A legtöbb kriptotulajdonos fejében ma is a régi, 2021-es védelmi reflex él: „Amíg nem adok meg privát kulcsot vagy seed phrase-t, és amíg nem hagyok jóvá gyanús on-chain tranzakciót gázdíjjal, addig biztonságban vannak a tokenjeim.”
Ez a meggyőződés 2026-ban nemcsak elavult, de több százmillió dollárnyi vagyonvesztés közvetlen oka.
A modern Web3 csalók (drainer csoportok, mint az Inferno, Angel vagy Pink Drainer örökösei) ugyanis már régen nem kérnek tőled gázt, és nem próbálják kicsalni a 12 szavadat. Helyette egyetlen, látszólag teljesen ártalmatlan, gázdíj nélküli kriptográfiai aláírást (off-chain signature) csalnak ki a böngésződ tárcájából.
Egy másodperc múlva a tárcádban lévő USDT, USDC, UNI és a legértékesebb NFT-id egy támadó szerződésében landolnak — miközben a gázdíjat maga a támadó fizette ki.
Ebben az útmutatóban lépésről lépésre lebontjuk a Permit2 és az EIP-712 drainerek működési mechanizmusát, és megmutatjuk, milyen eszközökkel tudod 100%-ban kivédeni ezt a fegyvernemet.
1. Mi az a Permit és a Permit2? (A jó szándékú technológia sötét oldala)
Hogy megértsük a támadást, először látnunk kell a problémát, amit a blokklánc-fejlesztők megpróbáltak megoldani.
A klasszikus Ethereum hálózaton (és EVM láncokon) az ERC-20 tokenek mozgatásához két külön tranzakcióra volt szükség:
- Approve (Jóváhagyás): Először engedélyt kellett adnod az okosszerződésnek (pl. Uniswap), hogy hozzányúlhasson a tokenjeidhez. Ez külön gázdíjba került.
- TransferFrom (Átutalás / Swap): Ezután futott le maga a váltás, amiért megint fizettél.
Ez a kétlépcsős folyamat lassú volt és feleslegesen drága. Erre született meg az EIP-2612 (Permit) szabvány, majd később az Uniswap által megalkotott Permit2 protokoll.
Hogyan működik a Permit2 a gyakorlatban?
Ahelyett, hogy külön on-chain jóváhagyási tranzakciót küldenél a blokkláncra:
- A böngésződ tárcájával (pl. MetaMask) digitálisan aláírsz egy szabványosított üzenetet (EIP-712 Typed Data) a háttérben.
- Ez az aláírás nem kerül egyetlen fillér gázdíjba sem, mert nem ír a blokkláncra, csak egy kriptográfiai engedélyt állít ki.
- Az aláírt engedélyt átadod a dAppnak, a dApp beküldi a blokkláncra, és a Uniswap vagy bármelyik integrált protokoll elvégzi a műveletet helyetted.
A technológia zseniális és kényelmes — és pontosan ezt a kényelmet alakították át a kiberbűnözők a legpusztítóbb elszívó fegyverré.
2. A Permit2 Drainer támadás anatómiája: Lépésről lépésre
Nézzük meg, hogyan zajlik le a forgatókönyv egy áldozat szemszögéből:
[1. A Csalétek] ──────► [2. A Hamis Oldal] ──────► [3. A "Sign" Kérés] ──────► [4. A Kiszívás]
Kamu Airdrop Kísérteties másolat Gázdíj nélküli aláírás Relayer beküldi,
X/Twitter bot vagy Uniswap / Blur klón (EIP-712 Permit2) egyenleg lenullázva
Discord DM értesítő csatlakoztatva Ártalmatlannak tűnik 0 Ft gázköltséged volt1. lépés: A csali (Phishing Distribution)
A támadók feltörnek egy ismert Twitter fiókot (vagy hivatalosnak látszó, kék pipás profillal spammelik a válaszokat), Discord szervert hackelnek meg, vagy Google Sponsored keresési hirdetéseket vásárolnak egy népszerű DEX (pl. app.unisvvap.org) nevére. A szöveg mindig sürgető: „Airdrop jogosultság”, „Exkluzív NFT mint”, „Rendszerfrissítés”.
