Подпись фишинг новых методов: Проблемы безопасности, вызванные контрактом Uniswap Permit2

В последнее время активизировалась новая схема фишинга, использующая контракт Uniswap Permit2, которая отличается высокой степенью скрытности и опасности. Эта атака требует от жертвы только одной подписи, что может привести к краже активов, и адреса, которые ранее взаимодействовали с Uniswap, также находятся под риском.

Анализ кейса

Недавно один пользователь (, малый A ), стал жертвой кражи активов в своем кошельке, но он не раскрывал свой приватный ключ и не взаимодействовал с подозрительными контрактами. Расследование показало, что украденный USDT был переведен с помощью функции Transfer From, что указывает на то, что активы были перемещены сторонним адресом.

Дальнейший анализ деталей сделки показывает:

• Один промежуточный адрес перевел активы маленького А на другой адрес
• Эта операция взаимодействует с контрактом Permit2 от Uniswap.

Ключевым моментом является то, что этот промежуточный адрес перед передачей активов также выполнил операцию Permit, а объект взаимодействия также является контрактом Permit2 от Uniswap.

Введение в контракт Permit2

Uniswap Permit2 — это контракт на одобрение токенов, который позволяет авторизовывать совместное использование и управление токенами между различными приложениями, что может снизить транзакционные затраты и повысить удобство для пользователей. Однако это также приносит новые риски безопасности.

При использовании Permit2 операции пользователя становятся оффлайн-подписями, а операции в цепочке выполняются промежуточной стороной. Хотя этот способ удобен, он также может привести к тому, что пользователи расслабляются при подписании.

Восстановление методов рыбалки

1. Жертва должна сначала авторизовать токен для контракта Permit2 Uniswap (, обычно это полная авторизация ).

2. Хакеры подталкивают пользователей к безобидной на вид подписи

3. Хакеры используют эту подпись для вызова функции permit контракта Permit2, чтобы получить право использования токенов пользователя

4. Хакер снова вызывает функцию transferFrom, чтобы перевести токены.

Это означает, что если вы взаимодействовали с Uniswap после 2023 года, вы можете столкнуться с этим риском.

Рекомендации по предотвращению

1. Научитесь распознавать формат подписи Permit, который включает поля Owner, Spender, value, nonce и deadline.

2. Разделение использования активов и кошелька для взаимодействия

3. При авторизации контракта Permit2 следует авторизовать только необходимую сумму или отменить избыточную авторизацию.

4. Узнайте, поддерживает ли токен, который вы держите, функцию permit.

5. Если после кражи активы остались на других платформах, необходимо разработать完善ный план вывода.

В будущем количество фишинговых атак на основе Permit2 может возрасти, этот метод крайне скрытный и трудный для предотвращения, надеюсь, все будут внимательны и осторожны при подписании.