קריפטו וארנקים

מפקח בקשות חתימה

פועל מקומיתחדש

הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.

השתמש ב-מפקח בקשות חתימה

מה זה עושה

הדבק את הטקסט שהארנק או האתר מבקשים ממך לחתום עליו, ותראה באנגלית פשוטה מה הוא יאשר. אישורי אסימונים, היתרים, חתימות Permit2 ורישומים ב-Seaport שכוללים תשלום לצד שלישי מסומנים באדום.

היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.

כיצד להשתמש ב-מפקח בקשות חתימה

  1. העתק את הבקשה הגולמית. קחו את הטקסט המדויק שעליכם לחתום עליו: קובץ ה-JSON של EIP-712, נתוני ה-0x של העסקה, אובייקט העסקה כולו, בקשת JSON-RPC או טקסט ההודעה.
  2. הדבק ובדוק. הדבק את הטקסט בתיבה. הבדיקה מתחילה ברגע ההדבקה; ניתן גם ללחוץ על "בדוק" או על Ctrl+Enter.
  3. בדוק איך זה נקרא. השורה הראשונה מציינת כיצד נקראה הקלטת, למשל: אובייקט עסקה. אם זה לא נכון, בחר את הסוג הנכון בשדה "קרא את הקלט כ-".
  4. קרא את הכיתוב על הלוח הצבעוני. התג, הכותרת והתקציר מפרטים בשפה פשוטה מה יאפשר החתימה. הרשימה שמתחתיה מציגה את הדגלים; החשובים ביותר מופיעים באותיות מודגשות.
  5. בדוק את השדות. עיין בטבלה בפרטים הבאים: המשתמש או המפעיל, האסימון, הסכום, תאריך התפוגה והשרשרת. פתח את הארגומנטים המפוענחים או את שדות ההודעה כדי לראות את הערכים הגולמיים.
  6. החליטו ושתפו. אם אינך מכיר את המשלם, דחה את הבקשה בארנק שלך ובדוק את הכתובות באמצעות צופה בלוקים. הדוח "העתק" מספק סיכום בטקסט רגיל עם קישורים מנוטרלים.

דוגמה

חתימה מסוג Permit2 עבור מכסת USDC בלתי מוגבלת

קלט
{
  "types": {
    "EIP712Domain": [
      {
        "name": "name",
        "type": "string"
      },
      {
        "name": "chainId",
        "type": "uint256"
      },
      {
        "name": "verifyingContract",
        "type": "address"
      }
    ],
    "PermitSingle": [
      {
        "name": "details",
        "type": "PermitDetails"
      },
      {
        "name": "spender",
        "type": "address"
      },
      {
        "name": "sigDeadline",
        "type": "uint256"
      }
    ],
    "PermitDetails": [
      {
        "name": "token",
        "type": "address"
      },
      {
        "name": "amount",
        "type": "uint160"
      },
      {
        "name": "expiration",
        "type": "uint48"
      },
      {
        "name": "nonce",
        "type": "uint48"
      }
    ]
  },
  "primaryType": "PermitSingle",
  "domain": {
    "name": "Permit2",
    "chainId": 1,
    "verifyingContract": "0x000000000022D473030F116dDEE9F6B43aC78BA3"
  },
  "message": {
    "details": {
      "token": "0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48",
      "amount": "1461501637330902918203684832716283019655932542975",
      "expiration": "281474976710655",
      "nonce": "0"
    },
    "spender": "0xbBbBBBBbbBBBbbbBbbBbbbbBBbBbbbbBbBbbBBbB",
    "sigDeadline": "115792089237316195423570985008687907853269984665640564039457584007913129639935"
  }
}
פלט (נלכד ב-2026-10-20)
Read as: EIP-712 typed data. Change this with “Read the input as”.

DangerousPermit2 PermitSingle: token allowance by signature (UNLIMITED)

Signing lets 0xbBbBBBBbbBBBbbbBbbBbbbbBBbBbbbbBbBbbBBbB move an unlimited amount of 0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48 (USDC token on Ethereum) out of your wallet through Permit2. The allowance never expires in practice. The spender submits this signature itself, so you will not see another prompt. Drainers favour Permit2 because many wallets have already approved Permit2 for apps such as Uniswap.

