Những tên tuổi lớn trong giới tiền tệ lần lượt bị lừa. Tại sao chữ ký Permit lại mạnh mẽ đến vậy?

Đọc bài viết này mất 9 phút

Hãy kiên nhẫn và đọc kỹ URL tương tác và nội dung chữ ký xuất hiện phía trên yêu cầu Chữ ký.

Nguồn gốc: GoPlus

Ghi chú của biên tập viên: Bài viết này được xuất bản lần đầu vào ngày 2 tháng 4 năm 2024. Vào ngày 28 tháng 9, Lookonchain đã xuất bản một tài liệu tiết lộ rằng một địa chỉ nhất định đã mất 12.083,6 spWETH (khoảng 32,33 triệu USD) do một cuộc tấn công lừa đảo. Arkham cho biết chiếc ví có thể liên quan đến người đồng sáng lập và CEO Cobo Shenyu (@bitfish1). Hiện tại, Shenyu vẫn chưa phản hồi về việc này. Hôm nay, Lookonchain đã báo cáo rằng một địa chỉ (có thể liên quan đến @ContinueFund) đã mất 15.079 fwDETH (trị giá 36 triệu USD) khi ký chữ ký lừa đảo "Cho phép" 6 giờ trước. Tại sao việc đánh bắt chữ ký Permit lại có sức mạnh đến mức ngay cả những tên tuổi lớn trong ngành cũng lần lượt bị cuốn vào? Bài viết này cung cấp phổ biến khoa học chi tiết về điều này. BlockBeats một lần nữa nhắc nhở người dùng không nhấp vào bất kỳ liên kết không xác định nào hoặc ký bất kỳ chữ ký không xác định nào.

Theo giám sát của nhóm bảo mật GoPlus, các cuộc tấn công lừa đảo đã trở thành nguy cơ chính gây thiệt hại nhiều nhất cho người dùng Web3 cá nhân. Những kẻ tấn công thường bắt chước Twitter, Telegram chính thức. email và trả lời Discord. Hoặc nhắn tin riêng cho người dùng để sử dụng các hoạt động airdrop, hoàn tiền và phúc lợi để thu hút người dùng nhấp vào các liên kết trang web lừa đảo, sau đó đánh cắp tài sản được ủy quyền của người dùng thông qua chữ ký "Cho phép" trong ví. Đây là tiêu chuẩn ủy quyền chữ ký ngoại tuyến áp dụng EIP-2612, cho phép người dùng phê duyệt mà không cần sở hữu Eth để trả phí Gas. Nó có thể đơn giản hóa quy trình phê duyệt của người dùng và giảm nguy cơ sai sót hoặc chậm trễ do quy trình phê duyệt thủ công gây ra, nhưng nó cũng trở thành một vấn đề. Các phương thức tấn công lừa đảo phổ biến hiện nay.

Chữ ký giấy phép là gì?

Nói một cách đơn giản, trước đây chúng ta cần Phê duyệt trước khi chúng tôi có thể ký chữ ký. Chuyển tiền sang các hợp đồng khác, nhưng nếu hợp đồng hỗ trợ Giấy phép, bạn có thể ký ngoại tuyến thông qua Giấy phép, bỏ qua Phê duyệt và không cần trả tiền gas cho việc ủy quyền, bên thứ ba có quyền kiểm soát tương ứng. quyền và có thể chuyển tiền do người dùng ủy quyền bất cứ lúc nào.

Alice sử dụng chữ ký ngoài chuỗi để ủy quyền cho giao thức. Giao thức gọi Permit để nhận ủy quyền trên chuỗi, sau đó gọi TransferFrom để chuyển tài sản tương ứng. .

1. Đính kèm chữ ký cấp phép vào giao dịch để tương tác, không cần phê duyệt trước

2. Các hoạt động trên chuỗi được vận hành bởi các địa chỉ được ủy quyền và chỉ có thể giao dịch được ủy quyền. được xem tại các địa chỉ được ủy quyền

3. Các phương pháp liên quan bắt buộc phải được ghi vào hợp đồng mã thông báo ERC20 được phát hành trước EIP-2612 không được hỗ trợ

Kẻ tấn công lừa đảo giả mạo Trang web sẽ sử dụng chữ ký Giấy phép để lấy ủy quyền của người dùng. Chữ ký Giấy phép thường bao gồm:

Tương tác: URL tương tác

Chủ sở hữu: địa chỉ bên ủy quyền

Người chi tiêu: Địa chỉ bên ủy quyền

Giá trị: Số lượng ủy quyền

Nonce: Số ngẫu nhiên (chống phát lại)

Thời hạn: Thời gian hết hạn

Sau khi người dùng ký vào Chữ ký giấy phép , Người chi tiêu có thể chuyển số tiền tương ứng trong thời hạn Giá trị tài sản.

Cách ngăn chặn các cuộc tấn công lừa đảo bằng chữ ký Permit

1. Các Liên kết không đáng tin cậy, hãy luôn kiểm tra kỹ thông tin kênh chính thức chính xác.

2. Nếu bạn mở bất kỳ trang web nào và đánh thức cửa sổ bật lên xác nhận chữ ký ví, đừng vội xác nhận, hãy kiên nhẫn và đọc kỹ URL tương tác. và nội dung chữ ký xuất hiện phía trên yêu cầu Chữ ký. Nói chung, các URL không quen thuộc và thông tin Giấy phép chứa Người chi tiêu và Giá trị sẽ xuất hiện trực tiếp vào [Từ chối] để tránh mất mát tài sản.

3. để đăng ký Cửa sổ bật lên [Chữ ký tin nhắn] được đánh thức khi tin nhắn được kích hoạt là một thao tác xác nhận an toàn và có thể nhấp vào như sau: