Tin tặc là một sự hiện diện đáng sợ trong hệ sinh thái Web3. Đối với các dự án, việc mã nguồn mở có nghĩa là các tin tặc trên toàn cầu có thể nhắm đến bạn, và một khi có lỗ hổng bảo mật, hậu quả sẽ khó mà chịu đựng được. Đối với người dùng cá nhân, nếu không hiểu rõ những gì mình đang làm, mỗi lần tương tác trên chuỗi hoặc ký kết có thể dẫn đến việc tài sản bị đánh cắp. Do đó, vấn đề an ninh luôn là một trong những vấn đề hóc búa nhất trong thế giới tiền điện tử. Vì đặc tính của blockchain, một khi tài sản bị đánh cắp gần như không thể thu hồi, vì vậy việc nắm vững kiến thức an toàn trong thế giới tiền điện tử là vô cùng quan trọng.
Gần đây, một phương pháp lừa đảo mới đã bắt đầu hoạt động, chỉ cần ký tên là sẽ bị đánh cắp, phương pháp này cực kỳ tinh vi và khó phòng ngừa. Các địa chỉ đã tương tác với Uniswap có thể đối mặt với rủi ro. Bài viết này sẽ cung cấp thông tin về phương pháp lừa đảo ký tên này để tránh thiệt hại tài sản nhiều hơn.
Diễn biến sự kiện
Gần đây, một người bạn ( tạm gọi là nhỏ A ) đã bị đánh cắp tài sản ví. Khác với những cách bị đánh cắp thông thường, nhỏ A không hề tiết lộ khóa riêng, cũng như không tương tác với hợp đồng của trang web lừa đảo.
Trình duyệt blockchain hiển thị, USDT trong ví nhỏ A đã được chuyển đi bằng hàm Transfer From. Điều này có nghĩa là một địa chỉ khác đã thực hiện thao tác chuyển Token, chứ không phải là do khóa riêng của ví bị rò rỉ.
Chi tiết giao dịch hiển thị:
Địa chỉ kết thúc bằng fd51 đã chuyển tài sản của nhỏ A đến địa chỉ kết thúc bằng a0c8
Hành động này tương tác với hợp đồng Permit2 của Uniswap.
Câu hỏi quan trọng là: địa chỉ có đuôi fd51 làm thế nào để có quyền truy cập vào tài sản này? Tại sao lại liên quan đến Uniswap?
Cuộc điều tra sâu hơn cho thấy, trước khi chuyển nhượng tài sản của A, địa chỉ có đuôi là fd51 đã thực hiện một thao tác Permit, và hai thao tác này đều tương tác với hợp đồng Permit2 của Uniswap.
Uniswap Permit2 là hợp đồng mới được ra mắt vào cuối năm 2022, cho phép quyền ủy quyền token được chia sẻ và quản lý trong các ứng dụng khác nhau, nhằm tạo ra trải nghiệm người dùng đồng nhất, tiết kiệm chi phí hơn và an toàn hơn. Khi ngày càng nhiều dự án tích hợp Permit2, nó có thể chuẩn hóa việc phê duyệt token trong tất cả các ứng dụng, giảm chi phí giao dịch và nâng cao tính an toàn của hợp đồng thông minh.
Permit2 đóng vai trò là trung gian giữa người dùng và Dapp, người dùng chỉ cần cấp quyền Token cho hợp đồng Permit2, tất cả các Dapp tích hợp Permit2 đều có thể chia sẻ hạn mức ủy quyền này. Điều này giảm chi phí tương tác của người dùng, nâng cao trải nghiệm. Nhưng đây cũng là một con dao hai lưỡi, vấn đề nằm ở cách thức tương tác với Permit2.
Trong các phương thức tương tác truyền thống, quyền hạn và chuyển tiền đều là tương tác trên chuỗi của người dùng. Tuy nhiên, Permit2 đã biến các thao tác của người dùng thành chữ ký ngoài chuỗi, tất cả các thao tác trên chuỗi được thực hiện bởi các vai trò trung gian. Lợi ích mang lại là, ngay cả khi ví của người dùng không có ETH, họ vẫn có thể sử dụng các Token khác để thanh toán phí Gas hoặc được các vai trò trung gian hoàn lại.
