Web3 İmza Phishing Detayları: Temel Mantık ve Önleme Önlemleri

Web3 alanında, "imza oltası" hackerların en çok tercih ettiği dolandırıcılık yöntemlerinden biri haline geldi. Birçok güvenlik uzmanı ve cüzdan şirketi sürekli olarak bilgi vermeye çalışsa da, her gün büyük sayıda kullanıcı zarar görmeye devam ediyor. Bunun başlıca nedenlerinden biri, çoğu kullanıcının cüzdan etkileşimlerinin temel mekanizmalarını anlamaması ve teknik olmayan kişiler için ilgili bilgilerin öğrenme eşiğinin yüksek olmasıdır.

Daha fazla insanın bu konuyu anlamasına yardımcı olmak için, görsellerle, anlaşılır bir dil kullanarak imza phishing'inin temel mantığını açıklayacağız.

Cüzdan işlemlerinin iki türü

Kripto cüzdan kullanırken, esasen iki tür işlem gerçekleştiriyoruz: imzalama ve etkileşim.

1. İmza: Blok zinciri dışında (off-chain) gerçekleşir, Gas ücreti ödenmesi gerekmez.
2. Etkileşim: Blok zincirinde (on-chain) gerçekleşir, Gas ücreti ödenmesi gerekmektedir.

İmza genellikle kimlik doğrulama için kullanılır, örneğin bir merkeziyetsiz uygulamaya (DApp) giriş yaparken. Bu süreç, blok zincirindeki verileri veya durumu değiştirmediği için ücret ödenmesi gerekmez.

Etkileşim, gerçek blok zinciri işlemlerini içerir. Örneğin, bir DEX'te token takası yaparken, öncelikle DEX'in akıllı sözleşmesine token'larınızı kullanması için yetki vermeniz gerekir (onayla), ardından gerçek takas işlemini gerçekleştirirsiniz. Bu iki adım da Gas ücreti ödemeyi gerektirir.

Yaygın Phishing Yöntemleri

1. Yetki Phishing

Bu klasik bir oltalama yöntemidir. Hackerlar, kullanıcıları "Airdrop'u al" gibi butonlara tıklamaya teşvik eden normal bir proje gibi görünen bir web sitesi oluştururlar. Aslında, kullanıcı tıkladığında, hackerların kullanıcının tokenlerine erişim izni veren bir yetkilendirme işlemi tetiklenir.

Avantajlar: İşlem basit ve doğrudan. Eksiler: Gas ücreti ödenmesi gerekiyor, kullanıcıların dikkatini çekebilir.

2. Permit imza oltalama

Permit, kullanıcıların kendi token'larını başkalarına kullanmaları için imza ile yetkilendirmelerine olanak tanıyan ERC-20 standardının bir genişletme özelliğidir. Hackerlar, kullanıcıları bir Permit imzalamaya kandırabilir ve ardından bu imzayı kullanarak kullanıcıların varlıklarını transfer edebilir.

Avantajlar: Kullanıcının Gas ücreti ödemesine gerek yoktur, daha kolay aldatma mümkündür. Eksiklikler: Sadece Permit işlevini destekleyen tokenler için geçerlidir.

3. Permit2 imza oltacılığı

Permit2, bazı DEX'ler tarafından kullanıma sunulan bir özellik olup, kullanıcı işlemlerini basitleştirmeyi amaçlamaktadır. Kullanıcılar, Permit2 sözleşmesine büyük bir miktarı bir kerede yetkilendirebilir, ardından her işlem için yalnızca imza atmak yeterlidir, Gas ücreti sözleşme tarafından ödenir.

Avantajlar: Geniş bir uygulama yelpazesi, büyük sayıda kullanıcıyı etkileyebilir. Eksiler: Kullanıcının daha önce bu DEX'i kullanmış ve Permit2 sözleşmesine yetki vermiş olması gerekir.

Önlem

1. Güvenlik bilinci oluşturun: Cüzdan işlemleri gerçekleştirirken, yaptığınız işlemi dikkatlice kontrol edin.

2. Fonların ayrılması: Büyük miktardaki fonları günlük kullanılan cüzdanlardan ayırarak potansiyel kayıpları azaltın.

3. Tehlikeli imzaları tanımayı öğrenin: Aşağıdaki alanları içeren imza taleplerine özellikle dikkat edin:

   • Etkileşimli（交互网址）
   • Sahibi (Yetki Veren Adres)
   • Harcayan (yetkilendirilmiş taraf adresi)
   • Değer (Yetkilendirilmiş Miktar)
   • Nonce (Rastgele Sayı)
   • Son Tarih（过期时间）

Bu dolandırıcılık yöntemlerinin prensiplerini ve biçimlerini anlayarak, kullanıcılar dijital varlıklarını daha iyi koruyabilirler. Unutmayın, Web3 dünyasında güvenlik bilinci ve dikkatli hareket etmek varlıkları korumanın anahtarıdır.