Предупреждение о безопасности GoPlus: У одного пользователя украдено 200 000 долларов в результате мошеннической транзакции, будьте осторожны с фишинговыми атаками, использующими "Permit/Approve".

Судя по предоставленным материалам, это типичный случай высокорискованного фишингового инцидента в Web3, основная проблема заключается в недостаточных знаниях и невнимательности пользователей в отношении таких методов авторизации, как "Permit" и "Approve".

Суть инцидента заключается в злоупотреблении разрешениями. Злоумышленники не взломали напрямую приватные ключи пользователей, а, наоборот, заставили их подписать, казалось бы, безобидную "оффлайн-подпись (Permit)" или "авторизацию в сети (Approve)", легально получив разрешение на перевод активов пользователя. Подписи "Permit" особенно опасны, поскольку это метод оффлайн-авторизации, соответствующий стандарту ERC-2612, позволяющий пользователям авторизовать транзакцию без оплаты комиссии за газ, что значительно снижает их бдительность. Злоумышленники часто маскируют эти вредоносные подписи под обычные запросы входа в кошелек или запросы на получение бесплатных токенов. Если пользователь неосторожно подписывает, контроль над определенными токенами немедленно переходит к злоумышленнику, и кража активов происходит практически мгновенно.

Опасность этого метода атаки наглядно демонстрируется данными. От индивидуальных потерь в 200 000 долларов до потерь в десятки миллионов долларов у опытных специалистов, таких как Shenyu, и статистических данных, показывающих, что только из-за фишинга "Permit" в короткий период времени были украдены более 65 миллионов долларов, это полностью подтверждает, что это одна из основных угроз безопасности в экосистеме EV. Это уже не просто использование уязвимостей в контрактах, а целенаправленная атака социальной инженерии, использующая незнание пользователей сложных деталей транзакций и их доверие к удобным операциям.

Для защиты крайне важны предварительная бдительность и использование инструментов. Пользователи должны отказаться от ошибочного представления о том, что "отсутствие платы означает отсутствие риска" и выработать железное правило: всегда тщательно проверять перед подписанием. Необходимо внимательно проверять, является ли сайт, запрашивающий подпись, легитимным, и, что самое главное, полностью проверять адрес контракта "spender", указанный в содержимом подписи, чтобы убедиться в его подлинности и надежности. В то же время, отрасль активно создает уровни защиты, например, кошельки, интегрированные с такими API безопасности, как GoPlus, которые могут выполнять проверку рисков в режиме реального времени перед подписанием транзакции, активно блокировать известные вредоносные запросы на подпись и предоставлять пользователям важный уровень безопасности.

В конечном счете, этот инцидент является отражением парадигмы безопасности Web3: ответственность за безопасность в значительной степени лежит на самих пользователях. Наслаждаясь свободой децентрализованных финансов, пользователи должны повышать свою грамотность в области безопасности, превращать осторожность и проверку в инстинкт и использовать существующие инструменты безопасности для эффективной защиты от постоянно появляющихся новых атак.