Web3署名フィッシングの基礎論理解析

最近、「署名フィッシング」がWeb3ハッカーに最も好まれる詐欺手法の一つとなっています。業界の専門家やセキュリティ会社が関連知識を広め続けているにもかかわらず、毎日多くのユーザーが罠にはまっています。この現象の主な原因の一つは、大多数の人々がウォレットの相互作用の基盤となるメカニズムを理解しておらず、非技術者にとっては学習のハードルが高いことです。

この問題をより多くの人に理解してもらうために、私たちは図解とわかりやすい言葉を使って署名フィッシングの基本的な論理を説明します。

まず、私たちはウォレットを使用する際に主に2つの操作があることを理解する必要があります："署名"と"インタラクション"。簡単に言うと、署名はブロックチェーンの外（オフチェーン）で行われ、Gas費用は必要ありません。一方、インタラクションはブロックチェーン上（オンチェーン）で行われ、Gas費用が必要です。

署名は通常、認証に使用されます。たとえば、ウォレットにログインする際です。特定のDEXに接続するとき、あなたがそのウォレットの所有者であることを証明するために署名が必要です。このプロセスはブロックチェーン上のデータや状態を変更することはないため、手数料を支払う必要はありません。

対照的に、インタラクションは実際のチェーン上の操作を含みます。例えば、あるDEXでTokenを交換する場合、まずDEXのスマートコントラクトにあなたのTokenを移動させる許可（"承認"または"approve"）を与え、その後、実際の交換操作を実行する必要があります。この2つのステップにはGas料金の支払いが必要です。

署名とインタラクションの違いを理解した後、一般的なフィッシングの3つの方法を見てみましょう：承認フィッシング、Permit署名フィッシング、Permit2署名フィッシング。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

承認フィッシングは、承認（approve）メカニズムを利用しています。ハッカーは、NFTプロジェクトを装ったフィッシングサイトを作成し、ユーザーに「エアドロップを受け取る」ボタンをクリックさせることがあります。実際には、この操作はユーザーにハッカーのアドレスが自分のトークンを操作することを承認するよう要求します。ガス代を支払う必要があるため、多くのユーザーはこのような状況に直面した際により警戒心を持つため、比較的防ぎやすいです。

PermitとPermit2の署名フィッシングは防ぎにくくなります。なぜなら、ユーザーはDAppを使用する前にウォレットに署名してログインすることに慣れており、「この操作は安全である」という習慣的思考が形成されやすいからです。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

PermitメカニズムはERC-20標準における承認の拡張機能です。ユーザーは署名を通じて他者が自分のトークンを移動することを許可するものであり、直接ブロックチェーン上で承認操作を行うのではありません。ハッカーはこのメカニズムを利用して、ユーザーに資産を移転するメッセージへの署名を誘導し、その後その署名を利用してユーザーのトークンを移動させることができます。

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:認証フィッシング、Permit、Permit2の違い

Permit2は、特定のDEXがユーザーエクスペリエンスを向上させるために導入した機能です。これにより、ユーザーはPermit2スマートコントラクトに対して一度に大きな額を許可でき、その後の取引では署名するだけで済み、Gas費用を再度支払う必要がありません。しかし、ユーザーが過去にそのDEXを利用し、無制限の額を授与していた場合、Permit2フィッシングのターゲットになる可能性があります。

一般的に、認可フィッシングはユーザーがハッカーに自分のトークンを操作することを直接許可することを指し、署名フィッシングはユーザーを誘導してハッカーが資産を移動できる「ライセンス」に署名させることを指します。

これらのフィッシング攻撃を防ぐために、以下の対策を講じることができます：

1. セキュリティ意識を育て、ウォレット操作を行う際は、具体的な操作内容を慎重に確認してください。

2. 大額資金を日常使用のウォレットと分けて、潜在的な損失を減らす。

3. PermitとPermit2の署名形式を識別することを学びましょう。次の内容を含む署名リクエストを見たときは、特に注意してください：

   • インタラクティブ：インタラクティブURL
   • 所有者：承認者のアドレス
   • Spender：権限を与えられた者のアドレス
   • 値:認証の数
   • ノンス：ランダム数
   • Deadline:有効期限

! Web3シグネチャフィッシングの根底にあるロジックの現地語の解釈:許可されたフィッシング、Permit、Permit2の違い

これらの基盤となるメカニズムを理解し、適切な予防策を講じることで、自分のデジタル資産をより良く保護し、署名フィッシングの被害者になることを避けることができます。