Análisis de las técnicas de phishing de firmas Web3: de la autorización a Permit2

Recientemente, la "pesca por firma" se ha convertido en uno de los métodos de ataque más preferidos por los hackers de Web3. A pesar de que los expertos en seguridad y las empresas de billeteras continúan divulgando conocimientos al respecto, todavía hay muchos usuarios que caen en la trampa todos los días. Una de las principales razones de esto es que la mayoría de los usuarios carecen de comprensión sobre la lógica subyacente de la interacción con las billeteras y el alto umbral de aprendizaje.

Para ayudar a más personas a comprender este problema, este artículo analizará la lógica subyacente del phishing de firmas Web3 de una manera sencilla y comprensible, especialmente para los usuarios que no están familiarizados con la tecnología.

Primero, necesitamos entender que hay dos operaciones principales al usar una billetera: "firma" e "interacción". En términos simples, la firma ocurre fuera de la cadena (off-chain) y no requiere pagar tarifas de Gas; mientras que la interacción ocurre en la cadena (on-chain) y requiere pagar tarifas de Gas.

La firma se utiliza comúnmente para la verificación de identidad, como iniciar sesión en una billetera o conectarse a una DApp. Este proceso no afecta la blockchain, por lo que no se requiere pagar una tarifa. En cambio, la interacción implica operaciones reales en la cadena, como el intercambio de tokens en un DEX, lo que requiere el pago de tarifas de Gas.

Después de entender la diferencia entre firma e interacción, veamos algunas formas comunes de phishing:

1. Phishing autorizado: Esta es una técnica clásica de phishing. Los hackers crean un sitio web falso para inducir a los usuarios a realizar operaciones de autorización. Cuando los usuarios hacen clic en botones como "Reclamar airdrop", en realidad están autorizando la dirección del hacker a operar con sus tokens. Aunque este método requiere pagar una tarifa de Gas, aún hay usuarios que caen en la trampa.

2. Firma de permisos de phishing: Permit es una función extendida del estándar ERC-20 que permite a los usuarios autorizar a otros a operar con sus tokens mediante una firma. Los hackers pueden aprovechar este mecanismo para inducir a los usuarios a firmar un mensaje que parece inofensivo, pero que en realidad es una "orden" que autoriza al hacker a transferir los activos del usuario.

3. Phishing de firma de Permit2: Permit2 es una función lanzada por un DEX que tiene como objetivo simplificar el proceso de operación del usuario. Sin embargo, si un usuario ha otorgado previamente autorización de límite ilimitado al contrato Permit2, un hacker puede aprovechar esto para llevar a cabo un ataque de phishing.

Para prevenir estos ataques de phishing, los usuarios pueden tomar las siguientes medidas:

1. Aumentar la conciencia de seguridad, cada vez que realice operaciones con la billetera, debe verificar cuidadosamente.
2. Separar los fondos grandes de la billetera de uso diario para reducir las pérdidas potenciales.
3. Aprende a reconocer el formato de firma de Permit y Permit2, y mantén la vigilancia sobre las firmas que contienen información como la dirección del otorgante, la dirección del autorizado, la cantidad autorizada, etc.

En general, la esencia del phishing de firmas es inducir a los usuarios a firmar un "papel" que permite a otros operar con sus activos. Comprender estos principios de ataque y mantenerse alerta es crucial para proteger sus activos digitales.