2024年1月22日，据Beosin旗下EagleEye安全风险监控、预警与阻断平台监测显示，一位加密大户遭受到网络钓鱼攻击，造成了420万美元的损失，而关键点漏洞，是我们经常提及的Permit签名。

在早些时间Beosin与区块链安全研究员菠菜共同研究并发布了《签名就被盗？用过Uniswap的请警惕！揭秘Permit2签名钓鱼》安全研究文章，文中详细描述了攻击者如何利用permit2函数对用户发起钓鱼攻击，而本次事件所利用的攻击原理与文章中描述的permit2攻击方式基本一致，只是permit是针对于支持该函数的erc20合约，而permit2针对的可以是所有erc20合约。

本篇文章我们一起来看看攻击者一般是利用什么来诱骗用户对诈骗信息进行签名的，以及一些安全防范技巧。

什么是Permit签名钓鱼？

Permit签名是一种特定的数字签名机制，用于在某些情况下简化授权操作。它是基于区块链技术和密码学原理的一种安全验证方式。

在传统的数字签名中，签名者需要拥有私钥来对特定的数据进行签名，并将签名后的数据与公钥一起传输给验证方。验证方使用相应的公钥来验证签名的有效性。

然而，Permit签名采用了一种不同的方法。它允许持有者通过签署一份特殊的授权消息，将对特定操作的访问权限授予他人，而无需直接将私钥传输给受许可方。

Permit签名钓鱼则是利用用户对授权操作的不加仔细验证或理解，以获取未经授权的权限或敏感信息。这种攻击利用了用户对授权流程或签名机制的信任，通过欺骗用户产生伪造的授权操作或签名请求。

黑客通常采取哪些Permit签名钓鱼攻击？

伪造授权请求：

攻击者可能创建一个看似合法的授权请求，以骗取用户的信任。这可能涉及伪造的应用或网站，要求用户提供他们的授权或签名来执行某个操作。

误导用户操作：

攻击者可能通过欺骗用户进行误操作来实施攻击。例如，他们可能创建一个看似无害的按钮，但实际上触发了未经用户认可的授权操作。

伪造授权页面：

攻击者可能通过伪造与正常授权页面相似的页面来引诱用户进行授权操作。这些页面通常设计得与正常的授权页面几乎一模一样，以欺骗用户并使其相信他们正在与合法的应用或服务进行交互。

社交工程：

攻击者可能利用社交工程技巧，通过发送钓鱼邮件、短信或社交媒体消息等方式，引导用户点击恶意链接或进入伪造的授权页面。

如何安全防范？

考虑到Permit签名的一些钓鱼攻击，此前研究员菠菜给了我们一些有效的防范手段有：

1 理解并识别签名内容：

Permit的签名格式通常包含Owner、Spender、value、nonce和deadline这几个关键格式，如果你想享受Permit带来的便利和低成本的话一定要学会识别这种签名格式。(下载安全插件是一个很好的选择）

我们向各位读者朋友推荐下面这款Beosin Alert反钓鱼插件，可以识别Web3领域的大部分钓鱼网站，守护大家的钱包和资产安全。

反钓鱼插件下载：