揭秘Uniswap Permit2签名钓鱼骗局

黑客是Web3生态中令人恐惧的存在。对项目方而言,代码开源带来了巨大的安全压力。对个人用户来说,每次链上交互都可能存在风险。近期,一种新的钓鱼手法开始活跃,只需签名就可能被盗,手法隐蔽难防,并且使用过Uniswap的地址都可能暴露在风险中。

事件经过

最近,一位朋友(小A)的钱包资产被盗,但他并未泄露私钥或与可疑合约交互。调查发现,小A的USDT是通过Transfer From函数被转移的,这意味着是第三方操作转移了资产。

交易细节显示:

• 一个尾号fd51的地址将小A的资产转到了尾号a0c8的地址
• 这个操作是与Uniswap的Permit2合约交互的

关键问题是:尾号fd51的地址如何获得了资产权限?为何与Uniswap有关?

Uniswap Permit2合约介绍

Uniswap Permit2是一个代币审批合约,允许在不同应用间共享和管理授权,以提供更统一、高效、安全的用户体验。它可以降低交易成本,改善用户体验,同时提高智能合约安全性。

Permit2作为用户和Dapp之间的中间人,用户只需授权给Permit2合约,所有集成Permit2的Dapp都可共享这个授权额度。这减少了用户交互成本,但也可能带来新的风险。

钓鱼手法分析

关键在于Permit2合约的Permit函数。简言之,该函数利用用户签名将授权给Permit2的代币额度转移给其他地址。黑客只需获得签名,就可以转移用户资产。

具体步骤:

1. 用户曾在Uniswap上授权给Permit2合约(通常是无限额度)
2. 用户不慎签署了黑客构造的Permit2签名
3. 黑客利用签名在Permit2合约中执行Permit和Transfer From操作
4. 用户资产被转移

防范措施

1. 学会识别Permit签名格式,使用安全插件辅助识别
2. 将资产存储钱包和交互钱包分开使用
3. 限制授权给Permit2的额度,或取消授权
4. 了解所持代币是否支持permit功能,对相关交易格外谨慎
5. 如遇被盗情况,迅速制定完善的资产拯救计划

随着Permit2应用范围扩大,此类钓鱼攻击可能会越来越多。用户需提高警惕,加强安全意识,以保护自身资产安全。