一个签名就能被盗币：雪崩用户如何识别Permit钓鱼，用Core和撤销工具自保

很多人以为，只要不点“发送”、不付 Gas，钱包里的资产就不会动。签名钓鱼恰恰利用了这种直觉：骗子不需要你发起转账，只要你在钓鱼网站上点一下“签名”，就可能把代币的支配权交出去。更麻烦的是，这类签名在链上看不到，可能几天、甚至一年多以后才被用来转走资产。本站此前已介绍过链上授权（approve）的风险和 Core 搭配硬件钱包的签名核对，本文专门讲“链下签名”这一类威胁：Permit 和 Permit2 是什么、为什么危险、Core 钱包能提供哪些保护，以及签错之后该怎么补救。

一个真实案例：14个月前的签名，最近才被用来盗币

据 Scam Sniffer 监测，10月4日前后，一个以太坊地址被盗走价值约16.7万美元的 LINK，原因是该用户在2025年8月18日签署过一笔针对 Permit2 的钓鱼授权，前后相隔约14个月（消息来自加密快讯）。这个案例说明，签名一旦交出，风险并不会随着时间自动消失，只要签名还有效、钱包里还有对应代币，攻击者随时可以动手。

Scam Sniffer 的2025年度报告也显示，签名类钓鱼仍是大额损失的主要来源：在全年11起单笔超过100万美元的钓鱼案件中，Permit/Permit2 签名导致的损失约872万美元，约占这些大额案件损失的38%；其中最大的一起是9月一名用户通过 Permit 签名损失约650万美元。报告同时提到，旧的“盗币工具包”退场后，新的工具很快会补上来。

Permit 和 Permit2：为什么一个签名就能交出代币

按照 Revoke.cash 的解释，传统授权需要发起一笔链上 approve 交易，要付 Gas，钱包也会明显提示。而 Permit（EIP-2612）允许用户只签一条链下消息就完成授权，之后由任何人把这条签名提交到链上调用代币合约的 permit() 函数，授权即刻生效。

Permit2 是 Uniswap 团队开发的合约，让不支持 EIP-2612 的代币也能用签名授权：用户先给 Permit2 合约一次（通常是无限额）授权，之后各个应用只需要用户签名，就能从 Permit2 获得“子授权”。Permit2 可以一次授权多种代币，签名内容更复杂，也更难看懂。

这类签名的风险主要有四点：

• 不花 Gas，容易随手签：签名本身免费，很多人不会像对待转账那样仔细看。
• 伪装成“登录”：钓鱼网站常把授权签名包装成“验证钱包”“领取空投”“登录网站”。
• 链上查不到：签名在被提交上链之前，授权查询工具无法知道你签过什么。
• 很难抢先撤销：骗子拿到签名后通常会立刻使用，留给用户补救的时间很少。

对雪崩用户来说，C 链与以太坊一样基于 EVM，C 链上的 USDC 等主流代币和 DeFi 应用，同样可能被这类签名利用。

签名前怎么判断：看清四个字段

遇到钱包弹出的签名请求，尤其是显示为“类型化数据”（EIP-712）的请求，重点看以下内容：

1. 是否出现 Permit、PermitSingle、PermitBatch 等字样：这说明你签的是授权，不是登录。
2. spender（被授权方）：是否是你正在使用的、可核实的协议合约地址。陌生地址或刚创建不久的合约要高度警惕。
3. value / amount（额度）：一长串数字通常意味着无限额度。
4. deadline / expiration（有效期）：期限设得很远，意味着签名长期有效。

正常的“登录签名”通常只是一段可读的文字，不会包含代币地址、额度和被授权方。看不懂的签名，宁可不签。

Core 钱包能帮上什么忙

• 交易风险扫描：据 Cointelegraph 2024年6月报道，Core 集成了安全公司 Blockaid 的服务，在用户签名提交之前，将交易与已知恶意威胁库进行比对，发现可疑时会发出警告。出现红色警告时，应直接拒绝并关闭网页，而不是想办法“绕过去”。
• 编辑授权额度：Core 帮助中心说明，在 Core 插件中遇到授权交易时，可以点开“Spend Limit”旁的箭头，选择预设额度或输入自定义额度后保存，用多少授权多少，避免默认的无限授权。
• 管理已连接网站：在 Core 插件“设置 → Privacy and Security → Connected Sites”中，可以查看并断开不再使用的 dApp。需要注意，断开连接只是让网站无法再读取你的地址、弹出请求，已经生效的链上授权仍然存在，需要另外撤销。

也要清楚风险扫描的局限：它主要依据已知威胁库判断，新出现的钓鱼合约可能尚未被收录。工具提示“安全”，不等于一定安全。

签错了怎么办：分情况补救

1. 签名还没被使用：Revoke.cash 的账户页面有“Signatures”标签，可以尝试让签名失效（需要发起链上交易、付少量 Gas）。如果并不确定签过可疑签名，没必要频繁操作。
2. 签名已经被提交上链：这时它会变成普通的链上授权，可以在 Revoke.cash 或雪崩浏览器 Snowtrace 的 Token Approval Checker 中找到并撤销。
3. 检查 Permit2 本身的授权：如果不再使用依赖 Permit2 的应用，可以撤销钱包给 Permit2 合约的授权；Permit2 发出的子授权则可以等其到期，或手动撤销。
4. 资产已被转走：立即把剩余资产转移到一个全新的、助记词从未在网页上输入过的钱包，并检查同一助记词下的其他账户和其他链。

关于 EIP-7702：雪崩 C 链暂不支持

Scam Sniffer 报告提到，以太坊 Pectra 升级后出现了利用 EIP-7702 批量授权的新型钓鱼。根据雪崩开发者文档，C 链目前遵循以太坊 Cancun 规则，尚未引入 Prague 升级的相关功能；把 EIP-7702 风格账户抽象引入雪崩的提案 ACP-209 仍处于“提议”阶段，需要网络升级才能生效。不过，同一个地址在以太坊等其他链上仍可能被诱导签署这类授权，在 Core 里切换到其他网络时同样要保持警惕。

日常习惯清单

• 大额资产与日常交互分开，存放大额资产的钱包尽量不连接陌生 dApp；
• 只从官方渠道进入 dApp，不点私信、群聊和搜索广告里的链接；
• “免费空投”“验证钱包”“抗量子迁移”等需要签名的页面一律多问一句；
• 每隔一段时间用 Snowtrace 或 Revoke.cash 检查一次授权，清理不再使用的项目。

参考来源

• ChainCatcher 快讯：Scam Sniffer: A certain address lost over…（Permit2 钓鱼签名致约16.7万美元 LINK 被盗，2026-10-04）
• Scam Sniffer：2025 Crypto Phishing Losses Fall 83% to $84 Million（2026-01-03）
• Revoke.cash：What are EIP2612 Permit Signatures?
• Revoke.cash：What is Permit2?
• Cointelegraph：Avalanche Core wallet gets Blockaid security integration（2024-06-06）
• Core 帮助中心：How do I edit spending limits on transactions?
• Core 帮助中心：How do I view and remove connected sites?
• Snowtrace：Token Approval Checker
• Avalanche 开发者文档：Cryptographic Primitives
• Avalanche ACP-209：EIP-7702 Style Account Abstraction