Web3 підпис фішинг: зрозумійте основну логіку для підвищення обізнаності про безпеку

У світі Web3 "фішинг через підписи" став одним із найпоширеніших методів, які використовують хакери. Незважаючи на те, що експерти галузі постійно пропагують відповідні знання, все ще багато користувачів необережно потрапляють у пастку. Однією з основних причин цього є те, що більшість людей не розуміють базову логіку взаємодії з гаманцем, а поріг навчання відповідним знанням є досить високим.

Для цього в статті буде спробовано пояснити принципи підписного фішингу простими та зрозумілими словами, а також способи ефективного запобігання.

По-перше, нам потрібно зрозуміти, що при використанні гаманця існує дві основні операції: "підпис" і "взаємодія". Простими словами, підпис відбувається поза ланцюгом і не потребує сплати газового збору; натомість взаємодія відбувається в ланцюзі і потребує сплати газового збору.

Підпис зазвичай використовується для автентифікації. Наприклад, коли вам потрібно увійти в певний децентралізований додаток (DApp), вам потрібно підписати, щоб підтвердити, що ви є власником цього гаманця. Цей процес не вплине на блокчейн, тому платити збори не потрібно.

Порівняно з цим, взаємодія передбачає фактичні операції на ланцюгу. Наприклад, під час обміну токенів на певному DEX, спочатку потрібно надати дозвіл смарт-контракту на управління вашими токенами (approve), а потім виконати фактичну операцію обміну. Обидва етапи потребують сплати Gas-кошту.

Зрозумівши ці основні концепції, давайте розглянемо кілька поширених способів риболовлі:

1. Авторизаційна рибалка: Це класичний метод рибалки. Хакери маскуються під звичайні DApp або NFT проекти, спонукаючи користувачів виконувати операції авторизації. Як тільки користувач підтверджує, хакер отримує право виконувати операції з активами користувача.

2. Підпис Permit фішинг: Permit є розширенням стандарту токенів ERC-20, яке дозволяє користувачам авторизувати інших для управління власними токенами через підпис. Хакери можуть спонукати користувачів підписувати повідомлення Permit, отримуючи таким чином дозволи на переміщення активів користувачів.

3. Фішинг підпису Permit2: Permit2 - це функція, запущена певним DEX, яка має на меті спростити процеси користувачів. Проте, якщо користувач раніше користувався цим DEX і надав необмежений ліміт, зловмисники можуть використати цей механізм для переміщення активів користувача.

Щоб запобігти цим фішинговим атакам, ми можемо вжити такі заходи:

1. Виховання усвідомлення безпеки: щоразу, коли ви виконуєте операції з гаманцем, ретельно перевіряйте, яку операцію ви виконуєте.

2. Диверсифікація активів: відокремлення великих коштів від повсякденного гаманця для зменшення потенційних втрат.

3. Навчіться розпізнавати підозрілі підписи: особливо звертайте увагу на запити підпису, що містять такі поля:

   • Інтерактивний: інтерактивна адреса
   • Власник: адреса уповноваженої особи
   • Spender: адреса уповноваженої особи
   • Значення: кількість дозволів
   • Nonce: випадкове число
   • Deadline: термін дії

Зрозумівши ці базові логіки та вживаючи відповідних запобіжних заходів, ми можемо значно знизити ризик стати жертвою підписного фішингу. У світі Web3 ключовими є пильність та безперервне навчання для забезпечення безпеки активів.