[閒聊] permit鏈下簽名釣魚

看板DigiCurrency (數位貨幣)作者MACD (MACD)時間2年前 (2023/05/21 09:39)推噓8(8推 0噓 9→)

留言17則, 10人參與討論串1/1

我剛剛看到一篇關於用permit鏈下簽名的方式來轉走你帳戶內的token，而且這個方式你的帳戶內不會有approve紀錄，之前我在用paraswap、uniswapV3、1inch有遇過這種授權方式所以特別來提醒大家，現在連鏈下簽名都要仔細看一下，別無腦簽名。鏈下簽名比較常出現的方式是連入defi網站的時候，需要你用帳號簽一份聲明書，例如par aswap連進去會要你簽一份這個網站不提供給美國人使用的聲明。 https://i.imgur.com/UFznnNW.png

permit功能可以看USDC的etherscan上的code，簡單來說就是用鏈下簽名的方式根據permit 需要參數讓你簽名，拿到你簽完名的加密資訊v.r.s，然後駭客再call USCD permit函數，那就可以完成approve的動作。這個方式比較特別的是鏈下簽名不會消耗gas，所以你不會去特別在意這個簽名，你以為一切都正常，但是其實你已經把token授權給別人動了，而且 revoke工具也不會偵測到，revoke工具原理其實是掃你的帳戶內的approve tx，這個permi t方式，permit tx其實會出現在駭客的帳戶下面，所以revoke不會偵測到。對permit tx fee是駭客幫你付的。現在可以從1inch看一下permit鏈下簽名會長怎樣。有沒有發現permit鏈下簽名跟上面的網站聲明基本上一樣，只是message data部分不一樣，換成要你簽permit需要參數，其實這是metamask有幫解析後的結果，有些錢包不支援解析的話，應該會是0xd505accf開頭一串 bytes32 code，大家可以比較一下一般USDC approve，現在metamask已經不會無腦無限 approve了，會問你要approve多少。 permit鏈下簽名 https://i.imgur.com/PdMw4JL.png

approve tx https://i.imgur.com/Qi9en0h.png

結論如果遇到鏈下簽名請仔細看清楚。 ref:https://foresightnews.pro/article/detail/33330 -- 對了，謝謝版主昨天贊助pizza day -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 218.161.113.147 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/DigiCurrency/M.1684633192.A.F6D.html

推

s89505123

05/21 09:48, 2年前 , 1^F

05/21 09:48, 1^F

推

SamuelLuo

05/21 11:03, 2年前 , 2^F

05/21 11:03, 2^F

推

gR7P4zXH

05/21 11:42, 2年前 , 3^F

05/21 11:42, 3^F