Unlimited amount: the spender can take your whole balance of the token.
The allowance never expires in practice.
The signature never expires in practice.
SPENDER	0xbBbBBBBbbBBBbbbBbbBbbbbBBbBbbbbBbBbbBBbB
TOKEN	0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48
USDC token on Ethereum

AMOUNT	Unlimited: 2^160−1, the Permit2 maximum (1461501637330902918203684832716283019655932542975)
ALLOWANCE EXPIRES	2^48−1 (Permit2 maximum): no practical expiry (beyond the year 5000)
NONCE	0
SIGNATURE VALID UNTIL (SIGDEADLINE)	2^256−1: no practical expiry (beyond the year 5000)
DOMAIN	name "Permit2"
CHAIN	Ethereum (chain ID 1)
VERIFYING CONTRACT	0x000000000022D473030F116dDEE9F6B43aC78BA3
Permit2 (Uniswap)

EIP-712 DIGEST (WHAT IS SIGNED)	0x579baa31b8f7279c82034e935d103d07caa27a817903937e201389d81d55984c
DOMAIN SEPARATOR	0x866a5aba21966af95d6c7ab78eb2b2fc913915c28be3b9aa07cc04ff903e3f28
MESSAGE HASH (HASHSTRUCT)	0xb646364eb4dc82faf68b61d79beb585797490532ff745845f3821e6f8573463c
PRIMARY TYPE	PermitSingle(PermitDetails details,address spender,uint256
…

לוח אדום: המשתמש 0xbBbB…BBbB יכול להעביר סכום בלתי מוגבל של USDC באמצעות Permit2, וההקצאה והחתימה אינן פוקעות. מחושב תקציר ה-EIP-712.

מה הוא בודק

אותמה זה אומר
תג סיכון: מסוכן, יש לבדוק בקפידה, סיכון נמוך או הערה"מסוכן" פירושו שהבקשה עשויה להעביר אסימונים או NFT-ים. גם לאפליקציות מוכרות נדרשת אישור, מכיוון שהסמכות המוענקת זהה. ביטול, כגון אישור עם סכום 0, מוצג כ"סיכון נמוך".
מבזבז או מפעיל בהפסדהכתובת שתקבל את הזכות להעביר את הנכסים שלך. מוזכרים מספר חוזים, כגון Permit2, Seaport והצינור של OpenSea; יש לבדוק כל כתובת אחרת.
סכום בלתי מוגבלמוצג עבור 2^256−1 או כל ערך של 2^255 ומעלה, ובבקשות Permit2 עבור 2^160−1. המוציא יכול לקחת את כל היתרה שלך באותו אסימון, כעת ובעתיד.
סכום עם מקומות עשרוניים מסומניםבמקרה של USDC, USDT, DAI ו-WETH ברשת אתריום, המספר הגולמי מומר; לדוגמה, 1000000 הופך ל-1 USDC. עבור אסימונים אחרים, מוצג המספר השלם הגולמי עם 18 ספרות ו-6 ספרות אחרי הנקודה העשרונית.
תוקף ומועד אחרוןבפועל, לא פג תוקפו לעולם (מעבר לשנת 5000), תקף ליותר משנה, או שכבר פג תוקפו. היתר או הקצבה שתוקפם לא פג לעולם נשארים שמישים זמן רב לאחר ששכחתם מהם.
חתימה עיוורת של חשיש בן 32 בתיםהארנק אינו יכול להציג את משמעות ההאש, ובמקרה של eth_sign ייתכן שמדובר בעסקה או בהרשאה. חתום רק על האש שיצרת בעצמך.
בדיקת הזמנות בנמלרישום במחיר אפס, מקבלי הצעות אחרים מקבלים יותר מהמציע, או שהפריטים המוצעים מופיעים שוב אצל מקבל אחר: מאפיינים אופייניים לרישומי NFT מזויפים שמניבים רווח לתוקף.
התחבר באמצעות דומיין אתריוםהודעת הכניסה מציינת את שם האתר שמבקש את הכניסה. אם הדומיין הזה אינו בדיוק האתר שבו אתה נמצא, החתימה עלולה לאפשר למישהו אחר להתחבר בשמך.
שתי קריאות של בורר אחדapprove(address, uint256) הוא אותה קריאה הן ב-ERC-20 והן ב-ERC-721. אלא אם כן החוזה הוא אחד מהטוקנים הבודדים שהכלי מכיר, מוצגים שני הערכים.

