1. 許可の概要

簡単な借金に関する物語から始めましょう：
私は良い友人であるジャック・マーから100万を借りる予定です。ジャック・マーはためらうことなく電話を取り、銀行に電話をかけ、自分の身元を確認した後、「私は誰々に100万を引き出すことを承認します。」と銀行に伝えます。銀行はこの承認を認識し、記録します。

次のステップは、私が銀行に行き、出納係に、承認された100万ジャック・マーを引き出すためにここにいると伝えることです。銀行は承認記録を確認し、私が正しい人物であることを確認した後、100万を渡します。

この物語は、Ethereum上の承認認可がどのように機能するかを示す良い例えです。このプロセスでは、資産所有者であるジャック・マーだけが銀行に承認を要請することができます（オンチェーン上で）。そして銀行（トークン契約）はこれらの認可を管理します。この認可を超える金額を私（認可された当事者）が引き出すことができるのは、これ以降です。もし銀行が認可記録を見つけられなければ、私の引き出し要求は拒否されるでしょう。

では、別の承認方法である「許可」を使用したらどうなるでしょうか。では、ジャック・マーからお金を借りるとどうなるのでしょうか?

今回は、もう100万を借りるように頼みます。いつものように寛大なジャック・マーは銀行に電話をすることさえせず、代わりに小切手帳を取り出し、金額を記入し、サインをして、私に手渡します。それから私はその小切手を銀行に持って行きます。銀行には承認記録がありませんが、小切手のジャック・マーのサインを確認し、その基準で指定金額を私に渡します。

今では、おそらくプロセスの違いが見えているでしょう。Approve は、Ethereum ローンチ後間もなく広く使用されてきた ERC-20 のコア機能の1つです。では、なぜ ERC-2612 で同様の結果を得るために Permit メソッドが導入されたのでしょうか？

2. 許可が必要な理由は何ですか？

ERC-2612提案は2019年3月に導入され、2022年10月に最終的なレビューが完了しました。その展開は、その期間にEthereumメインネットが経験したガス価格の急激な上昇と密接に関連しています。

画像：ETHメインネットのガス価格は2020年から2022年まで高水準のままでした

怒れる牡牛相場と新しいオンチェーンプロジェクトの富創造効果の組み合わせが、ユーザーのオンチェーン取引への熱意を高めました。彼らは、時には取引がより早く処理されるためにより高い手数料を支払うことを甘受しました。なぜなら、時にはたった1ブロックでも早く確認されることが、大幅に高いリターンをもたらすことがあるからです。

しかし、これにはデメリットもありました。ユーザーがオンチェーンでトークンを取引したい場合、しばしば法外なガス料金を支払わなければならないことがありました。Approveメソッドの場合、単一のトークンスワップを完了するためには2つのトランザクション（TX）が必要でした。小口資金を持つユーザーにとって、トランザクション手数料は悪夢となることがあります。

ERC-2612のPermitの導入により、オンチェーン承認がオフライン署名に置き換えられ、すぐに提出する必要のないプロセスが変更されました。ユーザーは、銀行からお金を引き出すときにジャック・マーの小切手を提示するだけでよかったのと同様に、トークンを転送するときに承認を提供するだけで済みます。

多忙な Jack Ma は電話をかける手間を省き、ユーザーも 1 TX 節約できるようです。ガソリン価格が高い場合、手数料の節約は大幅になり、Win-Winの状況のように見えます。しかし、パンドラの箱がひっそりと開けられていることに誰も気づかなかった...

3. 火山の噴火のような爆発的な成長

Permitの出現以前、暗号通貨ユーザーにフィッシングを仕掛けるハッカーが使用していた一般的な手法の1つは、承認トランザクションにサインさせることでした。これらのトランザクションはガスを消費する必要があったため、しばしば疑われ、ハッカーが成功するのを困難にしました。たとえユーザーがトランザクションを誤ってクリックしたとしても、それがチェーン上で確認されるまでに時間がかかったことが、同じノンスで別のトランザクションを送信してキャンセルする機会をユーザーに与えました。これにより、ハッカーがスキームを実行するのが比較的困難になりました。

ただし、許可書の到着はハッカーにとって夢のようなものでした。Approveとは異なり、許可書はガスを消費せず、署名のみが必要であり、これによりユーザーの警戒心が大幅に低下します。さらに、オフライン署名の性質上、制御はハッカーの手にあります。ユーザーは間違いを取り消す機会がないだけでなく、ハッカーは認可を保持し、最も有利なタイミングで攻撃を行うことができ、利益を最大化することができます。

This has led to a noticeable rise in the number of phishing victims and the amount of stolen funds. According to statistics from @ScamSniffer"">@ScamSniffer:

• 2023年、フィッシング被害者は合計295百万ドルを失いました。
• 2024年上半期には、この数字はすでに3億1,400万ドルを超えていました。
• 2024年第3四半期末までに、Shenyuと疑われる著名人のウォレットアドレスがPermitフィッシング攻撃の被害に遭い、約2億元相当の12,000spWETHが失われるという大きな事件が発生しました。

