Bitget App
Trade smarter
行情交易合约跟单策略理财Web3

大白话讲解 Web3 钓鱼底层逻辑:授权钓鱼、Permit 与 Permit2 的区别

菠菜菠菜菠菜菠菜2024/04/22 04:03
作者:菠菜菠菜

每一次钱包的操作都要去检查一下你在做的操作到底是什么。

每一次钱包的操作都要去检查一下你在做的操作到底是什么。


撰文:菠菜


明明只是签了个名,我的钱怎么没了呢??「签名钓鱼」目前正成为了 Web3 的黑客们最喜欢的钓鱼方式,最近看余弦大佬和各大钱包和安全公司都在不断宣传科普钓鱼签名的知识,但是每天还是有好多人被钓鱼。


菠菜认为其中一个原因就是大部分人对钱包交互的底层逻辑并不了解,并且对于不懂技术的人来说学习门槛过高,所以菠菜决定出一个图解版科普签名钓鱼的底层逻辑,并且尝试用最大白话的形式让不懂技术的人也能看明白。


首先我们要知道我们使用钱包一共只有两种操作:「签名」和「交互」。最简单直接的理解就是:签名是发生在区块链之外的(链下),不需要花 Gas 费的;交互是发生在区块链上面的(链上),是需要花 Gas 费的。


一般签名的使用场景是为了验证你是你,比如登入钱包,就像你如果要去 Uniswap 换 Token 的话,你需要先链接你的钱包,那么这个时候你就需要签一个名告诉网站「我是这个钱包的拥有者」,然后你就可以使用 Uniswap 了,这个步骤对区块链不会有任何数据或者状态上的变化,所以不需要花钱。


而交互的话就是当你要真正在 Uniswap 上换 Token 的时候,你需要先花一笔钱告诉 USDT 的智能合约:「我要用 100USDT 换一个菠菜币,我批准 Uniswap 可以挪动我的 100USDT」,这个步骤就叫做授权(approve),然后你还要再花一笔钱告诉 Uniswap 的智能合约:「我现在要用 100USDT 换一个菠菜币了,你现在可以进行操作了」,然后你就完成了用 100USDT 换一个菠菜币的操作。



简单理解签名和交互的区别之后,我们就来介绍一下钓鱼的原理,菠菜会列举三个不同的方式:授权钓鱼、Permit 签名钓鱼和 Permit2 签名钓鱼,这三个是非常常见的钓鱼方式。


咱们先讲授权钓鱼,这是以前 Web3 最经典的钓鱼手法之一,顾名思义就是利用授权(approve)这个机制,之前 Uniswap 的例子告诉我们,授权就是告诉智能合约「我批准你挪动我多少 xxx 的 Token」,那么黑客就可以做一个假的钓鱼网站,有着精美的前端伪装成一个 NFT 项目,网站中间是一个漂亮的大按钮「领取你的空投」,实际上你点了之后钱包弹出来的界面实际上是让你授权你的 Token 给黑客的地址,那么这时候如果你点了确认,那么就恭喜黑客成功完成一个 KPI 了。



但是授权钓鱼有一个问题:因为要花 Gas 费,现在很多人在涉及到花钱的操作上会有所警惕,在陌生网站点击之后稍微一看就会发现不对劲,还是比较好防范的。

那么接下来就来到了今天的主角:Permit 和 Permit2 签名钓鱼啦,是 Web3 资产安全领域的重灾区,为什么这么难防呢?因为每次你要使用一个 Dapp 之前一定要签名登入你的钱包,在许多人脑子里可能已经形成了一种惯性思维:「这个操作是安全的」,再加上不需要花钱和大多数人不知道每个签名背后意味着什么。


我们先来看 Permit 机制,Permit 是针对 ERC-20 标准下授权的一个扩展功能,像我们平常用的 USDT 就是 ERC-20,简单来说就是你可以签名批准其他人来挪动你的 Token,我们知道授权(Approve)是你花钱告诉智能合约:「你可以挪动我 xxx 数量的 Token『,那么 Permit 就是你在一张「条子」上签了个名给某一个人,这个纸上写着:「我允许某某某可以挪动我 xxx 数量的 Token」,然后这个人拿着这个「条子」给智能合约并花一笔 Gas 费告诉智能合约:「他允许我挪动他 xxx 数量的 Token」,然后你的钱就可以被其他人挪走了,在这个过程中你只是签了一个名,而背后却意味着你允许其他人去调用授权(Approve)并转走你的 Token,黑客可以做一个钓鱼网站,把登入钱包的按钮替换成 Permit 钓鱼,那么就可以轻轻松松把你的资产钓走啦。


