サインフィッシング：Web3ハッカーが最も好む罠

Web3の世界では、"署名フィッシング"がハッカーたちに好まれる新しい詐欺手法となっています。セキュリティ専門家やウォレット会社が関連知識を普及し続けていますが、毎日多くのユーザーが罠にかかっています。この状況の主な原因の一つは、大多数のユーザーがウォレットのインタラクションの基盤メカニズムについて理解が不足しており、非技術者にとってはこの分野の学習が難しいということです。

より多くの人々がこの問題を理解できるように、私たちは署名フィッシングの原理をわかりやすく解説します。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

まず、私たちはウォレット操作が主に2つのカテゴリに分かれていることを理解する必要があります："署名"と"インタラクション"。簡単に言えば、署名はブロックチェーンの外で行われる操作で、Gas代を支払う必要はありません。一方、インタラクションはブロックチェーン上で行われ、Gas代を支払う必要があります。

署名は通常、ウォレットへのログインなどの認証に使用されます。ある分散型アプリ（DApp）を使用する場合、まず署名してウォレットの所有者であることを証明する必要があります。このプロセスはブロックチェーン上のデータや状態を変更しないため、手数料を支払う必要はありません。

インタラクションは実際のチェーン上の操作に関係しています。たとえば、特定の分散型取引所（DEX）でトークンを交換したい場合、まずDEXのスマートコントラクトにあなたのトークンを使用する権限を与える必要があります。これがいわゆる「承認」（approve）操作です。その後、再度コントラクトとインタラクションし、交換操作を実行することを確認する必要があります。この2つのステップにはガス代がかかります。

署名とインタラクションの違いを理解したら、一般的なフィッシングの方法をいくつか見てみましょう：認可フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

承認フィッシングは古典的な詐欺手法です。ハッカーは偽のウェブサイトを作成し、通常はNFTプロジェクトやエアドロップ活動に偽装します。ユーザーが「エアドロップを受け取る」などのボタンをクリックすると、実際にはハッカーのアドレスに自分のトークンを使用することを許可しているのです。この操作にはガス代の支払いが必要なため、多くのユーザーはウォレットが支払い要求をポップアップした際に警戒し、騙される機会を避けることができます。

PermitとPermit2の署名フィッシングはさらに巧妙で、防ぐのが難しくなっています。これは、ユーザーがDAppを使用する前に署名操作を行うことに慣れているため、リスクを見落としやすいからです。

PermitはERC-20標準の拡張機能であり、ユーザーが署名を通じて他者に自分のトークンを使用することを承認できるようにします。従来の承認とは異なり、PermitはユーザーがGas代を支払う必要がありません。ハッカーはこれを利用して、ユーザーに無害に見えるメッセージに署名させ、実際にはハッカーがユーザーの資産を移転する許可を与えることができます。

Permit2は、ユーザー体験を最適化するために特定のDEXが導入した機能です。これにより、ユーザーはPermit2契約に対して一度に大きな額を許可でき、その後の取引では署名確認のみが必要で、再度の許可は不要になります。このメカニズムは便利ですが、特にそのDEXを以前に使用し無制限の許可を与えたユーザーにとっては、フィッシングのリスクが増加します。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名フィッシングを防ぐために、ユーザーは次のことを行うべきです：

1. セキュリティ意識を育て、操作のたびに自分が何をしているかを注意深く確認する。
2. 主な資金を日常使用のウォレットと分け、潜在的な損失を減らします。
3. PermitとPermit2の署名形式を識別することを学び、関連する署名要求に遭遇した際は特に警戒する必要があります。

署名フォーマットには通常、以下の情報が含まれます:

• インタラクティブウェブサイト
• 認可者のアドレス
• 承認されたアドレス
• 権限の数
• ランダム数
• 有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらの原理を理解し、適切な防止策を講じることで、ユーザーは自分のデジタル資産をより良く保護し、署名フィッシングの被害者になるのを避けることができます。