Web3における署名フィッシング：原理の解析と防止策

最近、「署名フィッシング」がWeb3のハッカーに最も好まれる詐欺手段の一つとなっています。セキュリティ専門家やウォレット会社が継続的に普及活動を行っているにもかかわらず、毎日多くのユーザーが被害者となっています。この現象の主な理由の一つは、大多数の人々がウォレットとのインタラクションの基本的な論理を理解しておらず、非技術者にとっては学習のハードルが高いことです。

この問題をより多くの人々に理解してもらうために、この記事では署名フィッシングの基本的な論理をわかりやすく説明します。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

ウォレット操作の2つの方法

Web3ウォレットを使用する際、主に2つの操作があります："署名"と"インタラクション"。

• サイン：ブロックチェーンの外（オフチェーン）で発生し、Gas代は必要ありません。
• インタラクション：ブロックチェーン上（オンチェーン）で発生し、ガス代を支払う必要があります。

署名は通常、ウォレットにログインしたり、DAppに接続したりする際の認証に使用されます。このプロセスはブロックチェーンデータに影響を与えないため、手数料を支払う必要はありません。

インタラクションは実際のブロックチェーン操作に関係しています。たとえば、あるDEXでトークンを交換する場合、まずスマートコントラクトにあなたのトークンを使用するための承認（approve）を与え、その後実際の交換操作を実行する必要があります。この2つのステップでは、ガス代を支払う必要があります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

よくあるフィッシング手法

1. フィッシングの許可

これは伝統的なWeb3フィッシング手法です。ハッカーは一見合法的なウェブサイトを作成し、ユーザーに承認操作を促します。ユーザーが「エアドロップを受け取る」などのボタンをクリックすると、実際にはハッカーのアドレスに自分のトークンを使用することを承認しているのです。

2. Permit署名フィッシング

PermitはERC-20標準の拡張機能であり、ユーザーが署名を通じて他人に自分のトークンを使用することを承認することを可能にします。ハッカーはユーザーにこのような許可を署名させ、その署名を利用してユーザーの資産を移転することができます。

3. Permit2署名フィッシング

Permit2は、あるDEXがユーザーの操作を簡略化するために導入した機能です。これにより、ユーザーは一度に大きな額面を承認し、その後は署名するだけで取引が可能になります。しかし、ユーザーが以前にそのDEXを使用し、無制限の額面を承認していた場合、ハッカーはこのメカニズムを利用してユーザーの資産を移転することができます。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

使用上の注意

1. セキュリティ意識を高める：ウォレット操作を行う際は、実行している操作を慎重に確認してください。

2. 資産分離：大額の資金を日常使用のウォレットから分けて、潜在的な損失を低減します。

3. PermitとPermit2の署名形式を識別する方法を学ぶ：以下のフィールドを含む署名リクエストに注意してください：

   • インタラクティブ（交互网址）
   • オーナー（認可者アドレス）
   • スペンダー（権限を与えられたアドレス）
   • 値 (権限の数)
   • ノンス（ランダム数）
   • デッドライン（過期時間）

これらのフィッシング手法の原理を理解し、適切な対策を講じることで、ユーザーは自分のデジタル資産の安全をよりよく守ることができます。Web3の世界では、警戒を怠らず、継続的に学ぶことが非常に重要です。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い