原文來源：GoPlus

編者文：本文首刊於 2024 年 4 月 2 日。 9 月 28 日，Lookonchain 發文揭露，由於網路釣魚攻擊，某地址損失了 12,083.6 枚 spWETH（約 3,233 萬美元）。 Arkham 稱該錢包可能與 Cobo 聯合創始人兼 CEO 神魚 ( @bitfish1 ) 有關。目前，神魚暫未對此做出回應。今日，根據 Lookonchain 報導，某地址（可能與 @ContinueFund 有關）在 6 小時前通過簽署“Permit”釣魚簽名損失了 15079 fwDETH（價值 3600 萬美元）。 Permit 簽名釣魚為何如此厲害，連圈內大佬也接連中招？本文對此進行了詳細科普。 BlockBeats 再次提醒用戶，請不要點擊任何未知的鏈接，也不要簽署任何未知簽名。

根據GoPlus 安全團隊監測，當下釣魚攻擊成為Web3 個人用戶損失最多的主要風險，通常攻擊者模仿官方推特、Telegram、郵件、Discord 回复或私聊用戶用Claim 空投、退款、福利活動引誘用戶點擊釣魚網站鏈接，然後在錢包通過“Permit”簽名等將用戶授權資產盜走。這是一種採用EIP-2612 離線簽名授權標準，允許用戶無需擁有Eth 來支付Gas 費即可進行批准，能夠簡化了用戶的審批流程，降低手動審批流程導致的錯誤或延遲的風險，但也成為了當前釣魚攻擊的常用方式。

什麼是Permit 簽章

簡單說，過去我們需要Approve 後才可以將代幣轉給別的合約，但如果合約支持Permit，可以透過Permit 離線簽名，跳過Approve 且無需支付gas 的方式進行授權，進行授權後第三方就擁有了相應控制權，隨時可以轉走用戶授權的資產。

Alice 使用鏈下簽章向協定授權，協定呼叫 Permit 上鍊拿到授權，然後可以呼叫 TransferFrom 轉移對應資產。

1. 交易中附加permit 簽名進行交互，無需預先approve

2. 鏈下簽名，鏈上操作由被授權地址操作，只能在被授權地址查看授權交易

3. 要求將相關方法寫入ERC20 代幣合約內，EIP-2612 之前發布的token 不支援

釣魚攻擊者偽造釣魚網站後會利用Permit 簽章取得使用者授權，Permit 簽章通常包含了：

Interactive：互動網址

Owner：授權方位址

Spender：被授權方位址

Value：授權數量

Nonce：隨機數（防重播）

Deadline：過期時間

用戶一旦簽署了Permit 簽名，Spender 就可以在Deadline 內轉移相應Value 的資產。

如何防範Permit 簽名釣魚攻擊

1、不要點擊任何陌生、不信任的鏈接，始終要反复確認正確的官方渠道信息。

2、打開任何網站如果喚醒錢包簽名確認彈窗，不要著急點確認，耐心仔細的閱讀Singnature request 上方出現的交互網址和簽名內容，一般出現陌生網址和Permit 包含Spender 、Value 的Permit 訊息，直接點選【拒絕】可避免資產損失。

3、當登入註冊時喚醒的【訊息簽章】彈跳窗才是安全可以點選的確認操作，參考樣式如下：

本文來自投稿，不代表BlockBeats 觀點。

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia