1. Bir İzin Genel Bakış

Basit bir borç para hakkında bir hikaye ile başlayalım:
İyi arkadaşım Jack Ma'dan bir milyon borç almayı planlıyorum. Tereddüt etmeden Jack Ma telefonu açar, bankayı arar ve kimliğini doğruladıktan sonra bankaya, "Şunu şunu bir milyon çekmeye yetkilendiriyorum." der. Banka bu yetkiyi kabul eder ve kaydeder.

Sonraki adım, bankaya gitmek ve vezneye Jack Ma'nın yetkilendirdiği bir milyonu çekmek için burada olduğumu söylemek. Banka yetkilendirme kaydını kontrol eder ve doğru kişi olduğumu onayladıktan sonra bir milyonu teslim eder.

Bu hikaye, Ethereum'daki Onay Yetkisi'nin nasıl çalıştığı konusunda iyi bir benzetme. Bu süreçte, sadece Jack Ma (varlık sahibi) bankayı arayarak yetki verme işlemini yapabilir (on-chain), ve banka (token sözleşmesi) bu yetkileri yönetir. Sadece bu işlem tamamlandıktan sonra ben (yetkilendirilmiş taraf), yetkiden fazla bir tutarı çekebilirim. Banka, yetki kaydı bulamazsa, çekim talebimi kesinlikle reddedecektir.

Peki ya farklı bir yetkilendirme yöntemi olan İzin kullanırsak ne olur? Jack Ma'dan para ödünç almak nasıl çalışır?

Bu sefer başka bir milyon ödünç almak istiyorum. Her zamanki cömertliğiyle, Jack Ma bile bankayı aramaya zahmet etmiyor. Bunun yerine, bir çek defteri çıkarıyor, miktarı dolduruyor, imzalıyor ve bana veriyor. Ardından bu çeki bankaya götürüyorum. Bankanın herhangi bir yetkilendirme kaydı olmasa bile, banka çekteki Jack Ma'nın imzasını doğrulayabilir ve bana belirtilen miktarı verir.

Artık muhtemelen süreçlerdeki farkı görebilirsiniz. Onay, temel bir ERC-20 işlevi olarak Ethereum'un hemen ardından yaygın olarak kullanılmaya başlandı. Peki neden benzer bir sonuç elde etmek için ERC-2612'de İzin yöntemi tanıtıldı?

2. Neden İzin Gereklidir?

ERC-2612 önerisi Mart 2019'da tanıtıldı ve Ekim 2022'de son incelemesini tamamladı. Dağıtımı, Ethereum ana ağındaki keskin gaz fiyatı artışlarıyla yakından ilişkilidir.

Görüntü: ETH Ana Ağı Gaz Fiyatları 2020'den 2022'ye Kadar Yüksek Kaldı

Alevlenen boğa piyasasının ve zincirdeki yeni projelerin servet yaratma etkisinin birleşimi, kullanıcıların zincir üzerinde işlem yapmaya olan hevesini artırdı. İşlemlerinin daha hızlı işlenmesi için daha yüksek ücretler ödemeye istekliydiler çünkü bazen sadece bir blok daha erken onay almak önemli ölçüde daha yüksek getirilere yol açabilirdi.

Ancak, bu bir dezavantaja yol açtı: kullanıcılar zincirde token ticareti yapmak istediklerinde, genellikle abartılı gaz ücretlerine katlanmak zorunda kalıyorlardı. Onay yöntemi altında, tek bir token takası tamamlamak için iki işlem (TX) gerekiyordu. Daha küçük fonlara sahip kullanıcılar için işlem ücretleri kabus olabilir.

ERC-2612'nin Permit'i piyasaya sürmesi, zincir üzerindeki onayı hemen gönderilmesi gerekmeyen çevrimdışı imzalarla değiştirerek bu süreci değiştirdi. Kullanıcıların yalnızca jeton aktarırken yetkilendirme sağlamaları gerekir, borçlanma hikayesinde olduğu gibi, bankadan para çekerken sadece Jack Ma'nın çekini göstermem gerekiyordu.

Meşgul Jack Ma kendini bir telefon görüşmesinden kurtarır gibi görünüyor ve kullanıcılar da bir TX tasarruf eder gibi görünüyor. Gaz fiyatları yüksek olduğunda, ücretlerdeki tasarruflar önemli olabilir, bu da kazan-kazan durumu gibi görünmesine neden olur. Ancak, kimse fark etmedi ki Pandora'nın kutusu sessizce açılıyordu...