那么 Permit2 又是什么呢?Permit2 其实并不是 ERC-20 的一个功能,而是 Uniswap 为了方便用户推出的一个功能,之前的例子讲了你要在 Uniswap 上用 USDT 换菠菜币你需要先授权(Approve)一次,然后再进行兑换,这需要花两笔 Gas 费,所以 Uniswap 就想了个办法:「你一次性把额度全部授权给我好了,每次兑换你签个名我就给你处理了」,这个功能帮助 Uniswap 用户使用的时候只需要支付一次 Gas 费即可,并且这个步骤是签名,所以 Gas 费其实不是你付的,而是 Permit2 合约代付了,但是会从你最终兑换的 Token 里扣除掉。



但是中 Permit2 钓鱼的条件是你曾经使用过 Uniswap,并且你还授权了无限额度给 Permit2 智能合约,由于目前 Uniswap 默认的操作就是无限额度授权,所以其实满足该条件的用户数量还是蛮大的,同样黑客只要骗你把名签了就可以把你的 Token 转走(仅限给过授权的)。


总结一下,授权钓鱼的本质是你花一笔钱告诉智能合约:「我批准你挪用我的 Token 给黑客」,签名钓鱼的本质是你签了一张允许别人去挪动你资产的「条子」给到黑客,黑客花钱告诉智能合约:「我要挪用他的 Token 转给我」。Permit 和 Permit2 是目前钓鱼签名的重灾区,Permit 是 ERC-20 的一个授权扩展功能,Permit2 是 Uniswap 推出的一个新功能。


那么理解了原理,怎么防范呢?


1.首先最最重要的就是培养你的安全意识,每一次钱包的操作都要去检查一下你在做的操作到底是什么?


2.大资金和玩链上的钱包分离,一旦被钓鱼了可以把损失降到最低


3.学会识别 Permit 和 Permit2 的签名格式,只要你看到以下签名格式,那你就要警惕起来了:


  • Interactive:交互网址
  • Owner:授权方地址
  • Spender:被授权方地址
  • Value:授权数量
  • Nonce:随机数
  • Deadline:过期时间


0

免责声明:文章中的所有内容仅代表作者的观点,与本平台无关。用户不应以本文作为投资决策的参考。

PoolX:质押赚新币
CEC、QTLX、GDV等热门新币火热进行中!
立即质押!

你也可能喜欢

Web3清算层Everclear正式启动主网,并推出全新代币机制

Everclear通过协调全球链间的流动性结算,解决模块化区块链的碎片化问题。

BlockBeats2024/09/18 13:46

DeBox (BOX):彻底改变数字身份的 Web3 社交平台

什么是DeBox (BOX)? DeBox (BOX) 是一个为 Web3 时代设计的先进社交平台,利用了去中心化身份 (DID) 技术。它建立在以太坊生态系统中,并融合了 Layer2 和 Cosmos 跨区块链通信 (IBC) 协议等其他技术。如果您熟悉微信,DeBox 旨在成为其 Web3 版,提供类似的体验,但具有区块链技术固有的增强安全性和隐私功能。 该平台提供一系列功能,包括一对一和群聊、DAO 管理和资产处理。它特别适合管理 KOL 粉丝群和其他可以控制访问权限和货币化的社区。 谁创立了 DeBox (BOX)? DeBox 由 Blackiron 创立,该公司于 2021 年

Bitget Academy2024/09/18 12:27

利用 Bitget 质押借贷进行战略套利:如何优化 Bitget Launchpad 投资

在这篇关于利用 Bitget 质押借贷套利系列的第一篇文章中,我们将探讨如何利用 Bitget 质押借贷 参与 Bitget Launchpad :一个可以提前参与新代币发行的平台。通过 Bitget 质押借贷借入资金,您可以最大限度地参与这些早期代币发行,并充分利用潜在的价格收益。 一文看懂 Bitget 质押借贷 Bitget 质押借贷旨在让用户在不出售所持资产的情况下获得额外资金。对于希望增加流动性和抓住新机遇的交易者来说,无论是参与代币销售、在波动市场进行交易,还是进行多元化投资,该解决方案都是理想之选。凭借 Bitget 质押借贷,用户可以保持对其资产的所有权,同时获得资金来探索其

Bitget Academy2024/09/18 08:55