Từ thuốc giải đến chất độc: Vì sao Permit lại trở thành nguồn rủi ro?
Tuyển chọn TechFlowTuyển chọn TechFlow
Từ thuốc giải đến chất độc: Vì sao Permit lại trở thành nguồn rủi ro?
Chúng ta không thể phủ nhận giá trị mà Permit mang lại, nhưng trong thời gian gần đây ngày càng nhiều vụ việc bị đánh cắp cũng cho thấy tác hại mà nó gây ra dường như lớn hơn.
Chuyên sâu báo cáo Web3Tác giả: Keystone
1. Hiểu Permit trong một phút
Hãy bắt đầu bằng một câu chuyện nhỏ về việc vay tiền:
Tôi định vay bạn thân Jack Ma 1 triệu, Jack Ma không nói nhiều, lập tức gọi điện cho ngân hàng, sau khi xác minh danh tính, thông báo với ngân hàng: Tôi muốn cấp quyền rút 1 triệu cho người nào đó. Ngân hàng trả lời đã nhận được ủy quyền và ghi lại.
Bước tiếp theo, tôi chỉ cần đến ngân hàng, thông báo với quầy giao dịch rằng tôi muốn rút số tiền 1 triệu mà Jack Ma đã ủy quyền. Lúc này ngân hàng sẽ kiểm tra xem có bản ghi ủy quyền hay không, sau khi xác nhận tôi đúng là người được ủy quyền thì sẽ đưa 1 triệu cho tôi.
Câu chuyện nhỏ này có thể coi là hình ảnh hóa chức năng Approve trên ETH. Trong quá trình này, việc ủy quyền chỉ có thể do Jack Ma (chủ sở hữu tài sản) thực hiện qua cuộc gọi tới ngân hàng (lên chuỗi), và do ngân hàng (hợp đồng Token) quản lý các ủy quyền này, sau đó tôi (bên được ủy quyền) mới có thể chuyển đi số tiền không vượt quá mức đã được ủy quyền. Nếu ngân hàng không tìm thấy bản ghi ủy quyền, yêu cầu rút tiền của tôi chắc chắn sẽ bị từ chối.
Vậy nếu thay bằng phương pháp ủy quyền khác — Permit — khi vay tiền từ Jack Ma, quy trình sẽ thay đổi thế nào?
Lần này vừa mở miệng vay 1 triệu, Jack Ma hào phóng cũng chẳng buồn gọi điện, lấy ra một cuốn séc từ túi, điền số tiền và ký tên rồi đưa cho tôi. Tôi mang tấm séc này đến ngân hàng để đổi tiền, dù lúc này ngân hàng chưa có bản ghi ủy quyền, nhưng nhờ chữ ký của Jack Ma trên séc, ngân hàng xác minh được tính xác thực của séc và chi trả số tiền tương ứng cho tôi.
Chắc hẳn các bạn đã nhìn ra sự khác biệt trong quy trình giữa hai phương thức. Approve là chức năng quan trọng trong ERC-20, được áp dụng rộng rãi ngay sau khi ETH ra đời. Vậy tại sao sau này lại cần giới thiệu thêm phương pháp Permit trong ERC-2612 để đạt hiệu quả tương tự?
2. Vì sao cần Permit?
Đề xuất ERC-2612 được đưa ra từ tháng 3 năm 2019, mãi đến tháng 10 năm 2022 mới hoàn tất thẩm định. Việc ra đời của nó gắn liền với tình trạng giá gas trên mạng chính ETH liên tục tăng mạnh trong giai đoạn này.
Ảnh: Giá gas trên mạng chính ETH cao ngất trong giai đoạn 2020–2022
Thị trường bò mạnh kết hợp hiệu ứng làm giàu từ các dự án mới trên chuỗi khiến nhiệt huyết giao dịch của người dùng tăng cao, họ sẵn sàng trả phí cao hơn để giao dịch được xử lý nhanh hơn, vì đôi khi lên chuỗi sớm một khối có thể mang lại lợi nhuận gấp nhiều lần.