Tuy nhiên, chữ ký ngoài chuỗi là khâu mà người dùng dễ dàng bỏ qua nhất. Nhiều người không kiểm tra kỹ nội dung chữ ký, cũng không hiểu nghĩa của nó, đây là điều nguy hiểm nhất.
Để kích hoạt việc lừa đảo chữ ký Permit2 này, điều kiện quan trọng là ví bị lừa đảo phải đã ủy quyền Token cho hợp đồng Permit2 của Uniswap. Hiện tại, chỉ cần thực hiện Swap trên Dapp tích hợp Permit2 hoặc Uniswap, đều cần ủy quyền cho hợp đồng Permit2.
Điều đáng sợ hơn là, bất kể số tiền Swap là bao nhiêu, hợp đồng Permit2 của Uniswap sẽ mặc định cho phép người dùng ủy quyền toàn bộ số dư Token đó. Mặc dù MetaMask cho phép nhập số tiền tùy chỉnh, nhưng hầu hết mọi người có thể sẽ chọn giá trị tối đa hoặc mặc định, và giá trị mặc định của Permit2 là hạn mức không giới hạn.
Điều này có nghĩa là, chỉ cần bạn đã tương tác với Uniswap sau năm 2023 và đã cấp quyền cho hợp đồng Permit2, bạn có thể phải đối mặt với rủi ro của trò lừa bịp này.
Điểm mấu chốt là hàm Permit, nó cho phép hacker lợi dụng chữ ký của bạn để chuyển giao hạn mức Token mà bạn đã ủy quyền cho hợp đồng Permit2 sang địa chỉ khác. Chỉ cần có chữ ký của bạn, hacker có thể lấy quyền truy cập Token trong ví của bạn và chuyển tài sản.
Phân tích chi tiết sự kiện
Quy trình làm việc của hàm permit:
Kiểm tra xem thời gian hiện tại có vượt quá thời gian hiệu lực chữ ký (sigDeadline) hay không.
Xác thực tính xác thực của chữ ký
Nếu thông qua kiểm tra, cập nhật hồ sơ cho phép người khác sử dụng token của bạn
Điểm quan trọng nằm ở hàm verify và hàm _updateApproval.
Hàm verify lấy v, r, s từ thông tin chữ ký, được sử dụng để khôi phục địa chỉ chữ ký giao dịch. Hợp đồng sẽ so sánh địa chỉ khôi phục với địa chỉ chủ sở hữu token đã truyền vào, nếu giống nhau thì xác thực thành công, tiếp tục gọi hàm _updateApproval; nếu khác nhau thì giao dịch sẽ bị quay lại.
Hàm _updateApproval cập nhật giá trị ủy quyền sau khi kiểm tra chữ ký, có nghĩa là quyền của bạn đã chuyển giao. Lúc này, bên được ủy quyền có thể gọi hàm transferfrom để chuyển token đến địa chỉ chỉ định.
Giao dịch thực tế trên chuỗi hiển thị:
owner là địa chỉ ví của A nhỏ ( kết thúc bằng 308a)
Chi tiết có thể thấy địa chỉ hợp đồng Token đã được ủy quyền (USDT) và các thông tin như số tiền.
Spender là địa chỉ hacker kết thúc bằng fd51
sigDeadline là thời gian hiệu lực của chữ ký, signature là thông tin chữ ký của A nhỏ.
Xem lại hồ sơ tương tác của nhỏ A phát hiện, trước đây khi sử dụng Uniswap, anh ấy đã nhấp vào mức ủy quyền mặc định, tức là mức gần như không giới hạn.
