Phishing de Permit e Permit2
Uma assinatura Permit não custa gás e nunca aparece como uma transação, o que é exatamente o que a torna a forma favorita do mundo do phishing para preparar uma drenagem. Veja como funciona e como se defender.
Escaneie sua wallet: grátis Vigilância 24/7 no Telegram
Só o seu endereço público. Sem conectar a wallet. Nada para assinar.
O que é uma assinatura Permit
O Permit do EIP-2612 permite autorizar o allowance de token de um spender com uma assinatura off-chain, em vez de enviar uma transação approve on-chain, o spender envia sua assinatura depois para ativá-la. O Permit2 é um contrato de allowance compartilhado, usado em várias dapps, que faz o mesmo trabalho em escala maior, cobrindo tokens que não suportam Permit nativamente.
Por que é o ponto ideal para phishing
Assinar não custa gás e não gera nenhuma transação on-chain no momento da assinatura, então nunca aparece no histórico de atividade da sua carteira como uma chamada a approve() apareceria. É uma solicitação signTypedData, que muitas carteiras ainda mostram como um prompt simples e pouco familiar, fácil de clicar sem perceber o que está sendo concedido.
Como os phishers coletam essas assinaturas
Uma página falsa de resgate, mint ou airdrop pede para você 'verificar' ou 'resgatar' assinando o que na verdade é uma autorização Permit ou Permit2. Como nada acontece visivelmente on-chain até o atacante decidir resgatá-la, uma vítima pode assinar hoje e só ser drenada dias ou semanas depois, quebrando o instinto natural de checar 'aconteceu alguma coisa?' logo após assinar.
Defesas que realmente funcionam
Leia todo prompt de signTypedData em busca do domínio e do spender de um Permit ou Permit2 antes de assinar, do mesmo jeito que você leria uma transação. O Guardian da Veriql decodifica esses payloads e emite um aviso diante de uma assinatura Permit2 de valor ilimitado para um spender não verificado antes de você aprová-la. Como um permit assinado pode ficar dormente, escaneie também seu endereço depois, um allowance de Permit2 ativado aparece exatamente como uma aprovação normal e pode ser revogado da mesma forma.
Perguntas frequentes
Assinar um Permit custa gás?
Não: a assinatura em si é gratuita. Só a chamada on-chain posterior do spender para resgatar a assinatura custa gás, e normalmente é paga por quem a envia, não necessariamente por você.
Como sei se já assinei um?
Escaneie seu endereço: assim que uma assinatura Permit ou Permit2 é resgatada on-chain, ela vira um allowance normal no armazenamento do token e aparece em um escaneamento exatamente como qualquer outra aprovação, ilimitada ou não.