Раскрытие мошенничества с подделкой подписей Uniswap Permit2

Хакеры являются пугающим существом в экосистеме Web3. Для разработчиков открытость кода заставляет их работать в страхе, боясь, что одна ошибка приведет к уязвимости. Для индивидуальных пользователей, если они не понимают значение своих действий, каждое взаимодействие или подпись в блокчейне могут привести к краже активов. Поэтому вопросы безопасности всегда были одной из проблем в мире криптовалют. Из-за особенностей блокчейна украденные активы практически невозможно вернуть, поэтому знание вопросов безопасности особенно важно.

Недавно один исследователь обнаружил новый метод фишинга, при котором достаточно подписи, чтобы привести к краже активов. Этот метод чрезвычайно скрытный и труден для предотвращения, и все адреса, взаимодействовавшие с Uniswap, могут подвергаться риску. В этой статье мы расскажем о методе фишинга с помощью подписи, чтобы минимизировать возможные потери активов.

Ход событий

Один друг (, после кражи активов из кошелька маленького A ), ищет помощи. В отличие от распространенных способов кражи, маленький A не раскрыл свой приватный ключ и не взаимодействовал с подозрительными контрактами.

Исследование показало, что USDT маленького А был переведен с помощью функции TransferFrom. Это означает, что перевод токена был выполнен третьим лицом, а не из-за утечки приватного ключа кошелька.

Детали сделки показывают:

• Адрес (fd51) перевел активы Маленького А на другой адрес (a0c8)
• Эта операция взаимодействует с контрактом Permit2 от Uniswap.

Ключевой вопрос: как адрес fd51 получил права на активы? Почему это связано с Uniswap?

Дальнейшее расследование показало, что перед переводом активов адрес fd51 также выполнил операцию Permit, и обе операции взаимодействовали с контрактом Uniswap Permit2.

Uniswap Permit2 — это новый контракт, представленный в конце 2022 года, который предназначен для осуществления совместного использования и управления токенами между приложениями, создавая более унифицированный, эффективный и безопасный пользовательский опыт. С увеличением числа интеграций проектов, Permit2 ожидает стандартизации авторизации токенов, снижения торговых издержек и повышения безопасности.

Появление Permit2 может изменить правила экосистемы Dapp. Традиционно пользователи должны были отдельно авторизовывать каждое Dapp, тогда как Permit2, выступая в роли посредника, позволяет пользователям авторизовать только Permit2, и все интегрированные Dapp могут делиться этой авторизацией. Это снижает затраты на взаимодействие пользователей и улучшает опыт.

Однако Permit2 также является двусторонним мечом. Он превращает операции пользователя в подписи вне цепи, а операции в цепи выполняются промежуточной стороной. Это позволяет пользователям оплачивать Gas другими токенами или получать возмещение от промежуточной стороны без необходимости в ETH, но также делает подписи вне цепи самым легко игнорируемым риском безопасности.

Анализ показывает, что если взаимодействовать с Uniswap и разрешить Permit2 после 2023 года, это может привести к риску фишинга. Ключевым моментом является функция Permit, которая позволяет хакерам получать доступ к токенам и перемещать активы через подпись пользователя.

Подробный анализ события

Функция Permit аналогична онлайн-подписанию контракта, позволяет заранее уполномочить других на будущее использование токенов. Она проверяет срок действия подписи, подтверждает подлинность подписи, а затем обновляет записи о разрешениях.

Функция verify извлекает данные v, r, s из подписи, восстанавливает адрес подписи и сравнивает его с адресом владельца токена. Функция _updateApproval обновляет значение разрешения после успешной проверки.

Фактическая сделка:

• owner это адрес кошелька маленького A
• В деталях отображается адрес контракта Token и сумма, разрешенные к использованию.
• Spender — это адрес хакера
• sigDeadline это срок действия подписи
• signature это подпись маленького А

Маленький A ранее предоставил почти неограниченный лимит при использовании Uniswap. Хакеры воспользовались этим, получив подпись через фишинг, и выполнили операции Permit и TransferFrom в контракте Permit2 для перевода активов.

В настоящее время контракт Uniswap Permit2 стал горячей точкой для промывания глаз, а большое количество взаимодействий поступает от помеченных адресов мошенников.

рекомендации по предотвращению

1. Научитесь распознавать формат подписи Permit, который включает ключевую информацию, такую как Владелец, Распорядитель, значение, nonce и срок действия.

2. Используйте разделение активного кошелька и интерактивного кошелька, чтобы уменьшить потенциальные потери.

3. Осторожно предоставляйте разрешение на контракт Permit2, разрешайте только необходимую сумму или отменяйте избыточное разрешение.

4. Узнайте, поддерживает ли ваш токен функцию permit, будьте особенно осторожны с торговлей токенами, которые поддерживают эту функцию.

5. Если вы обнаружите, что стали жертвой промывания глаз, но у вас все еще есть активы на других платформах, необходимо разработать полноценный план по переводу средств, можно рассмотреть использование MEV для перевода или обратиться за помощью к профессиональной команде безопасности.

С расширением области применения Permit2 может увеличиться количество фишинговых атак на его основе. Этот способ фишинга с использованием подписей скрыт и труден для предотвращения, также увеличится количество адресов, подверженных риску. Пожалуйста, будьте бдительны и распространяйте соответствующие знания, чтобы избежать большего ущерба.