Nhưng hệ quả là người dùng thường phải chịu chi phí gas rất cao mỗi khi giao dịch token. Với phương pháp Approve, cần tới 2 giao dịch (TX) mới hoàn tất một lần hoán đổi token, điều này gần như là cơn ác mộng về chi phí đối với những người dùng vốn ít.
Trong khi đó, Permit được giới thiệu bởi ERC-2612 thay đổi quy trình ủy quyền thành ký tên ngoại tuyến, không cần lên chuỗi ngay lập tức, mà chỉ cần cung cấp cùng lúc khi chuyển token — giống như tôi trong câu chuyện vay tiền, chỉ cần đưa séc của Jack Ma cho ngân hàng kiểm tra khi rút tiền.
Jack Ma bận rộn tiết kiệm được một cuộc gọi, dường như người dùng cũng tiết kiệm được một TX, khoản phí tiết kiệm được khi giá gas cao là rất đáng kể, trông như một kết cục hạnh phúc cho tất cả. Nhưng không ai ngờ, chiếc hộp Pandora cũng đang âm thầm mở ra…
3. Sự phát triển hoang dã như núi lửa phun trào
Trước khi Permit xuất hiện, một trong những thủ đoạn lừa đảo phổ biến của tin tặc là dụ người dùng ký giao dịch Approve. Giao dịch này tiêu tốn gas, dễ gây nghi ngờ nên khó thành công. Ngay cả khi người dùng vô tình nhấn nhầm, do giao dịch cần thời gian lên chuỗi, họ vẫn có thể phản ứng kịp bằng cách gửi một giao dịch cùng nonce để cứu vãn. Vì vậy, tin tặc khó dễ đạt được mục đích.
Nhưng sự xuất hiện của Permit đúng như "gối kê gặp lúc buồn ngủ", so với Approve, Permit không tốn gas, chỉ cần ký tên, khiến người dùng giảm cảnh giác. Đồng thời, do đặc tính ký ngoại tuyến, quyền chủ động nằm hoàn toàn trong tay tin tặc — không chỉ người dùng không thể hối hận, mà tin tặc còn có thể chọn thời điểm thích hợp để hành động, tối đa hóa lợi ích.
Hệ quả xấu kéo theo là số lượng nạn nhân bị lừa và số tiền bị đánh cắp tăng vọt. Theo thống kê từ @ScamSniffer:
Năm 2023, tổng số tiền bị mất do lừa đảo là 295 triệu USD.
Chỉ trong nửa đầu năm 2024, con số này đã vượt 314 triệu USD.
Đến cuối quý III năm 2024, xảy ra một vụ lớn: địa chỉ ví của "Shen Yu" nghi bị tấn công lừa đảo kiểu Permit, thiệt hại 12.000 $spWETH, trị giá 200 triệu Nhân dân tệ.
Ảnh: Báo cáo thống kê tấn công lừa đảo ScamSniffer 2024 (nửa đầu năm)
Tình cảnh này chắc hẳn nằm ngoài dự đoán của những người đề xuất ban đầu. Mục đích ban đầu khi giới thiệu Permit là giảm chi phí gas cho người dùng, cải thiện trải nghiệm và hiệu suất. Ban đầu tưởng chỉ là thanh kiếm hai lưỡi — có được thì cũng có mất — nào ngờ lại là một con dao to tướng, một lưỡi cực sắc, trực tiếp xé toạc lá chắn an toàn tài sản của người dùng.
Phương pháp ủy quyền bằng ký tên như Permit còn nhiều loại khác, ví dụ như Permit2 do Uniswap ra mắt sau này, cho phép mọi token ERC-20 đều hỗ trợ ký tên ngoại tuyến. Là DEX số một, động thái này của Uniswap càng làm gia tăng sự phụ thuộc của người dùng vào ký tên ngoại tuyến, đồng thời làm tăng rủi ro bị lừa đảo.