Image: ScamSniffer’s Phishing Attack Report for the First Half of 2024

このようなシナリオは、元の開発者が予想した範囲を超えていた可能性があります。許可の導入の目的は、ガス費用の削減、ユーザーエクスペリエンスの向上、効率の向上です。利益と損失の両方を伴うと考えられていたものが、片側の刃であり、ユーザーの資産を保護するために設計された盾に大きな穴を開けてしまいました。

許可は署名に基づく唯一の認可方法ではありません。たとえば、Uniswapは後にPermit2を導入し、すべてのERC-20トークンがオフライン署名をサポートするようにしました。第1位のDEXであるUniswapのこの動きは、ユーザーのオフライン署名への依存度をさらに高め、それによってフィッシング攻撃のリスクを高めました。

4. リスクを回避する方法は？

一般のユーザーとして、このダモクレスの剣—鋭い刃—が私たちの上にぶらさがっている損失を避け、自分自身を守るためには、どのような手順を取ることができますか？

1⃣ 認知度の向上

• エアドロップに誘惑されたときは冷静にしてください。
  暗号通貨プロジェクトからのエアドロップは魅力的に見えるかもしれませんが、ほとんどの場合、それはエアドロップを装ったフィッシング攻撃です。そのような情報に遭遇したときは、急いで請求しないでください。代わりに、複数の情報源からエアドロップの正当性と公式ウェブサイトを検証して、フィッシングの罠に陥らないようにしてください。

• 盲目的な署名を避ける
  もしも誤ってフィッシングサイトにアクセスして気づかなかった場合は、ウォレットがサインするよう促す際にトランザクションを注意深く確認する時間を取ってください。許可、Permit2、承認、またはIncreaseAllowanceなどの用語が表示される場合、それはトークンの承認を要求していることを意味します。この時点で注意が必要です。正当なエアドロップではこのプロセスは必要ありません。Keystoneハードウェアウォレットにはトランザクション解析と表示機能が実装されており、ユーザーはトランザクションの詳細をよりよく理解し、手早い判断による重大な結果を避けることができます。

Image: Keystoneハードウェアウォレット、Rabbyウォレットの解析および表示は、Permit2署名トランザクションを行っています

2⃣ツールを上手に活用する

• ScamSniffer
  一般ユーザーにとって、フィッシングサイトを正確に識別することは非常に困難であり、いくつかのサイトが見逃される可能性があります。ScamSnifferのブラウザプラグインを使用することで、潜在的なフィッシングサイトにアクセスしようとすると警告を受け取ることができ、遅すぎる前に対話を停止する機会を得ることができます。

• Revoke
  Revoke.cashウォレット内のトークンの承認を表示できます。疑わしいまたは無制限の承認は取り消すことをお勧めします。定期的に承認を整理し、必要な金額に制限することが良い習慣です。

3⃣ 資産分離とマルチシグ
ことわざにもあるように、卵を一つのかごに入れてはいけない—この原則は暗号資産にも適用されます。例えば、Keystoneのような冷たいウォレットに大量の資産を保管しつつ、ホットウォレットを日常の取引に使用することができます。攻撃の犠牲になっても、全体の残高が危険にさらされることはありません。

より高いセキュリティ要件を持つ人にとって、マルチシグネチャ（マルチシグ）ウォレットを使用することは、保護をさらに強化することができます。 マルチシグの資産は、一定のウォレット承認の閾値が満たされた場合にのみ移動できます。 1 つのウォレットが侵害されたとしても、閾値が満たされない場合、ハッカーはあなたの資産にアクセスすることはできません。

5. Conclusion

許可がもたらした価値を否定することはできませんが、盗難事件の増加は、そのリスクが利点を上回る可能性があることを示しています。古いethsign方法と同様に、読み込みの悪さや著しいセキュリティ上の欠陥のためにハッカーに好まれていた許可は、現在、ほとんどのウォレットソフトウェアによって無効にされ、その機能はより安全な代替手段に置き換えられています。

私たちが許可に焦点を当てている間、私たちはethsignが直面した十字路に立っているのではないでしょうか？改善やアップグレードするか、完全に廃棄するかは、ETH開発者が時間をかけて考慮し、議論する必要がある問題です。

どんな結論にも至る前に、Keystoneはハードウェアウォレット上の許可に関連するリスク予防を強化することを目指しています。以下の機能を追加するための投票を開始します:

• パーミット/パーミット2トランザクションの強力な警告アラート
• Permit/Permit2の機能を無効にするトッグル

免責事項：

1. この記事は[から転載されましたKeystoneCN], そして著作権は元の著者に属します[KeystoneCN], if you have any objection to the reprint, please contact Gate Learn Team、チームは関連手続きに従ってできるだけ早く対処します。
2. 免責事項：本文に表現された見解および意見は、著者個人の意見を表しており、投資アドバイスを構成するものではありません。
3. 記事の翻訳は、Gate Learnチームによって他の言語に行われます。特に言及されていない限り、翻訳された記事の複製、配布、または盗用は禁止されています。