Приховані небезпеки: аналіз шахрайства з підписом Uniswap Permit2
Хакери є страшним явищем у екосистемі Web3. Для проектів відкритий вихідний код є джерелом тривоги, оскільки одна помилка в коді може призвести до вразливості безпеки. Для особистих користувачів кожна взаємодія або підпис на ланцюгу може загрожувати безпеці активів, якщо вони не розуміють значення дій. Тому питання безпеки завжди було одним з найскладніших у світі криптовалют. Через незворотність блокчейну вкрадені активи майже неможливо повернути, що робить знання про безпеку особливо важливими у світі криптовалют.
Нещодавно новий вид риболовного методу привернув увагу. Цей метод надзвичайно прихований і важкий для запобігання, лише підписання може призвести до крадіжки активів. Ще гірше, адреси, які раніше взаємодіяли з Uniswap, можуть бути під загрозою. У цій статті ми детально розглянемо цей метод риболовлі на підписах, щоб допомогти читачам уникнути втрати активів.
Хід подій
Справа почалася з того, що один друг (, відомий як малий А), повідомив про крадіжку його активів. На відміну від звичайних випадків крадіжки, малий А не розкрив свій приватний ключ і не взаємодіяв з підозрілими контрактами. Подальше розслідування виявило, що USDT малого А був переведено через функцію Transfer From. Це означає, що треті особи переказали токени, а не через витік приватного ключа.
Деталі угоди показують:
Адреса з закінченням fd51 перенесла активи малюка A на іншу адресу
Ця операція виконується у взаємодії з контрактом Permit2 Uniswap
Ключове питання полягає в тому: як адреса fd51 отримала операційні права на активи малого A? Чому це пов'язано з Uniswap?
Глибокий аналіз виявив, що перед передачею активів малого A адреса fd51 також виконала операцію Permit, і ці дві операції взаємодіяли з контрактом Permit2 Uniswap.
Аналіз контракту Uniswap Permit2
Uniswap Permit2 є новим контрактом, запущеним наприкінці 2022 року. Він дозволяє ділитися та управляти авторизацією токенів між різними застосунками, спрямованим на створення більш єдиного, економічно вигідного та безпечного користувацького досвіду.
Метою Permit2 є зниження витрат на взаємодію для користувачів. У традиційній моделі користувачеві потрібно окремо надавати дозвіл кожного разу, коли він взаємодіє з різними Dapp. Permit2 виступає як посередник, і користувачеві потрібно надати дозвіл лише один раз, всі Dapp, які інтегрують Permit2, можуть ділитися цим дозволом.
Цей спосіб, хоча й підвищує користувацький досвід, але також приносить нові ризики. Permit2 перетворює дії користувача на підпис поза ланцюгом, всі дії в ланцюзі виконуються посередницькою стороною. Це дозволяє користувачам завершувати угоди навіть без ETH, але водночас збільшує ризик зловживання підписами.
Аналіз методів риболовлі
Ключ до атаки риболовлі полягає в використанні функції permit контракту Permit2. Ця функція дозволяє користувачеві через підпис уповноважувати інші адреси використовувати свої токени. Після отримання підпису користувача, зловмисник може через контракт Permit2 перемістити активи користувача.
Процес атаки виглядає наступним чином:
Користувач раніше здійснював авторизаційні операції на платформах, інтегрованих з Permit2, таких як Uniswap.
Зловмисник спонукає користувача підписати на перший погляд безневинне повідомлення
Зловмисник використовує підпис для виклику функції permit контракту Permit2
Договір Permit2 перевіряє дійсність підпису та оновлює права доступу
Після отримання авторизації атакуючий викликає функцію transferFrom для переміщення активів користувача
Варто зазначити, що Permit2 Uniswap за замовчуванням запитує безмежний обсяг дозволу, що ще більше збільшує ризик.
Рекомендації щодо запобігання
Навчіться розпізнавати та розуміти зміст підпису, особливо якщо йдеться про підпис, пов'язаний із Permit.
Використання стратегії розділення гарячих і холодних гаманців, інтерактивний гаманець зберігає лише невелику кількість коштів
При авторизації контракту Permit2 слід авторизувати лише необхідну суму або вчасно скасувати надлишкову авторизацію
Досліджуйте, чи підтримує токен, який ви маєте, функцію permit, і будьте обережні з відповідними транзакціями.
Якщо вам не пощастить і ви зазнаєте атаки, якщо на інших платформах є активи, необхідно скласти детальний план переміщення активів.
З розширенням сфери застосування Permit2, ймовірно, зросте кількість фішингових атак, заснованих на ньому. Цей спосіб фішингу з підписом є надзвичайно прихованим і важким для запобігання, сподіваюсь, що читачі підвищать обізнаність і поділяться відповідними знаннями з більшою кількістю людей, щоб разом підтримувати безпеку активів.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
21 лайків
Нагородити
21
5
Поділіться
Прокоментувати
0/400
SandwichHunter
· 07-31 06:02
Їж один ямк, щоб стати розумнішим. Не підписуй сліпо.
