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

予防措置の推奨事項

1. 所有者、支出者、価値、ノンス、期限などの重要な情報を含む、許可証の署名形式を認識する方法を学びます。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

2. 資産ウォレットとインタラクティブウォレットを分離し、潜在的な損失を減らします。

3. Permit2コントラクトの権限を慎重に付与し、必要な額のみを付与するか、余分な権限をキャンセルしてください。

4. 保有しているトークンがpermit機能をサポートしているかを確認し、サポートされているトークンの取引には特に注意を払うこと。

5. 詐欺に遭ったが他のプラットフォームにまだ資産がある場合は、資金移転計画を十分に策定する必要があります。MEV移転を利用するか、専門のセキュリティチームに協力を求めることを検討してください。

Permit2の適用範囲が拡大するにつれて、それに基づくフィッシングが増加する可能性があります。この署名フィッシング手法は隠密で防ぎにくく、リスクにさらされるアドレスも増えるでしょう。警戒を高め、関連知識を広めて、さらなる損失を避けてください。