2. lépés: Tárca csatlakoztatása
Rákattintasz a „Claim Airdrop” vagy „Connect Wallet” gombra. A tárcád felugrik, és jóváhagyod a csatlakozást. (A sima kapcsolat önmagában még nem veszélyes, de ez a kapu).
3. lépés: Az ártalmatlan felugró ablak
A képernyőn megjelenik egy gomb: „Verify Ownership” vagy „Claim 450 UNI”. Rákattintasz.
A MetaMask felugrik, de NEM azt látod, hogy egy tranzakció gázdíjat kérne tőled. A gázdíj mezőnél: $0.00. Ehelyett a felület egy hosszú, olvashatatlan hexadecimális szöveget vagy JSON adatstruktúrát mutat:
{
"types": {
"PermitSingle": [
{ "name": "details", "type": "PermitDetails" },
{ "name": "spender", "type": "address" },
{ "name": "sigDeadline", "type": "uint256" }
]
},
"domain": {
"name": "Permit2",
"verifyingContract": "0x000000000022d473030f116ddee9f6b43ac78ba3"
},
"message": {
"spender": "0xAttackerContractAddress...",
"details": {
"token": "0xdAC17F958D2ee523a2206206994597C13D831ec7",
"amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935"
}
}
}Az átlagos felhasználó látja, hogy nincs gázdíj, a fejlécben pedig azt hiszi, csak „bejelentkezik”, ezért megnyomja a [Sign] (Aláírás) gombot.
4. lépés: Az azonnali likvidálás
Amint rákattintottál a Sign-ra, az aláírásod hash-ét a weboldal azonnal elküldi a támadó szerverének.
A támadó egy automatizált bottal (relayer) összeállít egy valódi tranzakciót: a tranzakcióba beteszi a te aláírásodat, és meghívja az Uniswap hivatalos Permit2 okosszerződését. A gázdíjat a hacker fizeti ki saját zsebből. A szerződés látja, hogy a te privát kulcsod hitelesítette az engedélyt, így a másodperc törtrésze alatt átutalja a megadott összes USDT-t és tokent a hacker gyűjtőtárcájába.
Mire pislogsz egyet, az egyenleged nulla.
3. Miért nem véd meg a hagyományos MetaMask?
A MetaMask évtizedes dizájnja a tranzakciókra fókuszált. Bár a fejlesztők folyamatosan javítják a felületet, az EIP-712 szabványú üzeneteket még ma sem képes minden esetben közérthetően lefordítani a felhasználónak.
Ha egy ablakban egy 60 karakteres okosszerződés cím szerepel (spender) és egy tudományos formátumú szám (amount), egy laikus nem tudja megállapítani, hogy épp most ruházta át az összes vagyonát egy csalóra.
4. Hogyan védd ki a Permit2 támadásokat 2026-ban?
A jó hír: a modern Web3 védelmi ökoszisztéma ma már rendelkezik olyan eszközökkel, amikkel ezek a támadások másodpercek alatt semlegesíthetők.
⚠️ Kritikus biztonsági aranyszabály: Soha, semmilyen körülmények között ne tölts le szoftvertárcát, böngészőbővítményt és ne rendelj hardvertárcát Google keresési szponzorált hirdetésre (Sponsored) kattintva! A hirdetések jelentős része karakterhibás adathalász klón (pl. rabbly.io vagy trez0r.io). Mindig az alábbi, általunk ellenőrzött közvetlen gyártói linkeket használd!
1. Válts modern szoftvertárcára: Rabby Wallet
A leghatékonyabb azonnali lépés, amit megtehetsz: cseréld le a mindennapi böngészős MetaMask használatot a Rabby Wallet (hivatalos weboldal: rabby.io) szoftverre.
- Beépített Pre-Transaction Simulation: A DeBank által fejlesztett nyílt forráskódú Rabby még azelőtt virtuálisan lefuttatja a műveletet a blokklánc egy másolatán, mielőtt rákattintanál az aláírásra.
- Ha egy aláírás token-elvándorlást eredményezne, a Rabby hatalmas piros figyelmeztető ablakkal blokkolja a képernyőt: „FIGYELEM: Ez az aláírás engedélyezi, hogy a(z) 0x123… cím elutaljon 4,500 USDC-t a számládról!”
