Nouvelle méthode de phishing par signature : les risques de sécurité causés par le contrat Uniswap Permit2

Récemment, une nouvelle méthode de phishing par signature utilisant le contrat Uniswap Permit2 a commencé à se répandre, avec un niveau de dissimulation et de dangerosité très élevé. Cette attaque nécessite qu'une seule signature soit effectuée par la victime pour que des actifs puissent être volés, et toutes les adresses ayant déjà interagi avec Uniswap sont à risque.

Analyse de cas

Récemment, un utilisateur (, connu sous le nom de petit A ), a vu les actifs de son portefeuille volés, mais il n'a pas divulgué sa clé privée ni interagi avec un contrat suspect. L'enquête a révélé que le USDT volé a été transféré via la fonction Transfer From, ce qui indique que des actifs ont été déplacés par une adresse tierce.

Une analyse plus approfondie des détails de la transaction révèle :

• Une adresse intermédiaire a transféré les actifs de petit A à une autre adresse
• Cette opération interagit avec le contrat Permit2 d'Uniswap

La clé est que cette adresse intermédiaire a également effectué une opération de Permis avant de transférer des actifs, et l'objet d'interaction est également le contrat Permit2 d'Uniswap.

Introduction au contrat Permit2

Uniswap Permit2 est un contrat d'approbation de jetons qui permet l'autorisation de partager et de gérer des jetons entre différentes applications, ce qui peut réduire les coûts de transaction et améliorer l'expérience utilisateur. Cependant, cela a également introduit de nouveaux risques de sécurité.

Lors de l'utilisation de Permit2, les opérations des utilisateurs deviennent des signatures hors chaîne, tandis que les opérations sur chaîne sont effectuées par un rôle intermédiaire. Bien que cette méthode soit pratique, elle peut également amener les utilisateurs à baisser leur vigilance lors de la signature.

Restauration des techniques de pêche

1. La victime doit d'abord autoriser le Token au contrat Permit2 d'Uniswap (, généralement pour une autorisation totale ).

2. Les hackers incitent les utilisateurs à effectuer une signature apparemment inoffensive.

3. Les hackers utilisent cette signature pour appeler la fonction permit du contrat Permit2, obtenant ainsi le droit d'utilisation des tokens de l'utilisateur.

4. Le hacker appelle à nouveau la fonction transferFrom pour transférer le Token.

Cela signifie que si vous avez interagi avec Uniswap après 2023, vous pourriez être confronté à ce risque.

Conseils de prévention

1. Apprenez à reconnaître le format de signature du Permit, incluant les champs Owner, Spender, value, nonce et deadline.

2. Séparation de l'utilisation des actifs et du portefeuille d'interaction

3. Lors de l'autorisation du contrat Permit2, n'autorisez que le montant nécessaire ou annulez les autorisations excessives.

4. Vérifiez si les jetons que vous détenez prennent en charge la fonction permit.

5. Si des actifs sont toujours présents sur d'autres plateformes après un vol, il est nécessaire d'élaborer un plan de retrait complet.

À l'avenir, la pêche basée sur Permit2 pourrait devenir de plus en plus courante, cette méthode étant extrêmement discrète et difficile à prévenir. J'espère que tout le monde fera preuve de vigilance et signera avec prudence.