דוגמאות נוספות

אישור NFT עבור אוסף שלם

קלט
0xa22cb465000000000000000000000000000000000000000000000000000000000000dead0000000000000000000000000000000000000000000000000000000000000001
תוצאה

יש לקרוא כך: נתוני קריאה של העסקה (בוחר פונקציה ידוע). מסוכן: setApprovalForAll: שליטה על כל ה-NFTs שלך באוסף זה. מפעיל 0x000000000000000000000000000000000000dEaD, מאושר true, אוסף (ליעד) לא צוין.

אישור מוגבל של USDC בעסקה

קלט
{"to":"0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48","data":"0x095ea7b3000000000000000000000000000000000000000000000000000000000000dead00000000000000000000000000000000000000000000000000000000000f4240","value":"0x0","chainId":1}
תוצאה

יש לקרוא כ: אובייקט עסקה. מסוכן: אישור ERC-20. הסיכום מציין ש-0x000000000000000000000000000000000000dEaD יכול להעביר עד 1,000,000 יחידות של אסימון USDC ברשת אתריום מבלי לבקש אישור נוסף. הטבלה מציגה את הרשת אתריום (מזהה הרשת 1), ערך 0 ETH (0 ווי) וסכום 1,000,000 עם ההערה 1 USDC (6 ספרות אחרי הנקודה העשרונית).

בקשת eth_sign עיוורת

קלט
{"method":"eth_sign","params":["0x0000000000000000000000000000000000000001","0xabababababababababababababababababababababababababababababababab"]}
תוצאה

יש לקרוא כ: בקשת eth_sign ב-JSON-RPC. מסוכן: חתימה עיוורת: האש של 32-byte במקום טקסט, עם הדגל שגרם לרוב הארנקים להשבית או להסתיר את eth_sign משום שמנצלים ניצלו אותו.

שאלות נפוצות

מה בודק "בודק בקשות החתימה"?

הוא מפענח נתונים מסוג EIP-712, נתוני קריאה של עסקאות, אובייקטי עסקאות והודעות מסוג `personal_sign` או `eth_sign`, ומחשב את תמצית ה-EIP-712. הוא מסמן אישורי אסימונים, setApprovalForAll, אישורי EIP-2612 ו-DAI, חתימות Permit2, הוראות Seaport המשלמות למישהו שאינו אתה, וחתימות עיוורות על בסיס חתימת hash של 32-byte.

האם בקשה שאינה מסומנת באדום עלולה בכל זאת להזיק?

כן. הכלי קורא רק את הבקשה עצמה: הוא אינו יכול לראות יתרות, אישורים קיימים או אם חוזה הוא זדוני, ופעולות מחוץ לטבלה שלו מוצגות כ"לא ידוע". אישורים לאפליקציות לגיטימיות מסומנים גם הם באדום, מכיוון שהחתימה מעניקה את אותה הסמכות בכל מקרה.

האם הבקשה שהודבקה נשלחת לאנשהו?

לא. פעולת הפענוח וההשיישינג מתבצעות בדפדפן שלך, והדף אינו שולח בקשות לרשת עם הנתונים שהזנת. בקשת חתימה אינה מכילה שום מידע סודי, אך לעולם אל תדביק מפתח פרטי או ביטוי זרע באף אתר אינטרנט.

האם כמות קטנה הופכת את האישור לבטוח?

הכלי מגביל את הסכום שניתן למשוך לסכום זה, אך המשתמש יכול להשתמש בו בכל עת מבלי לבקש ממך אישור נוסף. זו הסיבה שהכלי עדיין מציג את האישור של 1 USDC כ"מסוכן". אשר רק את הסכום הדרוש לך, עבור משתמש שבדקת.

מדוע אני רואה ערכים של ERC-20 ו-ERC-721 עבור אישור אחד?

שני התקנים משתמשים באותו שם פונקציה ובאותם סוגי ארגומנטים, ולכן הנתון 0x לבדו אינו מספיק כדי לקבוע לאיזה מהם מדובר. הדבק את העסקה כולה, כולל כתובת היעד, ובדוק במאגר בלוקים האם החוזה הזה הוא אסימון או אוסף NFT.

כבר חתמתי על בקשה שמוצגת כאן באדום. מה עושים עכשיו?

פעלו במהירות. בטלו את האישורים בשרשרת והעבירו את מה שנשאר לארנק חדש. אישור חתום שטרם נעשה בו שימוש אינו מופיע כאישור, ולכן העברת האסימונים היא הצעד הבטוח יותר. במדריך החירום מפורטת סדר הפעולות.

הסבר על המונחים

מחקר PhishDestroy