作者：Biteye，來源：作者推特@BiteyeCN
9月28日，一地址因網路釣魚攻擊損失約3,233 萬美元，該地址據傳可能與幣圈大佬神魚有關。無獨有偶，10月11日，一筆價值3500 萬美元的fwDETH 資產再次被釣魚團夥竊取。短短半月內，已有總價值超過4.7 億人民幣的虛擬資產因Permit 簽名釣魚攻擊而難以追回。
Permit 簽名釣魚為何如此厲害？就連幣圈大佬也接連中招？
什麼是Permit 簽名？
為了瞭解Permit 簽章的引入，首先需要掌握ERC20 幣種的交易規則：帳戶A可以呼叫approve 函數授權帳戶B 操作指定的代幣，且只有代幣的擁有者才能呼叫此函數。
Permit 是一種利用離線簽名來實現授權的機制，它允許跳過approve 步驟且不需支付gas 費。在此過程中，A 提前在鏈下對B 進行簽名，並將此簽名提供給B；B 隨後可使用此簽名透過呼叫permit 函數來執行A 的授權操作，這允許B 使用transferFrom 進行代幣轉帳。
透過Permit，A 能在不進行任何鏈上交易的情況下實施代幣轉移，且執行permit 的操作不限於帳戶的擁有者。 Permit 在ERC20 協議的EIP-2612 提案中被正式引入，為用戶提供了一種既便捷又節省成本的互動方式。
Permit 簽名是怎麼被用來實施釣魚攻擊的？
根據上述的介紹，當使用者誤入釣魚網站，點擊連結被駭客獲取了簽名，隨後駭客用簽名資訊上鍊提交permit ，實現對使用者資產的控制並進行轉移。
攻擊步驟：進入釣魚網站-在釣魚網站上鏈接錢包進行了簽名-黑客獲取簽名通過permit 竊取資產
例如，以下是一個釣魚網站的惡意簽名：圖片最上方顯示這是一個zksync 的釣魚網站，下方的permit 簽名顯示該錢包（owner）正在授權給一個地址（spender），往下的value 是授權的代幣數量，deadline 是時間戳，在給定時間前均有效。
如何避免Permit 簽名釣魚攻擊
Permit 簽名釣魚攻擊並非完全不可預防，大多數用戶遭受損失都曾接連犯下多個安全錯誤。
首先，用戶應將囤幣的錢包和DeFi 互動的錢包區分開，在連結錢包、簽名或授權前認真檢查網址，確保自己進入了正確的網站；
有些網站也會出現合約被駭客惡意替換的情況，我們在點擊簽名或授權前，應該認真閱讀錢包跳出的Singnature request 信息，確保授權目前地址正確，且資產和金額在可控範圍內；
最後，我們可以透過安全插件如@wallet_guard @realScamSniffer 來協助識別異常風險，不定期使用授權工具如RevokeCash（https://revoke.cash）查看是否有異常授權。同時，選擇使用如@Rabby_io 等插件錢包，也可以獲得更具可讀性的簽名資訊。