Tóm tắt đơn giản: A trước đây đã cấp quyền cho Permit2 với hạn mức USDT không giới hạn khi sử dụng Uniswap. Sau đó, trong quá trình thao tác ví, A không may rơi vào bẫy lừa đảo chữ ký Permit2 do hacker thiết kế. Hacker đã nhận được chữ ký của A và thực hiện các thao tác Permit và Transfer From trong hợp đồng Permit2, chuyển tài sản của A đi. Hiện tại, hợp đồng Permit2 của Uniswap dường như đã trở thành nơi trú ẩn của các cuộc lừa đảo, loại lừa đảo chữ ký này đã bắt đầu hoạt động khoảng hai tháng trước.
Làm thế nào để phòng ngừa?
Xem xét rằng hợp đồng Uniswap Permit2 có thể trở nên phổ biến hơn trong tương lai, nhiều dự án có thể tích hợp nó để chia sẻ quyền hạn, các biện pháp phòng ngừa hiệu quả bao gồm:
Hiểu và nhận diện nội dung chữ ký:
Định dạng chữ ký Permit thường bao gồm các thông tin quan trọng như Owner, Spender, value, nonce và deadline. Nếu muốn tận hưởng sự tiện lợi và chi phí thấp mà Permit2 mang lại, bạn phải học cách nhận diện định dạng chữ ký này. Sử dụng plugin an toàn là một lựa chọn tốt.
Tách biệt sử dụng ví tài sản và ví tương tác:
Nếu sở hữu nhiều tài sản, khuyên nên giữ tài sản chính trong ví lạnh, ví tương tác trên chuỗi chỉ nên giữ một lượng nhỏ tiền, có thể giảm thiểu đáng kể tổn thất khi gặp phải trò lừa bịp.
Hạn chế số tiền được ủy quyền cho hợp đồng Permit2 hoặc hủy bỏ ủy quyền:
Khi Swap trên Uniswap, chỉ cấp phép số tiền cần thiết cho việc tương tác. Mặc dù việc cần cấp phép lại cho mỗi lần tương tác sẽ làm tăng chi phí, nhưng có thể tránh bị lừa đảo chữ ký Permit2. Nếu đã cấp phép số tiền, có thể sử dụng plugin an toàn để hủy cấp phép.
Nhận diện tính chất của token, hiểu xem có hỗ trợ chức năng permit hay không:
Trong tương lai, có thể sẽ có nhiều mã thông báo ERC20 hơn thực hiện chức năng permit. Cần chú ý đến việc mã thông báo mình nắm giữ có hỗ trợ chức năng này hay không, nếu có thì cần đặc biệt cẩn thận khi giao dịch hoặc thực hiện các thao tác, kiểm tra kỹ từng chữ ký không rõ ràng có phải nhằm vào hàm permit hay không.
Nếu còn token trên các nền tảng khác sau khi bị lừa, cần xây dựng một kế hoạch cứu trợ hoàn chỉnh:
Sau khi phát hiện bị lừa đảo, nếu còn có token tồn tại trên các nền tảng khác thông qua việc đặt cọc và các phương thức khác, cần phải rút và chuyển nhượng, cần chú ý rằng hacker có thể theo dõi số dư địa chỉ của bạn bất cứ lúc nào. Xây dựng quy trình cứu trợ token hoàn chỉnh, đảm bảo việc rút và chuyển nhượng được thực hiện đồng thời, ngăn chặn việc giao dịch của hacker chèn vào. Có thể xem xét sử dụng chuyển nhượng MEV hoặc tìm kiếm sự hỗ trợ từ các công ty an ninh chuyên nghiệp như đội ngũ Beosin.
Trong tương lai, có thể sẽ có nhiều vụ lừa đảo dựa trên Permit2 hơn. Cách lừa đảo bằng chữ ký này cực kỳ tinh vi và khó phòng ngừa, với việc ứng dụng Permit2 ngày càng mở rộng, số địa chỉ gặp rủi ro cũng sẽ tăng lên. Hy vọng độc giả sau khi đọc bài viết này có thể truyền bá cho nhiều người hơn, tránh để nhiều người phải chịu thiệt hại.
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
10 thích
Phần thưởng
10
8
Đăng lại
Chia sẻ
Bình luận
0/400
DeFiGrayling
· 12giờ trước
An toàn thực sự rất quan trọng.
