Mengungkap Penipuan Tanda Tangan Permit2 Uniswap

Hacker adalah keberadaan yang menakutkan dalam ekosistem Web3. Bagi proyek, open source membawa tekanan keamanan yang besar. Bagi pengguna individu, setiap interaksi di blockchain dapat berisiko. Baru-baru ini, metode phishing baru mulai aktif, hanya dengan tanda tangan bisa dicuri, tekniknya tersembunyi dan sulit untuk dihindari, dan alamat yang pernah menggunakan Uniswap mungkin terpapar pada risiko.

Kronologi peristiwa

Baru-baru ini, seorang teman ( Xiao A ) kehilangan aset dompetnya, tetapi dia tidak membocorkan kunci pribadi atau berinteraksi dengan kontrak yang mencurigakan. Investigasi menemukan bahwa USDT Xiao A dipindahkan melalui fungsi Transfer From, yang berarti aset dipindahkan oleh pihak ketiga.

Detail transaksi menunjukkan:

• Sebuah alamat berakhiran fd51 telah mentransfer aset kecil A ke alamat berakhiran a0c8
• Operasi ini berinteraksi dengan kontrak Permit2 dari Uniswap

Pertanyaan kunci adalah: bagaimana alamat dengan akhiran fd51 mendapatkan hak aset? Mengapa ada hubungannya dengan Uniswap?

Pengenalan Kontrak Uniswap Permit2

Uniswap Permit2 adalah kontrak persetujuan token yang memungkinkan berbagi dan mengelola otorisasi antar aplikasi, untuk memberikan pengalaman pengguna yang lebih seragam, efisien, dan aman. Ini dapat mengurangi biaya transaksi, meningkatkan pengalaman pengguna, sekaligus meningkatkan keamanan kontrak pintar.

Permit2 sebagai perantara antara pengguna dan Dapp, pengguna hanya perlu memberikan izin kepada kontrak Permit2, semua Dapp yang mengintegrasikan Permit2 dapat berbagi batasan izin ini. Ini mengurangi biaya interaksi pengguna, tetapi juga dapat membawa risiko baru.

! [Tanda tangan dicuri?] Mengungkap Penipuan Phishing Tanda Tangan Uniswap Permit2](https://img-cdn.gateio.im/webp-social/moments-bb348691082594ecc577f91d7f9dc800.webp)

analisis teknik phishing

Kuncinya terletak pada fungsi Permit dari kontrak Permit2. Singkatnya, fungsi tersebut memindahkan kuota token yang diberikan kepada Permit2 ke alamat lain menggunakan tanda tangan pengguna. Hacker hanya perlu mendapatkan tanda tangan untuk dapat memindahkan aset pengguna.

Langkah-langkah spesifik:

1. Pengguna pernah memberikan izin kepada kontrak Permit2 di Uniswap ( biasanya adalah batasan tak terbatas )
2. Pengguna secara tidak sengaja menandatangani tanda tangan Permit2 yang dibuat oleh peretas.
3. Hacker menggunakan tanda tangan untuk mengeksekusi operasi Permit dan Transfer From di kontrak Permit2
4. Aset pengguna telah dipindahkan

langkah pencegahan

1. Pelajari cara mengenali format tanda tangan Permit, gunakan plugin keamanan untuk membantu identifikasi
2. Menggunakan dompet penyimpanan aset dan dompet interaksi secara terpisah
3. Batasi jumlah yang diberikan kepada Permit2, atau batalkan otorisasi
4. Memahami apakah token yang dimiliki mendukung fungsi permit, berhati-hati terhadap transaksi terkait.
5. Jika mengalami kasus pencurian, segera buat rencana penyelamatan aset yang lengkap.

Seiring dengan meluasnya penggunaan Permit2, serangan phishing semacam ini mungkin akan semakin banyak. Pengguna perlu meningkatkan kewaspadaan, memperkuat kesadaran keamanan, untuk melindungi keamanan aset mereka.