Безпека підпису знову б’є на сполох: Глибина аналізу події риболовлі за підписом Uniswap Permit2
Нещодавно новий тип фішингової атаки з використанням контракту Uniswap Permit2 привернув широку увагу. Цей метод атаки надзвичайно прихований і важкий для запобігання, і ризику можуть піддаватися всі адреси, які раніше взаємодіяли з Uniswap. У цій статті буде детально розглянуто цей новий тип атаки та надано відповідні рекомендації щодо запобігання.
Хід подій
Подія виникла через те, що активи користувача (Малий А) були вкрадені. На відміну від звичайних способів крадіжки, Малий А не розкрив свій приватний ключ і не взаємодіяв з контрактом фішинг-сайту. Через блокчейн-браузер можна побачити, що USDT у гаманці Малого А був переміщений за допомогою функції Transfer From, що означає, що це була операція третьої сторони, яка перемістила токен, а не витік приватного ключа гаманця.
Подальше розслідування показало, що ця операція взаємодіяла з контрактом Permit2 від Uniswap. Ключове питання полягає в тому: як адреса, що виконує передачу, отримала права на активи? Чому це стосується Uniswap?
Парсинг ### Uniswap Permit2
Uniswap Permit2 є новим смарт-контрактом, запущеним Uniswap наприкінці 2022 року. Він призначений для реалізації єдиного управління авторизацією токенів, покращення користувацького досвіду та зниження витрат на транзакції. Permit2 виступає посередником між користувачами та DApp, дозволяючи користувачам надати авторизацію лише для контракту Permit2, щоб поділитися цим обсягом авторизації у всіх DApp, які інтегрують Permit2.
Хоча цей механізм покращує досвід користувачів, він також несе потенційні ризики. У традиційному способі взаємодії авторизація та переказ коштів вимагають від користувачів виконання операцій на ланцюгу. А Permit2 перетворює дії користувачів на підписання поза ланцюгом, всі операції на ланцюзі виконуються посередницькою роллю (такий як контракт Permit2). Хоча цей спосіб зручний, він також робить користувачів більш вразливими до розслаблення пильності на етапі підписання.
Детальний опис методів атаки
Зловмисники використовують функцію Permit контракту Permit2 для здійснення атаки. Ця функція дозволяє користувачам через підпис уповноважити інших використовувати свої токени в майбутньому. Етапи атаки такі:
Користувач раніше здійснював угоди на Uniswap та надав дозвіл контракту Permit2 (зазвичай без обмежень).
Зловмисник спонукає користувача виконати на вигляд нешкідливу операцію підпису.
Зловмисник отримує підпис, після чого перевіряє підпис через функцію Permit контракту Permit2.
Після підтвердження, зловмисник отримує право використання токенів користувача.
Зловмисник потім переміщує активи користувача через функцію Transfer From.
Заходи запобігання
Розуміння та ідентифікація вмісту підпису: навчіться розпізнавати формат підпису Permit, включаючи ключову інформацію, таку як Owner, Spender, value, nonce та deadline. Рекомендується використовувати безпечні плагіни для допомоги в ідентифікації.
Розділення активів та інтерактивного гаманця: зберігайте значну частину активів у холодному гаманці, а для щоденних взаємодій використовуйте гарячий гаманець, який містить лише невелику кількість коштів, щоб зменшити потенційні втрати.
Обмеження дозволу Permit2: При виконанні Swap на Uniswap авторизуйте лише необхідну суму для торгівлі, щоб уникнути надмірного дозволу. Якщо вже було надано дозвіл, можна скасувати його через безпечний плагін.
Визначте, чи підтримує токен функцію permit: зверніть увагу на те, чи підтримує токен цю функцію, і будьте особливо обережні при торгівлі токенами, що підтримують функцію permit.
Розробити план дій у надзвичайних ситуаціях: якщо ви виявили, що вас обманули, але у вас все ще є активи на інших платформах, необхідно розробити ретельний план переміщення активів, можна розглянути можливість використання MEV-переміщення або звернутися за допомогою до професійної команди безпеки.
З розширенням сфери застосування Permit2 можливість фішингових атак на його основі може зростати. Цей спосіб фішингу з підписами є надзвичайно прихованим і важко запобігти, тому користувачам слід бути пильними, підвищувати обізнаність про безпеку та уникати того, щоб стати наступною жертвою.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
16 лайків
Нагородити
16
4
Поділіться
Прокоментувати
0/400
BlockchainFoodie
· 07-23 09:06
цей permit2 справді відрізняється... як подавати отруєні трюфелі веб3 дегена, чесно кажучи
Переглянути оригіналвідповісти на0
YieldWhisperer
· 07-21 15:06
бачив цей же шаблон атаки в '18... деякі люди ніколи не навчаються про гігієну підписів smh
Переглянути оригіналвідповісти на0
SerumSquirrel
· 07-21 14:56
Чи дійсно рибалка стала такою розкішною?
