Розкриття шахрайства з підписом Uniswap Permit2

Хакери є страшним існуванням в екосистемі Web3. Для проектів відкритий код змушує їх розробляти, як по лезу ножа, боячись залишити вразливості, що можуть призвести до безпечних інцидентів. Для особистих користувачів кожна взаємодія в ланцюгу або підпис може поставити активи під ризик крадіжки. Тому питання безпеки завжди було одним з болючих моментів у світі криптовалют. Незворотна природа блокчейну також означає, що вкрадені активи практично неможливо повернути, що ще більше підкреслює важливість знань про безпеку.

Нещодавно один із дослідників безпеки блокчейн виявив новий тип фішингової атаки, яка може призвести до крадіжки активів лише за один підпис. Цей метод є дуже прихованим і важким для запобігання, а адреси, які раніше використовували Uniswap, можуть бути піддані ризику. У цій статті буде детально розглянуто цей метод підписного фішингу, щоб допомогти всім уникнути подальших втрат активів.

Хід подій

Нещодавно один користувач ( малий А ) звернувся по допомогу після того, як його криптогаманець був вкрадений. На відміну від звичних способів крадіжки, малий А не розкривав свій приватний ключ і не взаємодіяв із підозрілими контрактами. Після розслідування було виявлено, що USDT малого А був переміщений через функцію Transfer From, що означає, що активи були переміщені адресою третьої сторони, а не через витік приватного ключа.

Подальше вивчення деталей угоди виявило ключові підказки:

• Адреса, що закінчується на fd51, перевела активи маленького А на адресу, що закінчується на a0c8
• Ця операція взаємодіє з контрактом Permit2 Uniswap.

Проблема в тому, як адреса з закінченням fd51 отримала права на управління активами малюка А? Чому це пов'язано з Uniswap?

Відповідь міститься в записах взаємодії адреси з кінцевими символами fd51. Перед передачею активів маленького А ця адреса також виконала операцію Permit, об'єктом взаємодії також був контракт Uniswap Permit2.

Uniswap Permit2 – це новий контракт, запущений наприкінці 2022 року, який має на меті реалізацію єдиного управління авторизацією між додатками, підвищення користувацького досвіду та зниження витрат на транзакції. Його основою є перехід дій користувачів з онлайнової взаємодії на офлайн-підпис, за допомогою проміжних учасників (, таких як контракт Permit2 ), для виконання онлайнових операцій.

Ця схема хоча й може знизити витрати на взаємодію з користувачем, але також приносить нові ризики. Позамежне підписання є найбільш ігнорованим етапом користувачами, багато хто не перевіряє уважно вміст підпису.

Ключова передумова для відтворення цього методу риболовлі: гаманець, який піддається риболовлі, повинен надати токен авторизації контракту Permit2 на Uniswap. Наразі, для здійснення свопу на Dapp, інтегрованих з Permit2 або на Uniswap, потрібно виконати таку авторизацію.

Більш важливо зазначити, що контракт Permit2 Uniswap за замовчуванням дозволяє користувачам авторизувати весь баланс токена. Хоча гаманець пропонує можливість ввести іншу суму, більшість людей, ймовірно, виберуть максимальну або значення за замовчуванням, а значення за замовчуванням Permit2 є безмежним.

Це означає, що якщо ви взаємодіяли з Uniswap після 2023 року та надали дозвіл контракту Permit2, ви можете бути піддані ризику цього замилювання очей.

Хакери використовують функцію Permit, щоб за допомогою підпису користувача передати користувацький ліміт токенів, наданий контракту Permit2, на іншу адресу. Як тільки підпис отримано, хакери можуть контролювати права токенів у гаманці користувача та переміщати активи.

Як запобігти?

Враховуючи, що контракт Uniswap Permit2 може стати більш популярним, більше проєктів, можливо, інтегрують його для авторизації спільного використання, ось деякі ефективні запобіжні заходи:

1. Розумійте та розпізнавайте вміст підпису: навчіться розпізнавати формат підпису Permit, використовуючи безпечні плагіни для допомоги в розпізнаванні.

2. Розділення активів між гаманцем активів та інтерактивним гаманцем: великі активи зберігайте в холодному гаманці, а в інтерактивному гаманці залишайте лише невелику суму.

3. Обмежте обсяг авторизації або скасуйте авторизацію: під час обміну на Uniswap авторизуйте лише необхідну суму або скористайтеся безпечною плагіном для скасування вже наданої авторизації.

4. Визначення, чи підтримує токен функцію permit: зверніть увагу на токени, які ви тримаєте, чи підтримують вони цю функцію, з торгівлею підтримуваними токенами потрібно бути особливо обережними.

5. Розробіть вдосконалений план порятунку активів: якщо після крадіжки токени залишилися на інших платформах, необхідно обережно розробити план вилучення та переміщення, можна розглянути можливість використання MEV для переміщення або звернення за допомогою до професійної безпекової команди.

З розширенням застосування Permit2, можливих методів риболовлі на основі його функцій стає все більше. Цей підписний метод риболовлі є надзвичайно прихованим і важким для запобігання, адреси, які піддаються ризику, також постійно зростають. Сподіваюся, що ця стаття допоможе більшій кількості людей зрозуміти і запобігти цьому новому виду замилювання очей, захищаючи свої цифрові активи.