3. Patlayıcı Büyüme Bir Volkanik Patlama Gibi

İzin'in ortaya çıkmasından önce, hacker'ların kripto kullanıcılarını avlamak için kullandığı yaygın taktiklerden biri, onları Bir Onay işlemine imza atmaya kandırmaktı. Bu işlemler kullanıcıların gaz harcamasını gerektirdiğinden, genellikle şüphe uyandırıyordu, bu da hacker'ların başarılı olmasını zorlaştırıyordu. Kullanıcılar yanlışlıkla işleme tıklamış olsalar bile, onaylanması için biraz zaman alması, aynı nonce ile başka bir işlemi iptal etmek için bir fırsat vermekteydi - bu da hacker'ların planlarını gerçekleştirmesini oldukça zorlaştırıyordu.

Ancak, İzin'in gelmesi hackerlar için gerçekleşen bir rüya gibi oldu. Onay'ın aksine, İzin gaz tüketmez ve yalnızca bir imza gerektirir, bu da kullanıcının dikkatini önemli ölçüde azaltır. Ayrıca, çevrimdışı imzaların doğasından dolayı kontrol hacker'ın elindedir. Kullanıcılar sadece hatalarını geri almak için şansları olmazken, hackerlar yetkilendirmeye sahip olabilir ve en avantajlı anlarda saldırabilir, kazançlarını maksimuma çıkarabilir.

Bu, phishing mağdurlarının sayısında ve çalınan fon miktarında belirgin bir artışa yol açmıştır. İstatistiklere göre Gate.io'dan@ScamSniffer"">@ScamSniffer:

• 2023 yılında, dolandırıcılık mağdurları toplamda 295 milyon dolar kaybetti.
• 2024 yılının ilk yarısında, bu rakam 314 milyon doları aşmıştı.
• 2024’ün 3. çeyreğinin sonunda büyük bir olay meydana geldi: yüksek profilli bir figürün cüzdan adresi, muhtemelen Shenyu'nun kurbanı oldu ve izin avı balığına maruz kaldı, sonucunda yaklaşık 200 milyon RMB değerindeki 12.000 spWETH kaybedildi.

Görüntü: ScamSniffer'ın 2024'ün İlk Yarısı İçin Phishing Saldırı Raporu

Bu senaryo, orijinal geliştiricilerin öngördüğünden muhtemelen daha ötede olacaktı. Permit'in tanıtılma amacı, gaz maliyetlerini azaltmak, kullanıcı deneyimini iyileştirmek ve verimliliği artırmaktı. Hem kazançlar hem de kayıplarla bir çift ​​keskin kılıç olarak düşünülen şey, sonuçta tek taraflı bir bıçak haline geldi - jilet gibi keskin - kullanıcı varlıklarını korumak için tasarlanmış kalkanın içinde dev bir delik açtı.

İzin, imzalara dayalı tek yetkilendirme yöntemi değildir. Örneğin, Uniswap daha sonra Tüm ERC-20 jetonlarının çevrimdışı imzaları desteklemesine izin veren Permit2'yi tanıttı. No. 1 DEX olarak, Uniswap'in bu hamlesi, kullanıcıların çevrimdışı imzalara olan bağımlılığını daha da artırdı, bu da dolayısıyla dolandırıcılık saldırılarının riskini artırdı.

4. Nasıl Risklerden Kaçınılır?

Sıradan kullanıcılar olarak, bu Damokles'in kılıcı - keskin bir bıçak - üzerimizde sallanan bu tehlikeden nasıl kaçınabilir ve kendimizi nasıl koruyabiliriz?

1⃣ Farkındalık Yaratmak

• Airdrop'lar sizi cezbederken sakin kalın.
  Kripto projelerinden yapılan airdroplar cazip görünebilir, ancak çoğu zaman bunlar airdrop kılığına girmiş phishing saldırılarıdır. Bu tür bilgilerle karşılaştığınızda, hemen sahip olduğunuzu iddia etmeyin. Bunun yerine, phishing tuzaklarına düşmekten kaçınmak için airdrop'un meşruiyetini ve resmi web sitesini birden fazla kaynaktan doğrulayın.

