Виявлення шахрайства з підписами Uniswap Permit2: лише один підпис може призвести до крадіжки активів

Хакери є лякаючою присутністю в екосистемі Web3. Для проектів відкритий код означає, що глобальні хакери можуть шукати вразливості, а одна неправильно написана строка коду може призвести до серйозних наслідків. Для звичайних користувачів кожна взаємодія в ланцюзі або підпис може поставити під загрозу їхні активи. Тому питання безпеки завжди було однією з болючих тем у криптовалютному світі, а незворотна природа блокчейну ускладнює повернення викрадених активів, що ще більше підкреслює важливість знань про безпеку.

Нещодавно один дослідник виявив новий тип фішингу, який може призвести до крадіжки активів лише за допомогою підпису. Цей метод надзвичайно прихований та важкий для попередження, а адреси, які раніше взаємодіяли з Uniswap, можуть бути під ризиком. У цій статті буде детально описано цей метод підписного фішингу, щоб допомогти читачам уникнути подальших втрат активів.

Хід подій

Справа почалася з того, що активи друга ( маленького А були вкрадені. На відміну від звичайних способів крадіжки, маленький А не розкривав приватний ключ і не взаємодіяв з підозрілими контрактами. Подальше розслідування виявило, що вкрадені USDT були переміщені за допомогою функції Transfer From, що означає, що активи були переміщені третьою стороною, а не через витік приватного ключа гаманця.

Деталі угоди показують:

• Адреса )fd51( перенесла активи маленького А на іншу адресу )a0c8(
• Ця операція взаємодіє з контрактом Permit2 Uniswap.

Ключове питання: як адреса fd51 отримала права на активи малого A? Чому це пов'язано з Uniswap?

Продовжуючи досліджувати взаємодії адреси fd51, було виявлено, що перед переміщенням активів маленького А, ця адреса також виконала операцію Permit, і обидві операції взаємодіяли з контрактом Permit2 Uniswap.

![Підписавшись, вас обдурять? Розкриття схеми шахрайства з підписами Uniswap Permit2])https://img-cdn.gateio.im/webp-social/moments-0cc586809f131d9dfab81df33fd1835e.webp(

Uniswap Permit2 — це новий контракт, запущений наприкінці 2022 року, який має на меті реалізувати єдине управління авторизацією між додатками, покращити користувацький досвід та знизити витрати на транзакції. Його принцип роботи полягає в тому, що користувачеві потрібно лише надати авторизацію контракту Permit2, всі додатки, що інтегрують Permit2, можуть ділитися цим обсягом авторизації.

Цей дизайн, хоча й підвищує зручність, але також приносить ризики. У традиційних способах взаємодії авторизація та переміщення коштів вимагають операцій на ланцюзі. А Permit2 перетворює дії користувача на підписування поза ланцюгом, а операції на ланцюзі виконуються проміжними сторонами. Це, хоча й приносить багато переваг, але також робить підписування поза ланцюгом найпомітнішою загрозою безпеці.

Дослідження показують, що для активації цього вразливості ключовою передумовою є те, що гаманець повинен бути вже авторизований для Permit2 контракту Uniswap. Варто зазначити, що якщо ви взаємодіятимете з Uniswap і авторизуєте Permit2 після 2023 року, ви можете зіткнутися з цим ризиком.

Ще більше викликає занепокоєння, що контракт Permit2 Uniswap за замовчуванням запитує безмежний обсяг дозволу. Хоча MetaMask дозволяє налаштовувати суму, більшість користувачів, ймовірно, виберуть максимальну або значення за замовчуванням.

![Підпис був вкрадений? Розкриття схеми шахрайства з підписами Uniswap Permit2])https://img-cdn.gateio.im/webp-social/moments-bb348691082594ecc577f91d7f9dc800.webp(

) технічний аналіз

Основна логіка функції Permit полягає в тому, що:

1. Перевірте, чи підпис дійсний.
2. Підтвердження справжності підпису
3. Якщо перевірка успішна, оновіть записи авторизації.

Функція verify витягує дані v, r, s з інформації підпису, щоб відновити адресу підпису та порівняти її з адресою власника токена. Якщо адреси збігаються, продовжте виконання функції _updateApproval.

_updateApproval функція оновлює значення дозволу, реалізуючи передачу прав. Після цього, уповноважена сторона може викликати функцію transferFrom для передачі токенів.

![Підписавшись, може бути вкрадено? Розкриття шахрайства з підписом Uniswap Permit2]###https://img-cdn.gateio.im/webp-social/moments-30520c8399a6ee69aa22424476c5870c.webp(

) Як запобігти

1. Навчіться розпізнавати та розуміти зміст підпису, особливо формат підпису Permit. Використання безпечних плагінів може допомогти в розпізнаванні.

2. Використовуйте стратегію розділення холодних і гарячих гаманців, зберігайте великі активи в холодному гаманці.

3. Обережно надавайте дозвіл на контракт Permit2, надавайте дозвіл лише на необхідну суму. Якщо вже надано дозвіл, можна використовувати безпечний плагін для скасування.

4. Досліджуйте, чи підтримує ваш токен функцію permit; будьте особливо обережні з торгівлею токенами, що підтримуються.

5. Якщо, на жаль, вас обманули, але у вас все ще є активи на інших платформах, необхідно розробити детальний план їх переміщення, можна розглянути використання MEV-передачі або звернутися за допомогою до професійної команди безпеки.

З розширенням сфери застосування Permit2, ймовірність фішингових атак на його основі може стати більш поширеною. Цей спосіб підписного фішингу є надзвичайно прихованим і важким для запобігання, і адреси, що піддаються ризику, також будуть зростати. Сподіваємося, що читачі зможуть підвищити обізнаність і поділитися цією інформацією з більшою кількістю людей, щоб спільно захистити активи.

![Підписалися та були вкрадені? Розкриття схеми замилювання очей Uniswap Permit2]###https://img-cdn.gateio.im/webp-social/moments-730db044a34a8dc242f04cf8ae4d394c.webp(