İmza Phishing Çaylak Yöntemi: Uniswap Permit2 Sözleşmesinin Yol Açtığı Güvenlik Tehditleri

Son zamanlarda, Uniswap Permit2 sözleşmesini kullanan yeni bir imza oltalama yöntemi aktif hale geldi ve bu yöntemin gizliliği ve zarar verme potansiyeli oldukça yüksek. Bu saldırı, mağdurun yalnızca bir kez imza atmasını gerektiriyor ve Uniswap ile daha önce etkileşimde bulunmuş olan adresler de risk altında.

Vaka Analizi

Son zamanlarda bir kullanıcı ( küçük A ) cüzdan varlıkları çalındı, ancak o özel anahtarını sızdırmamış veya şüpheli sözleşmelerle etkileşime girmemiş. Yapılan araştırmalar, çalınan USDT'nin Transfer From fonksiyonu aracılığıyla transfer edildiğini, yani bir üçüncü taraf adresinin varlıkları taşıdığını gösteriyor.

İleri analizde işlem detayları şunları buldu:

• Bir ara adres, küçük A'nın varlıklarını başka bir adrese aktardı.
• Bu işlem, Uniswap'ın Permit2 sözleşmesiyle etkileşimde bulunur.

Anahtar, bu ara adresin varlıkları transfer etmeden önce bir Permit işlemi gerçekleştirmesinde yatıyor, etkileşim nesnesi de Uniswap'ın Permit2 sözleşmesi.

Permit2 Sözleşmesi Tanıtımı

Uniswap Permit2, kullanıcıların farklı uygulamalar arasında token onayı paylaşmasına ve yönetmesine olanak tanıyan bir token onay sözleşmesidir. Bu, işlem maliyetlerini düşürüp kullanıcı deneyimini artırabilir. Ancak, yeni güvenlik riskleri de beraberinde getirmektedir.

Permit2 kullanıldığında, kullanıcıların işlemleri zincir dışı imza haline gelir, zincir üstü işlemler ise ara birimler tarafından gerçekleştirilir. Bu yöntem pratik olmasına rağmen, kullanıcıların imza sırasında dikkatlerini dağıtmalarına da neden olabilir.

Balık Tutma Yönteminin Yeniden Yapılandırılması

1. Mağdurlar önce Token'i Uniswap'ın Permit2 sözleşmesine ( genellikle tam yetki verecek şekilde yetkilendirmelidir ).

2. Hacker, kullanıcıyı masum görünen bir imza atmaya zorlar.

3. Hackerlar bu imzayı kullanarak Permit2 sözleşmesinin permit fonksiyonunu çağırarak kullanıcının Token'ının kullanım hakkını elde etti.

4. Hacker daha sonra transferFrom fonksiyonunu çağırarak Token'i alır.

Bu, 2023'ten sonra Uniswap ile etkileşimde bulunduysanız, bu tür bir riskle karşılaşabileceğiniz anlamına geliyor.

Önleme Önerileri

1. Permit imzasının formatını öğrenin, Owner, Spender, value, nonce ve deadline gibi alanları içerir.

2. Varlıklar ve etkileşim cüzdanı ayrık kullanılır

3. Permit2 sözleşmesi yetkilendirilirken yalnızca gerekli miktar yetkilendirilmelidir veya fazla yetkilendirme iptal edilmelidir.

4. Sahip olduğunuz tokenlerin permit fonksiyonunu destekleyip desteklemediğini öğrenin

5. Eğer çalındıktan sonra başka platformlarda hala varlık varsa, kapsamlı bir çekim planı oluşturulmalıdır.

Gelecekte Permit2 tabanlı oltalama saldırıları artabilir, bu yöntem son derece gizli ve savunulması zor. Herkesi dikkatli olmaya ve imza atarken temkinli olmaya çağırıyorum.