钓鱼攻击再升级：Permit2授权成黑客新目标

区块链安全监测机构Scam Sniffer近日披露了一起高额资产盗窃事件。一名以太坊用户在不知情的情况下，签署了一份伪装成正常交易的恶意Permit2授权，其钱包中价值高达16.7342万美元的LINK代币随即被转移至攻击者地址。

攻击手法剖析：授权日期埋藏隐患

根据链上数据记录，这份问题授权实际上早在2025年8月18日就已签署。这意味着攻击者可能采用了“潜伏式”策略——先诱导用户签署一个看似无害的远期授权，待时机成熟后再执行资产转移。这种延迟攻击的方式，使得普通用户更难在日常交易中察觉风险。

Permit2协议为何风险倍增？

Permit2是以太坊上一种流行的代币授权标准，旨在优化交易体验并降低Gas费用。然而，其便捷性也带来了安全隐患：

  • 批量授权权限：单次签名可能授权多个代币的操作权限
  • 有效期灵活：攻击者可设置长期有效的授权条款
  • 交互简化：用户容易因界面相似而降低警惕

黑客正是利用了这些特性，将恶意合约伪装成常见的DeFi交互界面，诱骗用户签署高权限授权。

如何防范类似攻击？

对于普通加密货币持有者，以下措施能显著降低风险：

首先，每次签署授权前务必验证合约地址。通过区块链浏览器核对官方合约地址，避免点击来源不明的链接。其次，定期使用授权检查工具（如Revoke.cash）清理闲置授权，特别是发现异常时间戳的授权记录时应立即撤销。最后，对于不熟悉的DeFi协议，尽量使用新建的专用钱包进行交互，避免主钱包暴露过多权限。

这起事件再次敲响警钟：随着区块链技术发展，钓鱼手段也在不断进化。保持安全意识、养成核查习惯，是保护数字资产的第一道防线。