Web3におけるサインフィッシング：原理の解析と防止ガイド

Web3の世界では、「署名フィッシング」がハッカーに最も好まれる攻撃手段の一つとなっています。業界の専門家やセキュリティ会社が常に警告しているにもかかわらず、毎日多くのユーザーが騙されています。この状況の主な原因の一つは、大多数の人々がウォレットのインタラクションの基盤となる論理を理解していないことであり、非技術者にとっては関連知識の学習のハードルが非常に高いことです。

より多くの人々がこの問題を理解できるように、私たちは署名フィッシングの基本的な論理をわかりやすく解説します。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

まず、ウォレットを使用する際には主に2つの操作があることを理解する必要があります："署名"と"インタラクション"。簡単に言うと、署名はブロックチェーンの外（オフチェーン）で行われ、Gas代を支払う必要はありません；一方、インタラクションはブロックチェーン上（オンチェーン）で行われ、Gas代を支払う必要があります。

署名は通常、認証に使用されます。たとえば、ウォレットにログインする際です。分散型取引所で取引を行う場合、最初にウォレットを接続する必要があり、その際にあなたがそのウォレットの所有者であることを証明するために署名が必要です。このプロセスはブロックチェーン上のデータや状態を変更しないため、手数料を支払う必要はありません。

対照的に、インタラクションは実際のオンチェーン操作を含みます。例えば、あなたが分散型取引所でトークンを交換する際には、まず取引所のスマートコントラクトにあなたのトークンを使用する権限を与え、その後実際の交換操作を実行する必要があります。この2つのステップでは、ガス代を支払う必要があります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

署名とインタラクションの違いを理解した後、いくつかの一般的なフィッシング手法を見てみましょう：認可フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

権限付与フィッシングは、スマートコントラクトの権限付与メカニズムを利用しています。ハッカーは偽のウェブサイトを作成し、ユーザーに権限付与操作を行わせることで、実際にはユーザーがハッカーのアドレスに自分のトークンを使用する権限を付与してしまう可能性があります。

PermitとPermit2の署名フィッシングはさらに巧妙です。PermitはERC-20標準の拡張機能で、ユーザーが署名を通じて他の人に自分のトークンの使用を承認することを可能にします。ハッカーはユーザーにこのような許可を署名させ、その署名を利用してユーザーの資産を移転することができます。

Permit2は、特定の取引プラットフォームがユーザーの操作を簡素化するために導入した機能です。これにより、ユーザーはプラットフォームに大量のトークンを一度に許可でき、その後は取引ごとに署名するだけで済みます。便利ではありますが、もし署名が悪意のある手に渡ると、資産の損失につながる可能性があります。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

これらのリスクを防ぐために、私たちは次のことをお勧めします：

1. セキュリティ意識を育て、ウォレットを操作するたびに自分が何をしているのかを注意深く確認してください。

2. 大額資金と日常使用の財布を分けて、潜在的な損失を減らします。

3. PermitとPermit2の署名形式を識別することを学ぶ。以下の情報を含む署名リクエストを見た場合は、特に注意が必要です。

   • インタラクションURL
   • 認可者のアドレス
   • 受権者のアドレス
   • 権限の数
   • ランダム数
   • 有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらのメカニズムを理解し、適切な対策を講じることで、私たちは自分のデジタル資産をよりよく保護し、Web3エコシステムに安全に参加することができます。