Web3 Phishing Saldırı Yöntemleri Analizi: İmza Phishing'in Temel Mantığı ve Önleme Önlemleri

Son zamanlarda, "imza oltası" Web3 hacker'larının en çok tercih ettiği saldırı yöntemlerinden biri haline geldi. Sektördeki uzmanlar ve büyük cüzdanlar ile güvenlik şirketleri sürekli olarak ilgili bilgileri yayımlasa da, hala birçok kullanıcı tuzağa düşüyor. Bu durumun başlıca nedenlerinden biri, çoğu insanın cüzdan etkileşimlerinin temel mantığını anlamaması ve teknik olmayan kişiler için öğrenme eşiğinin yüksek olması.

Daha fazla insanın bu konuyu anlamasına yardımcı olmak için, imza phishing'inin temel mantığını basit ve anlaşılır bir şekilde açıklayacağız.

Öncelikle, cüzdan kullanırken iki temel işlem olduğunu anlamamız gerekiyor: "imza" ve "etkileşim". Kısaca, imza blok zincirinin dışında (off-chain) gerçekleşir ve Gas ücreti ödemez; etkileşim ise blok zincirinin içinde (on-chain) gerçekleşir ve Gas ücreti ödenmesi gerekir.

İmza genellikle kimlik doğrulama için kullanılır, örneğin cüzdana giriş yaparken. Örneğin, bir DEX'te token değiştirmek istediğinizde, önce cüzdanı bağlamanız gerekir, bu aşamada cüzdanın sahibi olduğunuzu kanıtlamak için imza gerekir. Bu süreç blok zincirinde herhangi bir veri veya durum değişikliği yapmaz, bu nedenle ücret ödemeniz gerekmez.

Buna karşılık, etkileşim gerçek zincir üzerindeki işlemleri içerir. Örneğin, bir DEX üzerinde token değişimi yaptığınızda, önce akıllı sözleşmeye token'larınızı işlemesi için bir ücret ödemeniz gerekir (yani onaylama işlemi), ardından gerçek değişim işlemini gerçekleştirmek için başka bir ücret ödemeniz gerekir.

İmza ve etkileşim arasındaki farkı anladıktan sonra, birkaç yaygın oltalama yöntemine bakalım: yetkilendirme oltalaması, Permit imza oltalaması ve Permit2 imza oltalaması.

Yetkilendirilmiş oltalama, yetkilendirme (approve) mekanizmasını kullanan klasik bir Web3 oltalama yöntemidir. Hackerlar, kullanıcıları "airdrop almak" butonuna tıklamaya ikna eden, NFT projesi gibi görünen sahte bir oltalama sitesi oluşturabilir. Aslında, bu işlem kullanıcıların kendi tokenlerini hacker adresine yetkilendirmesini talep eder. Ancak, bu işlem Gas ücreti ödemeyi gerektirdiğinden, birçok kullanıcı para harcaması gereken işlemlerle karşılaştıklarında daha dikkatli olur, bu nedenle nispeten kolayca önlenebilir.

Permit ve Permit2 imza phishing, mevcut Web3 varlık güvenliğinin en büyük sorun alanlarından biridir. Bu iki yöntemin önlenmesinin zor olmasının sebebi, kullanıcıların DApp kullanmadan önce genellikle cüzdanlarına imza atarak giriş yapmaları gerektiğidir; bu da "güvenli" bir alışkanlık düşüncesi oluşturmuş olabilir. Üstelik imza atmanın ücret gerektirmemesi ve çoğu kullanıcının her imzanın arkasındaki anlamı bilmemesi, bu tür phishing saldırılarını daha tehlikeli hale getiriyor.

Permit, ERC-20 standardı altında yetkilendirilmiş bir genişletme işlevidir. Kısacası, kullanıcıların imzalı bir şekilde başkalarına kendi token'larını yönetmeleri için onay vermesine olanak tanır. Hackerlar, kullanıcıları Permit'i imzalamaya ikna etmek için phishing siteleri aracılığıyla kullanıcıların varlıklarını yönetme yetkisi kazanabilirler.

Permit2, bazı DEX'lerin kullanıcı deneyimini artırmak için sunduğu bir özelliktir. Kullanıcılara, Permit2 akıllı sözleşmesine büyük bir miktarı bir kerede yetkilendirme izni verir, ardından her işlem için yalnızca imza atmak yeterlidir, tekrar yetkilendirme yapmaya gerek yoktur. Ancak bu, hackerlar için bir fırsat sunmaktadır.

Bu tür kimlik avı saldırılarını önlemek için, öneriyoruz:

1. Güvenlik bilincini geliştirin, cüzdan işlemi yaparken her seferinde işlemin detaylarını dikkatlice kontrol edin.

2. Büyük miktardaki fonları günlük kullanılan cüzdandan ayırarak potansiyel kayıpları azaltın.

3. Permit ve Permit2'nin imza formatlarını tanımayı öğrenin. Aşağıdaki bilgileri içeren bir imza talebi gördüğünüzde dikkatli olun:

   • Etkileşimli：etkileşimli web sitesi
   • Sahip：Yetki veren adres
   • Harcayan: Yetkilendirilmiş taraf adresi
   • Değer: Yetkilendirilmiş Miktar
   • Nonce: rastgele sayı
   • Son Tarih：geçerlilik süresi

Bu phishing saldırılarının prensiplerini ve önleme yöntemlerini anlayarak, dijital varlıklarımızı daha iyi koruyabilir ve Web3 dünyasında güvenli bir şekilde keşif yapabiliriz.