• Kör İmzadan Kaçının
  Eğer yanlışlıkla bir dolandırıcılık websitesine denk gelir ve farkına varmazsanız, cüzdanınız size imzalamak için işlem yapmanızı istediğinde işlemi dikkatlice gözden geçirmek için bir an ayırın. İzin, İzin2, Onayla veya İzninArtır gibi terimler görünüyorsa, bu, işlemin jeton yetkilendirmesi istediği anlamına gelir. Bu noktada dikkatli olmalısınız çünkü meşru hava atışları bu süreci gerektirmez. Keystone donanım cüzdanları, işlem ayrıştırma ve görüntüleme özelliklerini uygulamıştır, bu da kullanıcıların işlem detaylarını daha iyi anlamasına ve hızlı kararlardan kaynaklanabilecek ciddi sonuçlardan kaçınmasına yardımcı olur.

Resim: Keystone Donanım Cüzdanı, Rabby Cüzdan Ayrıştırma ve İzin2 İmza İşlemlerini Görüntüleme

2⃣ Araçları İyi Kullanın

• ScamSniffer
  Ortalama kullanıcı için, sahte web sitelerini doğru bir şekilde tanımlamak oldukça zor olabilir ve bazıları tuzaklardan kolayca kaçabilir. ScamSniffer'ın tarayıcı eklentisini kullanarak, potansiyel sahte sitelere erişmeye çalıştığınızda uyarılar alacak ve geç kalmadan etkileşimi durdurma şansına sahip olacaksınız.

• İptal etmek
  Revoke.cashCüzdanınızdaki jeton yetkilendirmelerini görüntülemenizi sağlar. Şüpheli veya sınırsız yetkilendirmeleri iptal etmenizi öneririz. Yetkilendirmelerinizi düzenli olarak temizlemeniz ve sadece gerekli miktarlarla sınırlamanız iyi bir uygulamadır.

3⃣ Varlık Ayrımı ve Çoklu İmza
Denizdeki tüm yumurtaları tek bir sepete koymama prensibi kripto varlıklar için de geçerlidir. Örneğin, Keystone gibi soğuk cüzdanlarda büyük miktarda varlık depolayabilirken, günlük işlemler için sıcak bir cüzdan kullanabilirsiniz. Hatta bir saldırıya uğrarsanız bile, tüm bakiyeniz tehlikeye girmeyecektir.

Daha yüksek güvenlik talebi olanlar için, çok imzalı (multi-sig) cüzdan kullanmak korumayı daha da artırabilir. Multi-sig altında olan varlıklar, belirli bir cüzdan onay eşiği karşılandığında taşınabilir. Bir cüzdan tehlikeye atılırsa ama eşik karşılanmazsa, hacker'lar varlıklarınıza erişemez.

5. Sonuç

Permitin getirdiği değeri inkar edemeyiz, ancak artan hırsızlık vakaları da gösteriyor ki sunulan riskler faydalarını aşabilir. Hacker'ların tercih ettiği eski ethsign yöntemi gibi, okunabilirliği zayıf ve ciddi güvenlik açıkları nedeniyle hacker'ların ilgisini çeken Permit, şu anda çoğu cüzdan yazılımı tarafından devre dışı bırakıldı ve işlevleri daha güvenli alternatiflerle değiştirildi.

Permit üzerinde odaklanırken, ethsign'in karşılaştığı çözülmesi gereken bir yol ayrımında değil miyiz? İyileştirmek ve yükseltmek mi yoksa tamamen atmak mı, bu soruyu ETH geliştiricilerinin zaman ayırarak düşünmesi ve tartışması gereken bir sorudur.

Herhangi bir sonuca varılmadan önce, Keystone donanım cüzdanlarında izinle ilgili risk önlemini artırmayı amaçlar. Aşağıdaki özellikleri eklemek için bir oy başlatıyoruz:

• İzin/İzin2 işlemleri için güçlü uyarı bildirimleri
• İzin/İzin2 işlevlerini devre dışı bırakmak için bir geçiş.

Dikkat:

1. Bu makale [KeystoneCN], ve telif hakkı orijinal yazarına aittir [KeystoneCN], eğer yeniden basım konusunda herhangi bir itirazınız varsa, lütfen iletişime geçin Gate Öğrenme Ekibi , takım ilgili prosedürlere göre en kısa sürede işleyecektir.
2. Uyarı: Bu makalede ifade edilen görüşler yalnızca yazarın kişisel görüşlerini temsil etmekte olup herhangi bir yatırım tavsiyesi teşkil etmemektedir.
3. Makalelerin diğer dillere çevirileri Gate Learn ekibi tarafından yapılmaktadır. Belirtilmedikçe, çevrilen makalelerin kopyalanması, dağıtılması veya çalınması yasaktır.