تحليل أساليب الاحتيال بتوقيع Web3: من التفويض إلى Permit2

في الفترة الأخيرة، أصبحت "هجمات التصيد عبر التوقيع" واحدة من أكثر طرق الهجوم المفضلة لدى قراصنة Web3. على الرغم من أن خبراء الأمان وشركات المحافظ يقومون باستمرار بنشر المعرفة ذات الصلة، إلا أن العديد من المستخدمين لا يزالون يقعوا في الفخ يوميًا. أحد الأسباب الرئيسية وراء ذلك هو أن معظم المستخدمين يفتقرون إلى الفهم الأساسي للمنطق الكامن وراء تفاعلات المحافظ، وأن عائق التعلم مرتفع.

لمساعدة المزيد من الناس على فهم هذه المشكلة، ستقوم هذه المقالة بشرح المنطق الأساسي للاحتيال بالتوقيع في Web3 بطريقة بسيطة وسهلة الفهم، خاصةً للمستخدمين غير المألوفين بالتكنولوجيا.

أولاً، نحتاج إلى فهم أن هناك نوعين رئيسيين من العمليات عند استخدام المحفظة: "التوقيع" و"التفاعل". ببساطة، يحدث التوقيع خارج سلسلة الكتل (غير متصل بالسلسلة) ولا يتطلب دفع رسوم غاز؛ بينما يحدث التفاعل داخل سلسلة الكتل (متصل بالسلسلة) ويتطلب دفع رسوم غاز.

تُستخدم التوقيعات عادةً للتحقق من الهوية، مثل تسجيل الدخول إلى المحفظة أو الاتصال بتطبيق لامركزي معين. لا يؤثر هذا العملية على سلسلة الكتل، لذلك لا حاجة لدفع أي رسوم. بينما تتضمن التفاعلات العمليات الفعلية على السلسلة، مثل تبادل الرموز على بورصة لامركزية، مما يتطلب دفع رسوم الغاز.

بعد فهم الفرق بين التوقيع والتفاعل، دعونا نلقي نظرة على بعض طرق الصيد الشائعة:

1. التصيد الاحتيالي المصرح به: هذه طريقة كلاسيكية للصيد. يقوم القراصنة بإنشاء موقع مزيف لإغراء المستخدمين للقيام بعمليات التفويض. عندما ينقر المستخدم على أزرار مثل "استلام الإهداء"، فإنه في الواقع يقوم بتفويض عنوان القراصنة للتصرف في رموزه. على الرغم من أن هذه الطريقة تتطلب دفع رسوم الغاز، لا يزال هناك مستخدمون قد يقعوا ضحية لذلك.

2. توقيع التصيد الاحتيالي: تُعدّ ميزة التصريح (Permit) من الوظائف الموسعة لمعيار ERC-20، حيث تتيح للمستخدمين تفويض الآخرين للتصرف في رموزهم من خلال التوقيع. يمكن للقراصنة استغلال هذه الآلية من خلال إغراء المستخدمين بتوقيع رسالة تبدو غير ضارة، لكنها في الواقع تُعتبر "إذنًا" لنقل أصول المستخدمين إلى القراصنة.

3. تصيد توقيع Permit2: Permit2 هي ميزة أطلقتها بعض منصات DEX، تهدف إلى تبسيط إجراءات المستخدمين. ومع ذلك، إذا كان المستخدم قد منح تفويضًا غير محدود لعقد Permit2، يمكن للقراصنة استغلال ذلك لتنفيذ هجمات تصيد.

لتجنب هذه الهجمات الاحتيالية، يمكن للمستخدمين اتخاذ التدابير التالية:

1. زيادة الوعي بالأمان، يجب فحص كل عملية محفظة بعناية في كل مرة.
2. فصل الأموال الكبيرة عن محفظة الاستخدام اليومي لتقليل الخسائر المحتملة.
3. تعلم كيفية التعرف على تنسيق توقيع Permit و Permit2، وكن حذرًا من التوقيعات التي تحتوي على عنوان المخول، عنوان المخول له، وكمية التفويض وغيرها من المعلومات.

بشكل عام، جوهر هجمات التصيد الاحتيالي بالتوقيع هو تحفيز المستخدم على توقيع "ورقة" تسمح للآخرين بالتحكم في أصوله. فهم مبادئ هذه الهجمات والبقاء في حالة تأهب أمر بالغ الأهمية لحماية الأصول الرقمية الخاصة بك.