Analyse des techniques de phishing par signature Web3 : de l'autorisation à Permit2

Récemment, le "phishing par signature" est devenu l'une des méthodes d'attaque préférées des hackers Web3. Bien que les experts en sécurité et les entreprises de portefeuilles continuent de sensibiliser à ce sujet, de nombreux utilisateurs tombent encore dans le piège chaque jour. Une des principales raisons de cette situation est que la plupart des utilisateurs manquent de compréhension de la logique sous-jacente des interactions avec les portefeuilles et que le seuil d'apprentissage est relativement élevé.

Pour aider un plus grand nombre de personnes à comprendre ce problème, cet article expliquera de manière simple et accessible la logique sous-jacente du phishing par signature Web3, en particulier pour les utilisateurs peu familiers avec la technologie.

Tout d'abord, nous devons comprendre qu'il existe principalement deux types d'opérations lors de l'utilisation d'un portefeuille : "signature" et "interaction". En termes simples, la signature se produit en dehors de la blockchain (hors chaîne), sans avoir besoin de payer de frais de Gas ; tandis que l'interaction se produit sur la blockchain (sur chaîne), nécessitant le paiement de frais de Gas.

Les signatures sont généralement utilisées pour l'authentification, par exemple pour se connecter à un portefeuille ou se connecter à une DApp. Ce processus n'a aucun impact sur la blockchain, il n'est donc pas nécessaire de payer des frais. En revanche, l'interaction implique des opérations réelles sur la chaîne, comme échanger des jetons sur un DEX, ce qui nécessite de payer des frais de Gas.

Après avoir compris la différence entre la signature et l'interaction, examinons quelques méthodes de phishing courantes :

1. Phishing autorisé : C'est une méthode de pêche classique. Les hackers créent un site web contrefait pour inciter les utilisateurs à effectuer des opérations d'autorisation. Lorsque les utilisateurs cliquent sur des boutons comme "Recevoir l'airdrop", ils autorisent en réalité l'adresse du hacker à manipuler leurs tokens. Bien que cette méthode nécessite de payer des frais de Gas, certains utilisateurs tombent encore dans le piège.

2. Phishing de signature de permis : Le Permis est une fonctionnalité étendue de la norme ERC-20, permettant aux utilisateurs d'autoriser d'autres à manipuler leurs jetons par le biais d'une signature. Les hackers peuvent exploiter ce mécanisme en incitant les utilisateurs à signer un message apparemment inoffensif, qui en réalité est un "ordre" autorisant le hacker à transférer les actifs de l'utilisateur.

3. Phishing par signature Permit2 : Permit2 est une fonctionnalité lancée par un certain DEX, visant à simplifier le processus d'opération des utilisateurs. Cependant, si un utilisateur a déjà accordé une autorisation de montant illimité au contrat Permit2, un hacker peut exploiter cela pour mener des attaques de phishing.

Pour se prémunir contre ces attaques de phishing, les utilisateurs peuvent prendre les mesures suivantes :

1. Élever la sensibilisation à la sécurité, vérifiez attentivement chaque fois que vous effectuez une opération de portefeuille.
2. Séparez les fonds importants de votre portefeuille quotidien pour réduire les pertes potentielles.
3. Apprenez à reconnaître le format de signature de Permit et Permit2, et restez vigilant concernant les signatures contenant des informations telles que l'adresse de l'autorisateur, l'adresse du bénéficiaire et la quantité autorisée.

Dans l'ensemble, la nature du phishing par signature consiste à inciter l'utilisateur à signer un "papier" qui permet à d'autres de manipuler ses actifs. Comprendre ces mécanismes d'attaque et rester vigilant est essentiel pour protéger ses actifs numériques.