Phishing de Permit2
¿Qué es Phishing de Permit2?
Phishing de Permit2El phishing de Permit2 engaña a un usuario de Ethereum para que firme un mensaje off-chain de Uniswap Permit2 que otorga al atacante permiso para transferir sus tokens ERC-20.
Permit2 de Uniswap es un contrato singleton que permite a los usuarios aprobar transferencias de tokens mediante firmas EIP-712 sin gas, con aprobaciones por token o por spender y expiraciones. Los atacantes alojan sitios DeFi o NFT falsos que piden a la cartera firmar un mensaje Permit2 PermitTransferFrom o PermitBatch; si la victima firma, el atacante puede invocar Permit2 mas tarde para vaciar los tokens aprobados sin necesidad de ninguna transaccion on-chain por parte del usuario. Como firmar parece gratis y el prompt es solo un mensaje off-chain, muchas victimas no perciben el riesgo. Las defensas incluyen wallets que decodifican EIP-712, hardware wallets que muestran nombre y monto del token, escaneres de allowances (Revoke.cash) y la regla basica de no firmar prompts que no se comprenden por completo.
● Ejemplos
- 01
Una pagina falsa de airdrop pide 'verificar cartera' con una firma Permit2 que autoriza vaciar USDC y DAI.
- 02
El atacante encadena una unica firma Permit2 en transferencias por lotes a traves de varios tokens ERC-20.
● Preguntas frecuentes
¿Qué es Phishing de Permit2?
El phishing de Permit2 engaña a un usuario de Ethereum para que firme un mensaje off-chain de Uniswap Permit2 que otorga al atacante permiso para transferir sus tokens ERC-20. Pertenece a la categoría de Web3 y blockchain en ciberseguridad.
¿Qué significa Phishing de Permit2?
El phishing de Permit2 engaña a un usuario de Ethereum para que firme un mensaje off-chain de Uniswap Permit2 que otorga al atacante permiso para transferir sus tokens ERC-20.
¿Cómo funciona Phishing de Permit2?
Permit2 de Uniswap es un contrato singleton que permite a los usuarios aprobar transferencias de tokens mediante firmas EIP-712 sin gas, con aprobaciones por token o por spender y expiraciones. Los atacantes alojan sitios DeFi o NFT falsos que piden a la cartera firmar un mensaje Permit2 PermitTransferFrom o PermitBatch; si la victima firma, el atacante puede invocar Permit2 mas tarde para vaciar los tokens aprobados sin necesidad de ninguna transaccion on-chain por parte del usuario. Como firmar parece gratis y el prompt es solo un mensaje off-chain, muchas victimas no perciben el riesgo. Las defensas incluyen wallets que decodifican EIP-712, hardware wallets que muestran nombre y monto del token, escaneres de allowances (Revoke.cash) y la regla basica de no firmar prompts que no se comprenden por completo.
¿Cómo defenderse de Phishing de Permit2?
Las defensas contra Phishing de Permit2 combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Phishing de Permit2?
Nombres alternativos comunes: Phishing de Uniswap Permit2, Phishing EIP-712.
● Términos relacionados
- web3№ 016
Envenenamiento de Direcciones
El envenenamiento de direcciones siembra el historial de transacciones de la victima con direcciones similares controladas por el atacante para que despues copie-pegue la equivocada y envie fondos al atacante.
- web3№ 181
Clipboard Hijacker
Un clipboard hijacker (crypto clipper) es malware que vigila el portapapeles del sistema y sustituye en silencio la direccion de cripto copiada por la victima por otra controlada por el atacante.
- web3№ 1221
Drainer de Carteras
Software malicioso o kit de phishing que enganan a los usuarios de wallets cripto para que firmen transacciones o aprobaciones que entregan todos sus tokens y NFTs valiosos.
- web3№ 243
Mixer / Tumbler de Criptomonedas
Un mixer (o tumbler) de criptomonedas agrupa y mezcla depositos de muchos usuarios para ocultar los enlaces on-chain entre las direcciones de origen y de destino.
- attacks№ 821
Phishing
Ataque de ingeniería social en el que el atacante se hace pasar por una entidad de confianza para engañar a la víctima y obtener credenciales, dinero o ejecutar malware.