Переглянути оригіналвідповісти на0
MetaverseLandlady
· 07-30 22:59
Маленькі невдахи повинні бути обережними.
Переглянути оригіналвідповісти на0
OnChainDetective
· 07-29 14:56
виявлено кілька експлойтів permit2... патерн свідчить, що 47% жертв мали попередні взаємодії з uni. це не випадково.
Переглянути оригіналвідповісти на0
0xSherlock
· 07-29 14:52
Боюся, боюся... все ж краще використовувати малий рахунок для U.
Новий замилювання очей з підписами Uniswap Permit2: ризики крадіжки активів та стратегії запобігання
Приховані небезпеки: аналіз шахрайства з підписом Uniswap Permit2
Хакери є страшним явищем у екосистемі Web3. Для проектів відкритий вихідний код є джерелом тривоги, оскільки одна помилка в коді може призвести до вразливості безпеки. Для особистих користувачів кожна взаємодія або підпис на ланцюгу може загрожувати безпеці активів, якщо вони не розуміють значення дій. Тому питання безпеки завжди було одним з найскладніших у світі криптовалют. Через незворотність блокчейну вкрадені активи майже неможливо повернути, що робить знання про безпеку особливо важливими у світі криптовалют.
Нещодавно новий вид риболовного методу привернув увагу. Цей метод надзвичайно прихований і важкий для запобігання, лише підписання може призвести до крадіжки активів. Ще гірше, адреси, які раніше взаємодіяли з Uniswap, можуть бути під загрозою. У цій статті ми детально розглянемо цей метод риболовлі на підписах, щоб допомогти читачам уникнути втрати активів.
Хід подій
Справа почалася з того, що один друг (, відомий як малий А), повідомив про крадіжку його активів. На відміну від звичайних випадків крадіжки, малий А не розкрив свій приватний ключ і не взаємодіяв з підозрілими контрактами. Подальше розслідування виявило, що USDT малого А був переведено через функцію Transfer From. Це означає, що треті особи переказали токени, а не через витік приватного ключа.
Деталі угоди показують:
Ключове питання полягає в тому: як адреса fd51 отримала операційні права на активи малого A? Чому це пов'язано з Uniswap?
Глибокий аналіз виявив, що перед передачею активів малого A адреса fd51 також виконала операцію Permit, і ці дві операції взаємодіяли з контрактом Permit2 Uniswap.
Аналіз контракту Uniswap Permit2
Uniswap Permit2 є новим контрактом, запущеним наприкінці 2022 року. Він дозволяє ділитися та управляти авторизацією токенів між різними застосунками, спрямованим на створення більш єдиного, економічно вигідного та безпечного користувацького досвіду.
Метою Permit2 є зниження витрат на взаємодію для користувачів. У традиційній моделі користувачеві потрібно окремо надавати дозвіл кожного разу, коли він взаємодіє з різними Dapp. Permit2 виступає як посередник, і користувачеві потрібно надати дозвіл лише один раз, всі Dapp, які інтегрують Permit2, можуть ділитися цим дозволом.
Цей спосіб, хоча й підвищує користувацький досвід, але також приносить нові ризики. Permit2 перетворює дії користувача на підпис поза ланцюгом, всі дії в ланцюзі виконуються посередницькою стороною. Це дозволяє користувачам завершувати угоди навіть без ETH, але водночас збільшує ризик зловживання підписами.
Аналіз методів риболовлі
Ключ до атаки риболовлі полягає в використанні функції permit контракту Permit2. Ця функція дозволяє користувачеві через підпис уповноважувати інші адреси використовувати свої токени. Після отримання підпису користувача, зловмисник може через контракт Permit2 перемістити активи користувача.
Процес атаки виглядає наступним чином:
Варто зазначити, що Permit2 Uniswap за замовчуванням запитує безмежний обсяг дозволу, що ще більше збільшує ризик.
Рекомендації щодо запобігання
Навчіться розпізнавати та розуміти зміст підпису, особливо якщо йдеться про підпис, пов'язаний із Permit.
Використання стратегії розділення гарячих і холодних гаманців, інтерактивний гаманець зберігає лише невелику кількість коштів
При авторизації контракту Permit2 слід авторизувати лише необхідну суму або вчасно скасувати надлишкову авторизацію
Досліджуйте, чи підтримує токен, який ви маєте, функцію permit, і будьте обережні з відповідними транзакціями.
Якщо вам не пощастить і ви зазнаєте атаки, якщо на інших платформах є активи, необхідно скласти детальний план переміщення активів.
З розширенням сфери застосування Permit2, ймовірно, зросте кількість фішингових атак, заснованих на ньому. Цей спосіб фішингу з підписом є надзвичайно прихованим і важким для запобігання, сподіваюсь, що читачі підвищать обізнаність і поділяться відповідними знаннями з більшою кількістю людей, щоб разом підтримувати безпеку активів.