Lógica subyacente de la "pesca por firma" en Web3 y medidas de prevención

Recientemente, el "phishing por firma" se ha convertido en una de las técnicas de fraude más utilizadas por los hackers en Web3. A pesar de que los expertos en seguridad y las empresas de billeteras continúan promoviendo el conocimiento relacionado, cada día muchos usuarios siguen cayendo en la trampa. La principal razón de esta situación es que la mayoría de las personas carecen de comprensión sobre la lógica subyacente de la interacción con billeteras, y el umbral de aprendizaje es bastante alto para las personas no técnicas.

Para ayudar a más personas a entender este problema, este artículo explicará la lógica subyacente del phishing por firma de una manera clara y accesible.

Primero, necesitamos entender que hay dos operaciones principales al usar una billetera: "firma" e "interacción". En términos simples, la firma ocurre fuera de la cadena (off-chain) y no requiere el pago de tarifas de Gas; mientras que la interacción ocurre en la cadena (on-chain) y requiere el pago de tarifas de Gas.

La firma se utiliza generalmente para la autenticación, como iniciar sesión en una billetera o conectar aplicaciones descentralizadas (DApp). Este proceso no genera ningún cambio de datos o estado en la blockchain, por lo que no es necesario pagar tarifas.

La interacción implica operaciones reales en la cadena. Por ejemplo, al intercambiar tokens en un DEX, primero necesitas autorizar al contrato inteligente para que opere tus tokens (approve), y luego ejecutar la operación de intercambio real. Ambos pasos requieren el pago de tarifas de Gas.

Después de entender la diferencia entre firma e interacción, echemos un vistazo a tres métodos comunes de phishing: phishing de autorización, phishing de firma de Permiso y phishing de firma de Permiso2.

1. Phishing autorizado

Esta es una técnica clásica de phishing. Los hackers crean un sitio web de phishing disfrazado como un proyecto de NFT, induciendo a los usuarios a hacer clic en botones como "reclamar airdrop". En realidad, al hacer clic, se les pedirá a los usuarios que autoricen (approve) sus tokens a la dirección del hacker. Una vez que el usuario confirma, el hacker puede controlar los activos del usuario.

Sin embargo, dado que las operaciones autorizadas requieren el pago de tarifas de Gas, muchos usuarios son más cautelosos al realizar operaciones que implican costos, por lo que este método es relativamente fácil de prevenir.

2. Firma de permiso de phishing

Permit es una extensión de la función de autorización bajo el estándar ERC-20. Permite a los usuarios aprobar a otros para operar sus tokens mediante un mensaje firmado, sin necesidad de realizar la operación de autorización directamente en la cadena. Los hackers pueden aprovechar este mecanismo para inducir a los usuarios a firmar mensajes que permiten a los hackers transferir sus activos. Dado que las firmas no requieren el pago de tarifas de Gas, y muchos usuarios están acostumbrados a firmar cuando utilizan DApps, este método de phishing es más difícil de prevenir.

3. Phishing de firma Permit2

Permit2 es una función lanzada por cierto DEX para mejorar la experiencia del usuario. Permite a los usuarios autorizar una gran cantidad de manera única al contrato inteligente Permit2, y luego, para cada transacción, solo es necesario firmar, sin necesidad de autorizar nuevamente. Aunque este mecanismo facilita la operación del usuario, también proporciona nuevas vías de ataque para los hackers. Si un usuario ha utilizado anteriormente ese DEX y ha otorgado un límite infinito, una vez que se le induce a firmar un mensaje relacionado, el hacker puede transferir los activos del usuario.

En general, el phishing de autorización requiere que el usuario realice operaciones directamente en la cadena, mientras que el phishing de firma se logra induciendo al usuario a firmar mensajes específicos. Una vez entendidos estos principios, podemos tomar las siguientes medidas preventivas:

1. Fomentar la conciencia de seguridad, cada vez que realices operaciones en la billetera, debes revisar cuidadosamente el contenido de la operación que se va a ejecutar.

2. Separar los fondos grandes de la billetera utilizada diariamente para reducir las posibles pérdidas.

3. Aprende a reconocer el formato de firma de Permit y Permit2. Si ves una solicitud de firma que contiene los siguientes campos, debes estar especialmente alerta:

   • Interactivo（交互网址）
   • Propietario（Dirección del otorgante）
   • Spender (dirección del autorizado)
   • Valor（授权数量）
   • Nonce (número aleatorio)
   • Fecha límite

Al comprender los principios de estas técnicas de phishing y tomar las medidas preventivas adecuadas, podemos proteger mejor la seguridad de nuestros activos de Web3.