Uniswap Permit2 シグネチャーフィッシング新しい詐欺資産のセキュリティに関する4つの主要な注意事項

2025-07-28 15:36:27

概要作成中

Uniswap Permit2 Signature フィッシング詐欺の謎を解く

ハッカーは常にWeb3エコシステムで最も恐ろしい存在です。プロジェクトチームにとって、コードのオープンソースの特性は、開発中に安全なバグを残さないようにするために非常に注意を要します。個人ユーザーにとっては、チェーン上の各インタラクションや署名が資産の盗難につながる可能性があり、操作の意味を理解していないと非常に危険です。したがって、安全性の問題は暗号の世界で最も厄介な問題の一つです。ブロックチェーンの不可逆性のため、盗まれた資産はほぼ回収不可能であり、これは安全知識の重要性をさらに強調しています。

最近、新しいフィッシング手法が活発になり、署名するだけで資産が盗まれる可能性があります。この手法は非常に巧妙で防ぐのが難しく、Uniswapとやり取りしたアドレスはすべてリスクにさらされる可能性があります。本記事では、この署名フィッシング手法について詳しく説明し、より多くのユーザーの資産損失を減らすことを目的としています。

###イベント

最近、友人(仮称小A)のウォレット資産が盗まれました。一般的な盗難の手口とは異なり、小Aはプライベートキーを漏洩せず、疑わしい契約ともやり取りしていません。ブロックチェーンブラウザを通じて確認すると、小AのウォレットにあるUSDTはTransfer From関数を介して移動されています。これは第三者のアドレスがトークンを操作して移動したことを意味し、ウォレットのプライベートキーが漏洩したわけではありません。

取引の詳細が表示されます:

尾号fd51のアドレスが小Aの資産を尾号a0c8のアドレスに移転します
この操作は、ある取引プラットフォームのPermit2契約と相互作用しています。

重要な問題は、末尾fd51のアドレスがどのようにこの資産の権限を取得したのか? なぜある取引プラットフォームと関連しているのか?

さらに調査したところ、Aの資産を移転する前に、末尾がfd51のアドレスはPermit操作を行っており、これら二つの操作の相互対象はある取引プラットフォームのPermit2契約であることがわかりました。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

Permit2コントラクトは、ある取引プラットフォームが2022年末に導入した新しいスマートコントラクトです。これは、トークンの権限を異なるアプリケーション間で共有および管理することを可能にし、より統一された、コスト効率が高く、安全なユーザー体験を創出することを目的としています。より多くのプロジェクトがPermit2を統合するにつれて、すべてのアプリケーションでトークンの承認を標準化し、取引コストを削減してユーザー体験を改善し、同時にスマートコントラクトの安全性を向上させることが期待されます。

Permit2の登場はDappエコシステムのゲームルールを変える可能性があります。従来の方法では、ユーザーはDappと対話するたびに個別に承認する必要がありました。しかし、Permit2はこのステップを省略でき、ユーザーの対話コストを効果的に削減し、より良い体験をもたらします。Permit2はユーザーとDappの間の仲介者として機能し、ユーザーはTokenの権限をPermit2契約に付与するだけで、すべてのその契約を統合したDappがこの承認枠を共有できます。

しかし、Permit2は二刀流でもあります。ユーザーの操作をオフチェーン署名に変換し、すべてのオンチェーン操作は中間者によって実行されます。これにより、ユーザーはウォレットにETHがなくても他のトークンでガス代を支払ったり、中間者に払い戻しを受けたりすることができます。しかし、オフチェーン署名はユーザーが最も見落としやすい部分でもあり、大多数の人々は署名内容を注意深く確認しないため、これが最も危険な部分です。

###釣りのテクニックが繰り返される

このPermit2署名フィッシングを引き起こすための重要な前提条件は、フィッシングされたウォレットがトークンをある取引プラットフォームのPermit2コントラクトに許可している必要があることです。現在、Permit2と統合されたDappまたは特定の取引プラットフォームでスワップを行うためには、Permit2コントラクトに許可を与える必要があります。

さらに恐ろしいことに、Swapの金額に関わらず、ある取引プラットフォームのPermit2契約はユーザーにそのトークンの全残高を自動的に承認させる。ウォレットはカスタム入力金額を提示するが、多くの人は最大またはデフォルト値を直接選択する。Permit2のデフォルト値は無制限の額である。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

これは、あなたが2023年以降にある取引プラットフォームとやり取りをし、Permit2契約に承認を与えた場合、そのフィッシングリスクに直面する可能性があることを意味します。

コアはPermit関数にあります。これは、Permit2コントラクトに与えられたトークンの権限を他のアドレスに移転することを許可します。ハッカーはユーザーの署名を取得するだけで、ユーザーのウォレット内のトークンの権限を取得し、資産を移転することができます。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

###注意事項

サイン内容を理解し、識別する: Permitサイン形式を識別する方法を学び、Owner、Spender、value、nonce、deadlineなどの重要な情報を含めます。安全なプラグインを使用することで識別が助けられます。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く

資産の保管とインタラクティブウォレットの分離: 大量の資産をコールドウォレットに保管し、インタラクティブウォレットには少量の資金のみを保持することで、フィッシングに遭遇した際の損失を大幅に減少させることができます。
認可額度の制限または認可の取消: ある取引プラットフォームでSwapを行う際には、必要なインタラクション金額のみを認可します。毎回再認可が必要になるとコストが増加しますが、Permit2署名フィッシングリスクを回避できます。認可されたユーザーは、安全プラグインを通じて認可を取り消すことができます。
トークンがpermit機能をサポートしているかを識別する: 所持しているトークンがこの機能をサポートしているかに注意し、サポートされているトークンの取引には特に慎重になり、未知の署名を厳密にチェックする。
完璧な資産救援計画を策定すること: もし詐欺にあった後に他のプラットフォームにトークンが残っている場合は、慎重に引き出しと移動を行う必要があります。ハッカーはいつでもあなたのアドレスの残高を監視しており、一旦トークンが現れたら移動してきます。MEV移動を使用することを検討するか、専門のセキュリティチームの支援を求めてください。

Permit2の適用範囲が拡大するにつれて、それに基づくフィッシングが増える可能性があります。この署名フィッシング方式は非常に巧妙で防止が難しく、リスクにさらされるアドレスも増えていくでしょう。読者がこれらの情報をより多くの人に広め、さらなる損失を避けることを願っています。

! 署名が盗まれましたか? Uniswap Permit2署名フィッシング詐欺の謎を解く