Web3署名フィッシングの基礎原理と防止策

最近、「署名フィッシング」がWeb3ハッカーによって最も一般的に使用される詐欺手法の一つとなっています。セキュリティ専門家やウォレット会社が関連知識を宣伝し続けているにもかかわらず、毎日多くのユーザーが罠に陥っています。このような状況を引き起こす重要な理由の一つは、ほとんどの人がウォレットとのインタラクションの基盤となる論理を理解していないことであり、非技術者にとっては学習のハードルが高いということです。

この問題をより多くの人に理解してもらうために、この記事では、署名フィッシングの基本的な論理をわかりやすく解説します。

ウォレット操作の2つの基本タイプ

暗号通貨ウォレットを使用する際、主に2つの操作があります："署名"と"インタラクション"。

• サイン：ブロックチェーンの外部（オフチェーン）で発生し、Gas費用を支払う必要はありません。
• インタラクション：ブロックチェーン上（オンチェーン）で発生し、Gas料金の支払いが必要です。

署名は通常、ウォレットにログインしたり、DAppに接続したりするための認証に使用されます。このプロセスはブロックチェーン上のデータや状態を変更することはないため、費用はかかりません。

インタラクションは実際のブロックチェーン操作を含みます。例えば、あるDEXでトークンを交換する際には、まずスマートコントラクトにあなたのトークンを使用することを承認する必要があります（approve）。その後、実際の交換操作を実行します。この2つのステップには、ガス料金を支払う必要があります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

一般的なフィッシング方法

1. フィッシングの権限

これは伝統的なWeb3フィッシング手法です。ハッカーは通常、合法的なプロジェクトのように見せかけたウェブサイトを作成し、ユーザーに「エアドロップを受け取る」ボタンなどをクリックさせるよう誘導します。実際には、ユーザーがクリックすると、ハッカーのアドレスが自分のトークンを使用することを承認（approve）するよう求められます。

この方法はガス代が必要ですが、それでもユーザーはうっかり騙されることがあります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

2. Permit署名フィッシング

PermitはERC-20標準の拡張機能であり、ユーザーが署名を通じて他者に自分のトークンの使用を承認することを可能にします。従来の承認とは異なり、PermitはユーザーがGas費を支払う必要がありません。

ハッカーはこのメカニズムを利用して、ユーザーに無害に見えるメッセージに署名させることができますが、実際にはハッカーがユーザーのトークンを使用するための許可を与えるものです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

3. Permit2署名フィッシング

Permit2はあるDEXが提供する機能で、ユーザーの操作を簡素化し、Gas費用を節約することを目的としています。ユーザーは一度に大きな額をPermit2スマートコントラクトに許可し、その後は取引のたびに署名するだけで済み、Gas費用はコントラクトが代わりに支払います（最終的に交換されるトークンから差し引かれます）。

しかし、これはハッカーに新しい攻撃手段を提供します。ユーザーが以前にそのDEXを使用し、Permit2コントラクトに無制限の権限を与えた場合、ハッカーはユーザーに署名をさせることでユーザーのトークンを移転することができます。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

使用上の注意

1. セキュリティ意識を高める：ウォレット操作を行う際は、実行している具体的な操作を注意深く確認してください。

2. 資金の分離：大口資金と日常使用のウォレットを分けて、潜在的な損失を減らす。

3. PermitとPermit2の署名形式を識別することを学ぶ：以下の情報を含む署名リクエストを見た場合は、特に注意してください。

   • インタラクティブ：インタラクティブウェブサイト
   • 所有者：承認者のアドレス
   • Spender：承認された者のアドレス
   • 値：許可された数量
   • ノンス：ランダム数
   • デッドライン：期限

これらの基盤となるメカニズムを理解し、適切な予防策を講じることで、ユーザーは署名フィッシングの被害者になるリスクを大幅に低減できます。Web3の世界では、警戒を怠らず、継続的に学ぶことが自分の資産を守る鍵です。