Web3 İmza Aşırı Dolandırıcılığı: Temel Mantık Analizi ve Önleme Kılavuzu

Son zamanlarda, "imza phishing" Web3 hackerlarının en çok tercih ettiği saldırı yöntemi haline geldi. Güvenlik uzmanları ve cüzdan şirketleri sürekli olarak farkındalık yaratmaya çalışsalar da, her gün birçok kullanıcı tuzağa düşüyor. Bunun başlıca nedeni, çoğu kişinin cüzdan etkileşimlerinin temel mekanizması hakkında yeterli bilgiye sahip olmaması ve teknik bilgiye sahip olmayanlar için öğrenme eşiğinin yüksek olmasıdır.

Daha fazla insanın bu konuyu anlaması için, bu makalede imza phishing'inin temel mantığı sade bir dille açıklanacaktır.

Öncelikle, cüzdan kullanırken iki temel işlem olduğunu anlamamız gerekiyor: "imza" ve "etkileşim". Kısaca, imza zincir dışında gerçekleşir, Gas ücreti ödemez; etkileşim ise zincir üzerinde gerçekleşir ve Gas ücreti ödenmesi gerekir.

İmza genellikle kimlik doğrulama için kullanılır, örneğin bir cüzdana giriş yapmak veya bir DApp'e bağlanmak. Bu işlem blok zinciri verilerinde herhangi bir değişiklik yapmadığı için ücret ödemeniz gerekmez.

Etkileşim, gerçek zincir üzerindeki işlemleri içerir. Örneğin, bir DEX'te token değişimi yapmak için önce akıllı sözleşmeye token'larınızı kullanması için yetki vermeniz gerekir, ardından değişim işlemini gerçekleştirirsiniz. Bu iki adımda da Gas ücreti ödenmesi gerekir.

İmza ve etkileşim arasındaki farkı anladıktan sonra, üç yaygın dolandırıcılık yöntemine bakalım: Yetkilendirme dolandırıcılığı, Permit imza dolandırıcılığı ve Permit2 imza dolandırıcılığı.

Yetkilendirme dolandırıcılığı, akıllı sözleşmelerin yetkilendirme mekanizmasını kullanmaktadır. Hackerlar, kullanıcıları "airdrop al" gibi butonlara tıklamaya ikna etmek için özenle hazırlanmış sahte bir web sitesi oluşturarak, aslında kullanıcıları hacker adresine, token'larını yönetmeleri için yetki vermeye zorlarlar. Bu yöntem Gas ücreti ödemeyi gerektirdiğinden, kullanıcılar daha dikkatli olabilir.

Permit ve Permit2 imza dolandırıcılığı daha zor önleniyor. Permit, kullanıcıların imza ile başkalarına kendi token'larını kullanma yetkisi vermesine olanak tanıyan ERC-20 standardının genişletilmiş bir özelliğidir. Permit2, bir DEX tarafından sunulan bir işlevdir ve kullanıcıların işlem süreçlerini basitleştirmeyi amaçlar. Bu iki dolandırıcılık türü de kullanıcının Gas ücreti ödemesini gerektirmediğinden, insanların dikkatini dağıtmak daha kolaydır.

Hackerlar, sahte web siteleri oluşturarak giriş düğmesini Permit veya Permit2 imza talebi ile değiştirebilir. Kullanıcı imza attıktan sonra, hacker kullanıcı varlıkları üzerinde işlem yapma yetkisi elde eder.

Bu tür oltalama saldırılarını nasıl önleyebilirim?

1. Güvenlik bilinci geliştirin, cüzdanınızı her kullandığınızda dikkatlice kontrol edin.
2. Büyük miktardaki fonları günlük kullanılan cüzdanlardan ayırarak potansiyel kayıpları azaltın.
3. Permit ve Permit2'nin imza formatlarını tanımayı öğrenin, aşağıdaki içerikleri gördüğünüzde özellikle dikkatli olun:
   • Etkileşimli：etkileşimli web sitesi
   • Sahibi：Yetki veren adres
   • Harcayan: Yetkilendirilmiş taraf adresi
   • Değer: Yetkilendirilmiş Miktar
   • Nonce：rastgele sayı
   • Son Tarih：geçerlilik süresi

Bu temel mekanizmaları ve koruma önlemlerini anlayarak, Web3 varlıklarımızın güvenliğini daha iyi koruyabiliriz.