Xem bản gốcTrả lời0
TokenSleuth
· 12giờ trước
Nhân chứng đầu tiên của vụ án thảm khốc, thủ đoạn lừa đảo này thật sự khó mà phòng ngừa.
Xem bản gốcTrả lời0
NotFinancialAdviser
· 08-10 23:39
Lại là tôi, người chịu trách nhiệm kiểm soát rủi ro cho đại học uni.
Xem bản gốcTrả lời0
BlockTalk
· 08-10 15:17
Lại là mắc bẫy hay bị đánh cắp
Xem bản gốcTrả lời0
AirdropChaser
· 08-10 15:16
Có cách nào để lấy lại không? Thật là thảm hại.
Xem bản gốcTrả lời0
ZenChainWalker
· 08-10 15:06
Ah lại có chiêu trò lừa đảo mới, chết sớm thì sớm được đồng phạm.
Xem bản gốcTrả lời0
AirdropHunterZhang
· 08-10 15:05
Ôi, đã được hưởng lợi miễn phí lâu như vậy thì chắc chắn phải trả giá. uniV3 đổi quá nhiều.
Xem bản gốcTrả lời0
LiquidationAlert
· 08-10 14:50
Xem nhiều lỗ hổng giao thức như vậy, thật sự không dám ký tên nữa.
Trò lừa bịp mới về chữ ký Uniswap Permit2: Hướng dẫn nhận diện rủi ro và biện pháp phòng ngừa
Hé lộ: Cuộc lừa đảo ký tên Uniswap Permit2
Tin tặc là một sự hiện diện đáng sợ trong hệ sinh thái Web3. Đối với các dự án, việc mã nguồn mở có nghĩa là các tin tặc trên toàn cầu có thể nhắm đến bạn, và một khi có lỗ hổng bảo mật, hậu quả sẽ khó mà chịu đựng được. Đối với người dùng cá nhân, nếu không hiểu rõ những gì mình đang làm, mỗi lần tương tác trên chuỗi hoặc ký kết có thể dẫn đến việc tài sản bị đánh cắp. Do đó, vấn đề an ninh luôn là một trong những vấn đề hóc búa nhất trong thế giới tiền điện tử. Vì đặc tính của blockchain, một khi tài sản bị đánh cắp gần như không thể thu hồi, vì vậy việc nắm vững kiến thức an toàn trong thế giới tiền điện tử là vô cùng quan trọng.
Gần đây, một phương pháp lừa đảo mới đã bắt đầu hoạt động, chỉ cần ký tên là sẽ bị đánh cắp, phương pháp này cực kỳ tinh vi và khó phòng ngừa. Các địa chỉ đã tương tác với Uniswap có thể đối mặt với rủi ro. Bài viết này sẽ cung cấp thông tin về phương pháp lừa đảo ký tên này để tránh thiệt hại tài sản nhiều hơn.
Diễn biến sự kiện
Gần đây, một người bạn ( tạm gọi là nhỏ A ) đã bị đánh cắp tài sản ví. Khác với những cách bị đánh cắp thông thường, nhỏ A không hề tiết lộ khóa riêng, cũng như không tương tác với hợp đồng của trang web lừa đảo.
Trình duyệt blockchain hiển thị, USDT trong ví nhỏ A đã được chuyển đi bằng hàm Transfer From. Điều này có nghĩa là một địa chỉ khác đã thực hiện thao tác chuyển Token, chứ không phải là do khóa riêng của ví bị rò rỉ.
Chi tiết giao dịch hiển thị:
Câu hỏi quan trọng là: địa chỉ có đuôi fd51 làm thế nào để có quyền truy cập vào tài sản này? Tại sao lại liên quan đến Uniswap?
Cuộc điều tra sâu hơn cho thấy, trước khi chuyển nhượng tài sản của A, địa chỉ có đuôi là fd51 đã thực hiện một thao tác Permit, và hai thao tác này đều tương tác với hợp đồng Permit2 của Uniswap.
