Web3サインフィッシングの基礎論理と防止策

最近、「署名フィッシング」がWeb3ハッカーに最も好まれる攻撃手段となっています。業界の専門家やセキュリティ会社が絶えず啓蒙活動を行っているにもかかわらず、毎日多くのユーザーが損失を被っています。このような状況の主な原因の一つは、大多数のユーザーがウォレットのインタラクションの基盤となるメカニズムについて理解が不足していることであり、技術的でない人々にとっては、関連知識の習得のハードルが高いことです。

より多くの人がこの問題を理解できるように、私たちは図解を用いて、最も簡単でわかりやすい言葉で署名フィッシングの根本的な論理を解析します。

まず、ウォレットを使用する際に主に2つの操作があることを理解する必要があります："署名"と"インタラクション"。簡単に言えば、署名はブロックチェーンの外（オフチェーン）で行われ、Gas代を支払う必要はありません。一方、インタラクションはブロックチェーン上（オンチェーン）で行われ、Gas代を支払う必要があります。

署名は通常、ウォレットにログインしたり、特定のDAppに接続したりするための認証に使用されます。このプロセスはブロックチェーン上のデータや状態を変更することはないため、手数料を支払う必要はありません。

インタラクションは実際のチェーン上の操作を含みます。たとえば、あるDEXでトークンを交換する際、まずDEXのスマートコントラクトがあなたのトークンを使用できるように権限を与える必要があります（このステップは「承認」または「approve」と呼ばれます）。その後、実際の交換操作を実行します。この2つのステップにはガス代が必要です。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名とインタラクションの違いを理解した後、一般的なフィッシング手法をいくつか見てみましょう：承認フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

承認フィッシングは、クラシックなWeb3フィッシング手法です。ハッカーは通常、合法的に見えるウェブサイトを偽装し、ユーザーに「エアドロップを受け取る」などのボタンをクリックさせようとします。実際には、ユーザーがクリックすると、ハッカーがユーザーのトークンにアクセスするための承認操作がトリガーされます。この方法の欠点は、Gas代を支払う必要があり、ユーザーの警戒を引き起こしやすいことです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

PermitとPermit2の署名フィッシングはさらに巧妙です。PermitはERC-20標準の拡張機能で、ユーザーが署名を通じて他者に自分のトークンを移動させることを許可します。これは、一枚の「メモ」に署名して誰かにあなたの資産を使用する権限を与えるようなものです。ハッカーはこのメカニズムを利用して、ユーザーに一見無害なメッセージに署名させ、実際にはハッカーがユーザーの資産を移転する権限を与えることができます。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

Permit2は、あるDEXが導入した機能で、ユーザーの操作プロセスを簡素化することを目的としています。これにより、ユーザーはPermit2スマートコントラクトに対して一度に大きな額を許可することができ、その後は毎回の取引で署名するだけで済み、再度の許可は不要です。しかし、これによりハッカーにとっての隙が生まれます。もしユーザーがそのDEXを以前に利用し、無制限の額を許可していた場合、Permit2のメッセージに署名するよう誘導されると、ハッカーはユーザーの資産を簡単に移転できるのです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらのフィッシング攻撃を防ぐために、私たちは次のことをお勧めします：

1. セキュリティ意識を高め、ウォレットを操作する際には、具体的な操作内容を注意深く確認すること。

2. 大額資金を日常使用のウォレットから分けて、潜在的な損失を減らす。

3. PermitとPermit2の署名形式を識別することを学びましょう。以下のフィールドを含む署名リクエストを見た場合は、警戒を強めることが重要です：

   • インタラクティブ（交互网址）
   • オーナー（権限を与える者のアドレス）
   • Spender（承認されたアドレス）
   • 値（許可された数）
   • ノンス（ランダム数） -締切

これらの基本的な論理を理解し、適切な防止策を講じることで、私たちは自分のWeb3資産の安全をよりよく守ることができます。