- Automatikusan jelzi, ha a szerződés, amivel interakcióba lépsz, kevesebb mint 3 napja jött létre, vagy ha a fejlesztői nem verifikálták a forráskódot.
2. Telepíts tranzakció-magyarázó bővítményeket
Ha mégis ragaszkodsz a MetaMaskhoz, mindenképpen használj elé egy védelmi tűzfalat:
- Pocket Universe (hivatalos oldal: pocketuniverse.app): Egy ingyenes, független biztonsági kiegészítő Chrome-hoz és Brave-hez. Minden tárca-felugrás előtt megnyílik, és egyszerű emberi nyelven kiírja: „Ha ezt aláírod, elveszítesz 2.4 ETH-t és kapsz 0 Ft-ot. Ez 99.8% valószínűséggel átverés.”
- Wallet Guard (hivatalos oldal: walletguard.app): Az egyik legnépszerűbb Web3 adathalászat- és drainer-szűrő eszköz, amely valós időben pásztázza a rosszindulatú dAppokat.
3. Clear Signing képességű modern hardvertárcák
A régebbi hardvertárcák legnagyobb rákfenéje a „vak aláírás” (Blind Signing) volt: a géped képernyőjén láttál valamit, a kis hardver kijelzőjén viszont csak annyit: „Sign Hash?”.
2026-ban kizárólag olyan új generációs hardvertárcát használj, ami támogatja a Clear Signing technológiát. Ezek a saját, fizikailag izolált kijelzőjükön pontosan kiírják, hogy kinek és mekkora összegre adsz engedélyt — függetlenül attól, hogy mit próbál hazudni a fertőzött számítógéped böngészője:
- BitBox02 (hivatalos svájci gyártói oldal: shiftcrypto.ch): Nyílt forráskód, kettős chip-architektúra (Secure Element + mikrovezérlő), microSD kártyás azonnali biztonsági mentés. A Ledger zárt forráskódú baklövései után az európai DeFi felhasználók első számú választása.
- Trezor Safe 5 / Safe 3 (hivatalos gyártói oldal: trezor.io): A Trezor új generációja saját Secure Element (EAL6+) chippel, színes érintőképernyővel és modern Clear Signing támogatással.
- Keystone 3 Pro (hivatalos gyártói oldal: keyst.one): 100%-os Air-Gap védelem. Soha nem csatlakozik USB-vel vagy Bluetooth-szal a géphez; minden tranzakciót optikailag, QR-kódok beolvasásával ír alá a beépített 4 hüvelykes érintőkijelzőjén.
4. Rendszeres engedély-visszavonás (Revoke)
Ha valaha használtál Uniswapot, OpenSea-t vagy bármilyen dAppot, a tárcádban jelenleg is aktív Permit és Allowance engedélyek tucatjai élhetnek a háttérben:
- Látogass el rendszeresen a Revoke.cash (hivatalos oldal: revoke.cash) felületre.
- Csatlakoztasd a tárcádat, és vizsgáld felül az aktív okosszerződés-engedélyeket.
- Minden olyan jóváhagyást vonj vissza azonnal, amit nem használsz aktívan napi szinten!
Szeretnél 100%-os biztonságban mozogni a DeFi-ben?
A Permit2 drainerek csak egyetlen szeletét jelentik a modern kiberbűnözők fegyvertárának. Az új generációs támadások között ott vannak a hamis MEV botok, az álcázott Zoom SDK-k, a trükkös cím-másoló (Address Poisoning) férgek és a flash loan manipulációk.
Ha szeretnéd teljes mélységében megérteni és megvédeni a digitális vagyonodat, két gyakorlati forrást készítettünk neked:
- 📗 Miaza DeFi 2026 (Ingyenes E-book): Kezdő kislexikon és az alapfogalmak érthetően (AMM, slippage, likviditás, fedezeti arányok).
- 🛡️ DeFi & Kripto Védelmi Kézikönyv 2026 + Zárt Akadémia: A teljes, 6 modulos átfogó mesterkurzus nyomdai PDF, mobilbarát ePub és interaktív webes Akadémia tagsággal. Valódi védelmi protokollok, tárcabeállítások és a legújabb 2026-os kiberfegyverek semlegesítése.