Web3籤名釣魚的底層原理及防範措施

最近，"籤名釣魚"成爲了Web3黑客最常用的詐騙手段之一。盡管安全專家和錢包公司不斷宣傳相關知識，但每天仍有許多用戶落入陷阱。造成這種情況的一個重要原因是大多數人對錢包交互的底層邏輯缺乏了解，而且對於非技術人員來說，學習門檻較高。

爲了幫助更多人理解這個問題，本文將以通俗易懂的方式解析籤名釣魚的底層邏輯。

錢包操作的兩種基本類型

使用加密貨幣錢包時，我們主要有兩種操作："籤名"和"交互"。

• 籤名：發生在區塊鏈外部（鏈下），不需要支付Gas費用。
• 交互：發生在區塊鏈上（鏈上），需要支付Gas費用。

籤名通常用於身分驗證，例如登入錢包或連接DApp。這個過程不會改變區塊鏈上的任何數據或狀態，因此不需要花費。

交互則涉及實際的區塊鏈操作。例如，在某DEX上交換代幣時，你需要先授權智能合約使用你的代幣（approve），然後再執行實際的交換操作。這兩個步驟都需要支付Gas費用。

常見的釣魚方式

1. 授權釣魚

這是一種傳統的Web3釣魚手法。黑客通常會創建一個僞裝成合法項目的網站，誘導用戶點擊"領取空投"等按鈕。實際上，用戶點擊後會被要求授權（approve）黑客地址使用自己的代幣。

雖然這種方法需要支付Gas費，但仍有用戶會不小心上當。

2. Permit籤名釣魚

Permit是ERC-20標準的一個擴展功能，允許用戶通過籤名來批準他人使用自己的代幣。與傳統授權不同，Permit不需要用戶支付Gas費。

黑客可以利用這一機制，誘導用戶簽署一個看似無害的消息，實際上卻是授權黑客使用用戶代幣的Permit。

3. Permit2籤名釣魚

Permit2是某DEX推出的一項功能，旨在簡化用戶操作並節省Gas費用。用戶可以一次性授權大額度給Permit2智能合約，之後每次交易只需籤名即可，Gas費由合約代付（從最終交換的代幣中扣除）。

然而，這也爲黑客提供了新的攻擊途徑。如果用戶曾經使用過該DEX並授權了無限額度給Permit2合約，黑客就可以通過誘導用戶籤名來轉移用戶的代幣。

防範措施

1. 提高安全意識：每次進行錢包操作時，都要仔細檢查你正在執行的具體操作。

2. 資金分離：將大額資金和日常使用的錢包分開，以降低潛在損失。

3. 學會識別Permit和Permit2的籤名格式：當你看到包含以下信息的籤名請求時，要特別警惕：

   • Interactive：交互網址
   • Owner：授權方地址
   • Spender：被授權方地址
   • Value：授權數量
   • Nonce：隨機數
   • Deadline：過期時間

通過了解這些底層機制和採取適當的防範措施，用戶可以大大降低成爲籤名釣魚受害者的風險。在Web3世界中，保持警惕和持續學習是保護自己資產的關鍵。