4. Làm thế nào để phòng tránh?
Vậy, với tư cách người dùng bình thường, trước con dao Damocles — hay đúng hơn là con dao to — treo lơ lửng trên đầu, chúng ta có thể làm gì để tránh tổn thất?
1. Nâng cao nhận thức
Bình tĩnh trước cám dỗ airdrop
Airdrop từ các dự án tiền mã hóa quả thật hấp dẫn, nhưng phần lớn lại là chiêu lừa đảo núp bóng dưới danh nghĩa airdrop. Khi gặp thông tin dạng này, đừng để lòng tham chi phối mà nhấn "nhận thưởng" ngay. Hãy xác minh kỹ tính xác thực và website chính thức từ nhiều nguồn, tránh truy cập nhầm vào trang lừa đảo.
Tránh blind sign (ký mù)
Nếu không may truy cập vào trang lừa đảo, khi ví hiển thị cửa sổ giao dịch mà bạn chưa nhận ra, hãy xem kỹ nội dung giao dịch. Nếu xuất hiện các từ như Permit, Permit2, Approve, IncreaseAllowance, nghĩa là giao dịch này đang yêu cầu cấp quyền token — bạn cần cảnh giác, vì quy trình airdrop thông thường không cần làm vậy. Keystone đã tích hợp chức năng phân tích và hiển thị giao dịch ở phần cứng, người dùng có thể tận dụng để tránh blind sign, ngăn hậu quả nghiêm trọng do hành động thiếu suy nghĩ.
Ảnh: Ví phần cứng Keystone và Rabby Wallet phân tích và hiển thị giao dịch ký Permit2
2. Sử dụng công cụ
ScamSniffer
Người dùng bình thường rất khó nhận diện chính xác các trang web lừa đảo, khó tránh khỏi bỏ sót. Nhờ tiện ích mở rộng trình duyệt ScamSniffer, bạn sẽ nhận được cảnh báo trước khi truy cập trang nghi ngờ lừa đảo, từ đó dừng tương tác kịp thời.
Revoke
Revoke.cash có thể hiển thị các bản ghi ủy quyền token trong ví của bạn. Đối với những ủy quyền khả nghi hoặc số tiền vô hạn, chúng tôi khuyên bạn nên hủy bỏ. Hãy tạo thói quen dọn dẹp định kỳ các ủy quyền, hạn chế tối đa việc cấp quyền vượt mức cần thiết.
3. Phân tách tài sản và sử dụng đa ký
Thường nói "đừng bỏ tất cả trứng vào một giỏ", câu này cũng đúng với tài sản tiền mã hóa. Ví dụ, bạn có thể lưu trữ tài sản lớn trong ví lạnh như Keystone, còn các hoạt động hàng ngày dùng ví nóng với số dư nhỏ. Như vậy, dù có bị lừa, tài sản cũng không bị cuỗm sạch.
Nếu yêu cầu bảo mật cao hơn, có thể dùng ví đa ký (multisig) để tăng cường an toàn. Tài sản dùng đa ký chỉ có thể chuyển khi số lượng ví đồng ý đạt ngưỡng nhất định. Ngay cả khi một ví đơn bị đánh cắp, tin tặc cũng không thể kiểm soát tài sản.
5. Kết luận
Chúng ta không thể phủ nhận giá trị mà Permit mang lại, nhưng ngày càng nhiều vụ mất mát gần đây cho thấy tác hại của nó dường như lớn hơn. Giống như phương pháp ethsign trước kia, do khó đọc và nguy hiểm cao, từng rất được tin tặc ưa chuộng. Ngày nay, nó đã bị hầu hết ví phần mềm chặn và ngừng sử dụng, chức năng của nó cũng được thay thế bằng các phương pháp an toàn hơn.
Nhìn lại Permit, liệu nó cũng đang đứng trước ngã rẽ mà ethsign từng đối mặt? Cải tiến nâng cấp hay ngừng sử dụng — điều này đòi hỏi các nhà phát triển ETH cần dành thời gian suy nghĩ và thảo luận.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@KeystoneCN
