隐蔽的签名陷阱 - 揭秘Uniswap Permit2钓鱼骗局

在Web3生态中,黑客一直是让项目方和普通用户都提心吊胆的存在。由于区块链的不可逆性,一旦资产被盗几乎无法追回,因此具备安全知识对于每个加密世界参与者来说都至关重要。

近期,一种新型的钓鱼手法开始活跃,仅需签名就可能导致资产被盗,手法极其隐蔽且难以防范。更令人担忧的是,所有与某DEX有过交互的地址都可能暴露在这种风险之下。本文将深入剖析这种签名钓鱼手法的原理和防范措施。

事件经过

事情源于一位朋友(小A)的资产被盗事件。与常见被盗方式不同,小A并未泄露私钥,也没有与可疑网站或合约进行交互。通过区块链浏览器可以看到,小A钱包中的USDT是通过Transfer From函数被转走的,这意味着是第三方地址操作转移了资产,而非钱包私钥泄露。

进一步查询交易细节发现:

• 一个尾号为fd51的地址将小A的资产转移到了另一个地址
• 这个操作是与某DEX的Permit2合约进行交互的

关键问题在于,fd51地址是如何获得小A资产的操作权限的?为什么会与某DEX的合约有关?

钓鱼手法剖析

要理解这个钓鱼手法,我们需要先了解Permit2合约的作用。Permit2是某DEX在2022年底推出的一个代币审批合约,旨在让不同应用程序共享和管理代币授权,从而创造更统一、更具成本效益、更安全的用户体验。

传统交互方式下,用户每次与不同DApp交互时都需要单独授权。而Permit2作为中间人,用户只需将Token授权给Permit2合约,所有集成Permit2的DApp就可以共享这个授权额度。这大大降低了用户的交互成本,提升了体验。

然而,Permit2也带来了新的风险。它将用户操作从链上交互变为了链下签名,而所有链上操作由中间角色(如Permit2合约)来完成。这种方案虽然便利,但链下签名恰恰是用户最容易放松警惕的环节。

在小A的案例中,关键就在于黑客利用Permit2合约的Permit函数。这个函数允许通过签名将用户授权给Permit2的Token额度转移给其他地址。也就是说,只要获得用户的签名,黑客就可以操控用户钱包中的Token。

防范措施

考虑到Permit2未来可能更加普及,以下是一些有效的防范建议:

1. 学会识别Permit签名格式。Permit签名通常包含Owner、Spender、value、nonce和deadline等关键信息。使用安全插件可以帮助识别。

2. 分离资产存储和交互钱包。将大额资产存放在冷钱包中,交互钱包仅保留少量资金,可以大幅降低损失风险。

3. 限制授权额度或取消授权。在交互时只授权所需金额,虽然会增加一些成本,但可以避免遭受Permit2签名钓鱼。已授权的可通过安全插件取消。

4. 了解所持代币是否支持permit功能。对支持该功能的代币交易要格外谨慎,严格检查每个未知签名。

5. 制定应急预案。如果发现被骗但还有资产在其他平台,需要快速制定完善的资产拯救计划,可考虑使用MEV转移或寻求专业安全团队协助。

随着Permit2应用范围扩大,基于此的钓鱼手法可能会越来越多。这种签名钓鱼方式极其隐蔽且难以防范,希望更多人了解相关风险,提高警惕,避免遭受损失。