Web3署名フィッシング: 基本的なロジック解析と防止ガイド

最近、「署名フィッシング」がWeb3ハッカーに最も好まれる攻撃手段となっています。セキュリティ専門家やウォレット会社が絶えず啓発活動を行っているにもかかわらず、毎日多くのユーザーが罠に陥っています。これは主に、大多数の人々がウォレットの相互作用の基盤となるメカニズムについて理解が不足しており、非技術者にとって学習のハードルが高いためです。

この問題をより多くの人に理解してもらうために、本記事では署名フィッシングの基本的な論理をわかりやすく解説します。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

まず、私たちはウォレットを使用する際に2つの基本的な操作があることを理解する必要があります："署名"と"インタラクション"。簡単に言うと、署名はオフチェーンで発生し、Gas代を支払う必要はありません。一方、インタラクションはオンチェーンで発生し、Gas代を支払う必要があります。

署名は通常、ウォレットにログインしたり、特定のDAppに接続したりするための認証に使用されます。このプロセスはブロックチェーンデータに変更を加えることはないため、手数料を支払う必要はありません。

インタラクションは実際のオンチェーン操作を含みます。あるDEXでトークンを交換する例を挙げると、まずスマートコントラクトに自分のトークンを使用する権限を付与し、その後に交換操作を実行する必要があります。この2つのステップにはガス代が必要です。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名とインタラクションの違いを理解した後、よくある3つのフィッシング方法を見てみましょう：承認フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

権限を持つフィッシングは、スマートコントラクトの権限メカニズムを利用しています。ハッカーは魅力的なウェブサイトを偽造し、ユーザーに「エアドロップを受け取る」などのボタンをクリックさせ、実際にはユーザーにハッカーのアドレスに自分のトークンを操作する権限を与えさせます。この方法はGas代を支払う必要があるため、ユーザーはより警戒する可能性があります。

PermitとPermit2の署名フィッシングは、より防ぎにくいです。PermitはERC-20標準の拡張機能で、ユーザーが署名を通じて他者に自分のトークンを操作する権限を与えることを可能にします。Permit2はあるDEXが導入した機能で、ユーザーの操作プロセスを簡素化することを目的としています。この2つのフィッシング手法は、ユーザーがGas代を支払う必要がないため、より警戒心が薄れやすくなります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

ハッカーは偽のウェブサイトを作成し、ログインボタンをPermitまたはPermit2の署名リクエストに置き換えることができます。ユーザーが署名すると、ハッカーはユーザーの資産を操作する権限を得ることができます。

これらのフィッシング攻撃を防ぐにはどうすればよいですか？

1. セキュリティ意識を養い、ウォレットを操作する際は毎回注意深く確認してください。
2. 大きな資金を日常使いのウォレットから分けて、潜在的な損失を減らす。
3. PermitとPermit2の署名形式を識別することを学び、以下の内容を見たときには特に警戒してください：
   • インタラクティブ：インタラクティブウェブサイト
   • 所有者：オーナーのアドレス
   • Spender：承認された者のアドレス
   • 値:認証の数
   • ノンス：ランダム数
   • Deadline:有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらの基盤となるメカニズムと防止策を理解することで、私たちは自分のWeb3資産の安全をより良く守ることができます。