Uniswap Permit2 là hợp đồng mới được ra mắt vào cuối năm 2022, cho phép quyền ủy quyền token được chia sẻ và quản lý trong các ứng dụng khác nhau, nhằm tạo ra trải nghiệm người dùng đồng nhất, tiết kiệm chi phí hơn và an toàn hơn. Khi ngày càng nhiều dự án tích hợp Permit2, nó có thể chuẩn hóa việc phê duyệt token trong tất cả các ứng dụng, giảm chi phí giao dịch và nâng cao tính an toàn của hợp đồng thông minh.
Permit2 đóng vai trò là trung gian giữa người dùng và Dapp, người dùng chỉ cần cấp quyền Token cho hợp đồng Permit2, tất cả các Dapp tích hợp Permit2 đều có thể chia sẻ hạn mức ủy quyền này. Điều này giảm chi phí tương tác của người dùng, nâng cao trải nghiệm. Nhưng đây cũng là một con dao hai lưỡi, vấn đề nằm ở cách thức tương tác với Permit2.
Trong các phương thức tương tác truyền thống, quyền hạn và chuyển tiền đều là tương tác trên chuỗi của người dùng. Tuy nhiên, Permit2 đã biến các thao tác của người dùng thành chữ ký ngoài chuỗi, tất cả các thao tác trên chuỗi được thực hiện bởi các vai trò trung gian. Lợi ích mang lại là, ngay cả khi ví của người dùng không có ETH, họ vẫn có thể sử dụng các Token khác để thanh toán phí Gas hoặc được các vai trò trung gian hoàn lại.
Tuy nhiên, chữ ký ngoài chuỗi là khâu mà người dùng dễ dàng bỏ qua nhất. Nhiều người không kiểm tra kỹ nội dung chữ ký, cũng không hiểu nghĩa của nó, đây là điều nguy hiểm nhất.
Để kích hoạt việc lừa đảo chữ ký Permit2 này, điều kiện quan trọng là ví bị lừa đảo phải đã ủy quyền Token cho hợp đồng Permit2 của Uniswap. Hiện tại, chỉ cần thực hiện Swap trên Dapp tích hợp Permit2 hoặc Uniswap, đều cần ủy quyền cho hợp đồng Permit2.
Điều đáng sợ hơn là, bất kể số tiền Swap là bao nhiêu, hợp đồng Permit2 của Uniswap sẽ mặc định cho phép người dùng ủy quyền toàn bộ số dư Token đó. Mặc dù MetaMask cho phép nhập số tiền tùy chỉnh, nhưng hầu hết mọi người có thể sẽ chọn giá trị tối đa hoặc mặc định, và giá trị mặc định của Permit2 là hạn mức không giới hạn.
Điều này có nghĩa là, chỉ cần bạn đã tương tác với Uniswap sau năm 2023 và đã cấp quyền cho hợp đồng Permit2, bạn có thể phải đối mặt với rủi ro của trò lừa bịp này.
Điểm mấu chốt là hàm Permit, nó cho phép hacker lợi dụng chữ ký của bạn để chuyển giao hạn mức Token mà bạn đã ủy quyền cho hợp đồng Permit2 sang địa chỉ khác. Chỉ cần có chữ ký của bạn, hacker có thể lấy quyền truy cập Token trong ví của bạn và chuyển tài sản.
Phân tích chi tiết sự kiện
Quy trình làm việc của hàm permit:
Điểm quan trọng nằm ở hàm verify và hàm _updateApproval.
Hàm verify lấy v, r, s từ thông tin chữ ký, được sử dụng để khôi phục địa chỉ chữ ký giao dịch. Hợp đồng sẽ so sánh địa chỉ khôi phục với địa chỉ chủ sở hữu token đã truyền vào, nếu giống nhau thì xác thực thành công, tiếp tục gọi hàm _updateApproval; nếu khác nhau thì giao dịch sẽ bị quay lại.
Hàm _updateApproval cập nhật giá trị ủy quyền sau khi kiểm tra chữ ký, có nghĩa là quyền của bạn đã chuyển giao. Lúc này, bên được ủy quyền có thể gọi hàm transferfrom để chuyển token đến địa chỉ chỉ định.
