Phishing Permit2
Qu'est-ce que Phishing Permit2 ?
Phishing Permit2Le phishing Permit2 amene un utilisateur Ethereum a signer un message off-chain Uniswap Permit2 qui accorde a l'attaquant le droit de transferer ses tokens ERC-20.
Permit2 d'Uniswap est un contrat singleton permettant d'approuver des transferts de tokens via des signatures EIP-712 sans gaz, avec des allowances par token ou par spender et des expirations. Les attaquants exposent de faux sites DeFi ou NFT qui demandent au wallet de signer un message Permit2 PermitTransferFrom ou PermitBatch ; une fois signe, l'attaquant peut appeler Permit2 plus tard pour vider les tokens approuves sans transaction on-chain de la victime. Comme la signature semble gratuite et n'est qu'un message off-chain, les victimes sous-estiment le risque. Les defenses incluent un wallet qui decode les payloads EIP-712, l'affichage du nom et du montant des tokens sur hardware wallet, des scanners d'allowances (Revoke.cash) et la regle de ne jamais signer un prompt non compris.
● Exemples
- 01
Une fausse page d'airdrop demande de 'verifier le wallet' via une signature Permit2 qui autorise le drain d'USDC et de DAI.
- 02
Un attaquant chaine une seule signature Permit2 en transferts batches sur plusieurs tokens ERC-20.
● Questions fréquentes
Qu'est-ce que Phishing Permit2 ?
Le phishing Permit2 amene un utilisateur Ethereum a signer un message off-chain Uniswap Permit2 qui accorde a l'attaquant le droit de transferer ses tokens ERC-20. Cette notion relève de la catégorie Web3 et blockchain en cybersécurité.
Que signifie Phishing Permit2 ?
Le phishing Permit2 amene un utilisateur Ethereum a signer un message off-chain Uniswap Permit2 qui accorde a l'attaquant le droit de transferer ses tokens ERC-20.
Comment fonctionne Phishing Permit2 ?
Permit2 d'Uniswap est un contrat singleton permettant d'approuver des transferts de tokens via des signatures EIP-712 sans gaz, avec des allowances par token ou par spender et des expirations. Les attaquants exposent de faux sites DeFi ou NFT qui demandent au wallet de signer un message Permit2 PermitTransferFrom ou PermitBatch ; une fois signe, l'attaquant peut appeler Permit2 plus tard pour vider les tokens approuves sans transaction on-chain de la victime. Comme la signature semble gratuite et n'est qu'un message off-chain, les victimes sous-estiment le risque. Les defenses incluent un wallet qui decode les payloads EIP-712, l'affichage du nom et du montant des tokens sur hardware wallet, des scanners d'allowances (Revoke.cash) et la regle de ne jamais signer un prompt non compris.
Comment se défendre contre Phishing Permit2 ?
Les défenses contre Phishing Permit2 combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Phishing Permit2 ?
Noms alternatifs courants : Phishing Uniswap Permit2, Phishing EIP-712.
● Termes liés
- web3№ 016
Address Poisoning
L'address poisoning seme l'historique de la victime avec des adresses ressemblantes controlees par l'attaquant, qui sera ensuite copiee-collee par erreur.
- web3№ 181
Clipboard Hijacker
Un clipboard hijacker (crypto clipper) est un malware qui surveille le presse-papiers du systeme et remplace silencieusement l'adresse crypto copiee par la victime par une adresse controlee par l'attaquant.
- web3№ 1221
Drainer de Wallet
Logiciel malveillant ou kit de phishing qui trompe les utilisateurs de portefeuilles crypto pour qu'ils signent des transactions ou approbations cedant tous leurs jetons et NFTs.
- web3№ 243
Mixer / Tumbler de cryptomonnaies
Un mixer (ou tumbler) de cryptomonnaies regroupe et melange les depots de nombreux utilisateurs afin de masquer les liens on-chain entre adresses source et destination.
- attacks№ 821
Hameçonnage
Attaque d'ingénierie sociale où un attaquant se fait passer pour une entité de confiance afin de pousser la victime à révéler des identifiants, transférer de l'argent ou exécuter un logiciel malveillant.