Переглянути оригіналвідповісти на0
SatoshiChallenger
· 07-21 14:43
Риболовля вічна тема Дані говорять самі за себе 98% жертв підписують і все [冷笑]
Глибокий аналіз новачка щодо фішингу підписів Uniswap Permit2 та стратегій запобігання
Безпека підпису знову б’є на сполох: Глибина аналізу події риболовлі за підписом Uniswap Permit2
Нещодавно новий тип фішингової атаки з використанням контракту Uniswap Permit2 привернув широку увагу. Цей метод атаки надзвичайно прихований і важкий для запобігання, і ризику можуть піддаватися всі адреси, які раніше взаємодіяли з Uniswap. У цій статті буде детально розглянуто цей новий тип атаки та надано відповідні рекомендації щодо запобігання.
Хід подій
Подія виникла через те, що активи користувача (Малий А) були вкрадені. На відміну від звичайних способів крадіжки, Малий А не розкрив свій приватний ключ і не взаємодіяв з контрактом фішинг-сайту. Через блокчейн-браузер можна побачити, що USDT у гаманці Малого А був переміщений за допомогою функції Transfer From, що означає, що це була операція третьої сторони, яка перемістила токен, а не витік приватного ключа гаманця.
Подальше розслідування показало, що ця операція взаємодіяла з контрактом Permit2 від Uniswap. Ключове питання полягає в тому: як адреса, що виконує передачу, отримала права на активи? Чому це стосується Uniswap?
Парсинг ### Uniswap Permit2
Uniswap Permit2 є новим смарт-контрактом, запущеним Uniswap наприкінці 2022 року. Він призначений для реалізації єдиного управління авторизацією токенів, покращення користувацького досвіду та зниження витрат на транзакції. Permit2 виступає посередником між користувачами та DApp, дозволяючи користувачам надати авторизацію лише для контракту Permit2, щоб поділитися цим обсягом авторизації у всіх DApp, які інтегрують Permit2.
Хоча цей механізм покращує досвід користувачів, він також несе потенційні ризики. У традиційному способі взаємодії авторизація та переказ коштів вимагають від користувачів виконання операцій на ланцюгу. А Permit2 перетворює дії користувачів на підписання поза ланцюгом, всі операції на ланцюзі виконуються посередницькою роллю (такий як контракт Permit2). Хоча цей спосіб зручний, він також робить користувачів більш вразливими до розслаблення пильності на етапі підписання.
Детальний опис методів атаки
Зловмисники використовують функцію Permit контракту Permit2 для здійснення атаки. Ця функція дозволяє користувачам через підпис уповноважити інших використовувати свої токени в майбутньому. Етапи атаки такі:
Заходи запобігання
Розуміння та ідентифікація вмісту підпису: навчіться розпізнавати формат підпису Permit, включаючи ключову інформацію, таку як Owner, Spender, value, nonce та deadline. Рекомендується використовувати безпечні плагіни для допомоги в ідентифікації.
Розділення активів та інтерактивного гаманця: зберігайте значну частину активів у холодному гаманці, а для щоденних взаємодій використовуйте гарячий гаманець, який містить лише невелику кількість коштів, щоб зменшити потенційні втрати.
Обмеження дозволу Permit2: При виконанні Swap на Uniswap авторизуйте лише необхідну суму для торгівлі, щоб уникнути надмірного дозволу. Якщо вже було надано дозвіл, можна скасувати його через безпечний плагін.
Визначте, чи підтримує токен функцію permit: зверніть увагу на те, чи підтримує токен цю функцію, і будьте особливо обережні при торгівлі токенами, що підтримують функцію permit.
Розробити план дій у надзвичайних ситуаціях: якщо ви виявили, що вас обманули, але у вас все ще є активи на інших платформах, необхідно розробити ретельний план переміщення активів, можна розглянути можливість використання MEV-переміщення або звернутися за допомогою до професійної команди безпеки.
З розширенням сфери застосування Permit2 можливість фішингових атак на його основі може зростати. Цей спосіб фішингу з підписами є надзвичайно прихованим і важко запобігти, тому користувачам слід бути пильними, підвищувати обізнаність про безпеку та уникати того, щоб стати наступною жертвою.