Giao dịch thực tế trên chuỗi hiển thị:
Xem lại hồ sơ tương tác của nhỏ A phát hiện, trước đây khi sử dụng Uniswap, anh ấy đã nhấp vào mức ủy quyền mặc định, tức là mức gần như không giới hạn.
Tóm tắt đơn giản: A trước đây đã cấp quyền cho Permit2 với hạn mức USDT không giới hạn khi sử dụng Uniswap. Sau đó, trong quá trình thao tác ví, A không may rơi vào bẫy lừa đảo chữ ký Permit2 do hacker thiết kế. Hacker đã nhận được chữ ký của A và thực hiện các thao tác Permit và Transfer From trong hợp đồng Permit2, chuyển tài sản của A đi. Hiện tại, hợp đồng Permit2 của Uniswap dường như đã trở thành nơi trú ẩn của các cuộc lừa đảo, loại lừa đảo chữ ký này đã bắt đầu hoạt động khoảng hai tháng trước.
Làm thế nào để phòng ngừa?
Xem xét rằng hợp đồng Uniswap Permit2 có thể trở nên phổ biến hơn trong tương lai, nhiều dự án có thể tích hợp nó để chia sẻ quyền hạn, các biện pháp phòng ngừa hiệu quả bao gồm:
Tách biệt sử dụng ví tài sản và ví tương tác: Nếu sở hữu nhiều tài sản, khuyên nên giữ tài sản chính trong ví lạnh, ví tương tác trên chuỗi chỉ nên giữ một lượng nhỏ tiền, có thể giảm thiểu đáng kể tổn thất khi gặp phải trò lừa bịp.
Hạn chế số tiền được ủy quyền cho hợp đồng Permit2 hoặc hủy bỏ ủy quyền: Khi Swap trên Uniswap, chỉ cấp phép số tiền cần thiết cho việc tương tác. Mặc dù việc cần cấp phép lại cho mỗi lần tương tác sẽ làm tăng chi phí, nhưng có thể tránh bị lừa đảo chữ ký Permit2. Nếu đã cấp phép số tiền, có thể sử dụng plugin an toàn để hủy cấp phép.
Nhận diện tính chất của token, hiểu xem có hỗ trợ chức năng permit hay không: Trong tương lai, có thể sẽ có nhiều mã thông báo ERC20 hơn thực hiện chức năng permit. Cần chú ý đến việc mã thông báo mình nắm giữ có hỗ trợ chức năng này hay không, nếu có thì cần đặc biệt cẩn thận khi giao dịch hoặc thực hiện các thao tác, kiểm tra kỹ từng chữ ký không rõ ràng có phải nhằm vào hàm permit hay không.
Nếu còn token trên các nền tảng khác sau khi bị lừa, cần xây dựng một kế hoạch cứu trợ hoàn chỉnh: Sau khi phát hiện bị lừa đảo, nếu còn có token tồn tại trên các nền tảng khác thông qua việc đặt cọc và các phương thức khác, cần phải rút và chuyển nhượng, cần chú ý rằng hacker có thể theo dõi số dư địa chỉ của bạn bất cứ lúc nào. Xây dựng quy trình cứu trợ token hoàn chỉnh, đảm bảo việc rút và chuyển nhượng được thực hiện đồng thời, ngăn chặn việc giao dịch của hacker chèn vào. Có thể xem xét sử dụng chuyển nhượng MEV hoặc tìm kiếm sự hỗ trợ từ các công ty an ninh chuyên nghiệp như đội ngũ Beosin.
Trong tương lai, có thể sẽ có nhiều vụ lừa đảo dựa trên Permit2 hơn. Cách lừa đảo bằng chữ ký này cực kỳ tinh vi và khó phòng ngừa, với việc ứng dụng Permit2 ngày càng mở rộng, số địa chỉ gặp rủi ro cũng sẽ tăng lên. Hy vọng độc giả sau khi đọc bài viết này có thể truyền bá cho nhiều người hơn, tránh để nhiều người phải chịu thiệt hại.