Web3サインフィッシングトラップの解析：オーソリゼーション、PermitおよびPermit2メカニズムの分析

最近、Web3分野のハッカーたちは新しいフィッシング手法である「署名フィッシング」に熱中しています。セキュリティ専門家やウォレット会社がこのことについて啓蒙し警告を発しているにもかかわらず、毎日多くのユーザーが罠にはまっています。この現象の主な原因の一つは、大多数のユーザーがウォレットとのインタラクションの基本的な論理を理解しておらず、非技術者にとっては関連知識の学習のハードルが高いためです。

この問題をより多くの人々に理解してもらうために、この記事では署名フィッシングの根本的な論理をわかりやすく解説し、特に技術に詳しくないユーザーに向けて説明します。

まず、私たちはウォレットを使用する際に主に関わる2つの操作を理解する必要があります：「署名」と「インタラクション」です。簡単に言うと、署名はブロックチェーンの外部で行われる操作で、ガス代を支払う必要はありません。一方、インタラクションはブロックチェーン上で行われ、ガス代を支払う必要があります。

署名の典型的なシーンは、アイデンティティの確認に使用されます。例えば、ウォレットにログインする際です。DAppで操作を行う必要がある場合、まず署名を通じてそのウォレットの所有者であることを証明する必要があります。このプロセスはブロックチェーンに実質的な変更を加えないため、手数料を支払う必要はありません。

対照的に、インタラクションは実際のチェーン上の操作を含みます。たとえば、特定のDEXでトークン交換を行いたい場合、最初にDEXのスマートコントラクトにあなたのトークンを使用する権限を与え、その後に実際の交換操作を実行する必要があります。これらの2つのステップではガス代を支払う必要があります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名とインタラクションの違いを理解した後、いくつかの一般的なフィッシング手法を見てみましょう：認可フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

承認フィッシングは、承認（approve）メカニズムを利用した古典的なフィッシング手法です。ハッカーは、NFTプロジェクトを装ったフィッシングサイトを作成し、ユーザーに「エアドロップを受け取る」ボタンをクリックさせることがあります。実際には、ユーザーがクリックすると、ハッカーのアドレスがユーザーのトークンを操作するための承認要求がポップアップします。ユーザーがこれを承認すると、ハッカーはユーザーの資産を制御できるようになります。

しかし、権限付与フィッシングはGas費用が必要なため、多くのユーザーはウォレットが支払いリクエストをポップアップするのを見ると警戒心を高めるため、比較的防ぎやすいです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

PermitとPermit2の署名フィッシングは、さらに巧妙で危険です。PermitはERC-20標準の拡張機能であり、ユーザーが署名を通じて他者に自分のトークンを操作することを許可することを可能にします。ユーザーは、権限情報を含む「メモ」を署名するだけで、その「メモ」を持っている人がユーザーのために権限操作を行うことができます。

Permit2は、特定のDEXがユーザー体験を向上させるために導入した機能です。これにより、ユーザーはPermit2コントラクトに対して一度に大きな額を許可することができ、その後の各取引では署名確認のみで済み、追加のGas代を支払う必要がありません。

この2つのフィッシング手法が難しいのは、ユーザーがDAppを使用する前に署名操作を行うことに慣れており、署名の具体的な内容を注意深く確認することがないからです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名フィッシングを防ぐために、ユーザーは以下を行うべきです:

1. セキュリティ意識を高め、ウォレットを操作する際には毎回行っている操作を慎重に確認してください。

2. 大きな資金を日常使用のウォレットから分けて、潜在的な損失を減らす。

3. PermitとPermit2の署名形式を識別することを学び、以下の情報を含む署名リクエストを見たときは特に警戒してください:

   • インタラクティブ：インタラクティブウェブサイト
   • 所有者：権限を付与した方のアドレス
   • スペンダー：承認されたアドレス
   • 値：許可された数量
   • ノンス：ランダム数
   • Deadline:有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらのフィッシングメカニズムの原理と防止方法を理解することで、ユーザーは自分のデジタル資産の安全をより良く守ることができます。