白话解读Web3签名钓鱼的底层逻辑：授权钓鱼、Permit与Permit2的区别

原文作者：菠菜菠菜｜bocaibocai（X：@wzxznl）

明明只是签了个名，我的钱怎么没了呢？？“签名钓鱼”目前正成为了Web3的黑客们最喜欢的钓鱼方式，最近看余弦大佬@evilcos和各大钱包和安全公司都在不断宣传科普钓鱼签名的知识，但是每天还是有好多人被钓鱼。

菠菜认为其中一个原因就是大部分人对钱包交互的底层逻辑并不了解，并且对于不懂技术的人来说学习门槛过高，所以菠菜决定出一个图解版科普签名钓鱼的底层逻辑，并且尝试用最大白话的形式让不懂技术的人也能看明白。

首先我们要知道我们使用钱包一共只有两种操作：“签名”和“交互”。最简单直接的理解就是：签名是发生在区块链之外的（链下），不需要花 Gas 费的；交互是发生在区块链上面的（链上），是需要花 Gas 费的。

一般签名的使用场景是为了验证你是你，比如登入钱包，就像你如果要去 Uniswap 换 Token 的话，你需要先链接你的钱包，那么这个时候你就需要签一个名告诉网站“我是这个钱包的拥有者”，然后你就可以使用 Uniswap 了，这个步骤对区块链不会有任何数据或者状态上的变化，所以不需要花钱。 而交互的话就是当你要真正在 Uniswap 上换 Token 的时候，你需要先花一笔钱告诉 USDT 的合约：“我要用 100 USDT 换一个菠菜币，我批准你可以挪动我的 100 USDT”，这个步骤就叫做授权（approve），然后你还要再花一笔钱告诉 Uniswap 的智能合约：“我现在要用 100 USDT 换一个菠菜币了，你现在可以进行操作了”，然后你就完成了用 100 USDT 换一个菠菜币的操作。

简单理解签名和交互的区别之后，我们就来介绍一下钓鱼的原理，菠菜会列举三个不同的方式：授权钓鱼、Permit 签名钓鱼和 Permit 2 签名钓鱼，这三个是非常常见的钓鱼方式。

咱们先讲授权钓鱼，这是以前Web3最经典的钓鱼手法之一，顾名思义就是利用授权（approve）这个机制，之前 Uniswap 的例子告诉我们，授权就是告诉智能合约“我批准你挪动我多少 xxx 的 Token”，那么黑客就可以做一个假的钓鱼网站，有着精美的前端伪装成一个 NFT 项目，网站中间是一个漂亮的大按钮“领取你的空投”，实际上你点了之后钱包弹出来的界面实际上是让你授权你的 Token 给黑客的地址，那么这时候如果你点了确认，那么就恭喜黑客成功完成一个 KPI 了。

但是授权钓鱼有一个问题：因为要花 Gas 费，现在很多人在涉及到花钱的操作上会有所警惕，在陌生网站点击之后稍微一看就会发现不对劲，还是比较好防范的。

那么接下来就来到了今天的主角：Permit 和 Permit 2 签名钓鱼啦，是Web3资产安全领域的重灾区，为什么这么难防呢？因为每次你要使用一个 Dapp 之前一定要签名登入你的钱包，在许多人脑子里可能已经形成了一种惯性思维：”这个操作是安全的”，再加上不需要花钱和大多数人不知道每个签名背后意味着什么。

我们先来看 Permit 机制，Permit 是针对 ERC-20 标准下授权的一个扩展功能，像我们平常用的 USDT 就是 ERC-20 ，简单来说就是你可以签名批准其他人来挪动你的 Token，我们知道授权（Approve）是你花钱告诉智能合约：“你可以挪动我 xxx 数量的 Token”，那么 Permit 就是你在一张“条子”上签了个名给某一个人，这个纸上写着：“我允许某某某可以挪动我 xxx 数量的 Token”，然后这个人拿着这个“条子”给智能合约并花一笔 Gas 费告诉智能合约：“他允许我挪动他 xxx 数量的 Token”，然后你的钱就可以被其他人挪走了，在这个过程中你只是签了一个名，而背后却意味着你允许其他人去调用授权（Approve）并转走你的 Token，黑客可以做一个钓鱼网站，把登入钱包的按钮替换成 Permit 钓鱼，那么就可以轻轻松松把你的资产钓走啦。