Вредоносный ERC-20 Permit: тихая афера, которая опустошает ваш кошелёк без единой транзакции

В 2026 году у пользователей криптовалют было украдено более $500 миллионов с помощью одной-единственной техники: вредоносного ERC-20 permit. Эта афера особенно опасна тем, что при подписании она не оставляет никаких видимых ончейн-следов — лишь неприметную подпись, которая позволяет злоумышленнику опустошить ваш кошелёк в любой момент.

В этом руководстве объясняется, что такое вредоносный permit, почему в 2026 году он стал любимой аферой дрейнеров и, самое главное, как себя защитить.

Что такое ERC-20 Permit?

Permit — это расширение стандарта ERC-20, представленное в 2020 году (EIP-2612). Оно позволяет пользователю дать разрешение смарт-контракту тратить его токены без отправки ончейн-транзакции.

Проще говоря: вместо классической транзакции «Approve», за которую нужно платить комиссию (gas), вы просто подписываете сообщение своим кошельком. Затем это сообщение отправляет в сеть сам контракт.

Законные преимущества:

✅ Экономия на gas (одна транзакция вместо двух)
✅ Лучший UX (пользователь подписывает один раз, и всё происходит автоматически)
✅ Используется Uniswap, 1inch, DEX-агрегаторами

Проблема: эта подпись незаметна для большинства кошельков. Вы нажимаете «Подписать», думая, что просто подключаетесь к сайту, — а на деле только что разрешили злоумышленнику вывести 100 000 USDC.

Как работает афера: 5 шагов

Шаг 1 — Приманка

Вы переходите по рекламе в Google или по ссылке в Discord на поддельный Uniswap, фальшивую крипто-раздачу (airdrop) или фейковый NFT-сайт. Сайт выглядит на 100% легитимно — официальные логотипы, профессиональный дизайн, обманчивый URL (uniswaap.org вместо uniswap.org).

Шаг 2 — Запрос на подключение

Сайт предлагает «подключить кошелёк». Вы нажимаете, открывается MetaMask, и вы видите лишь «Подписать сообщение». На первый взгляд ничего подозрительного.

Шаг 3 — Скрытое сообщение

Чего вы не видите: сообщение содержит параметры ERC-20 permit:

owner: ваш адрес
spender: адрес злоумышленника
value: максимальная сумма (обычно 115 792 089 237 316 195... = бесконечность)
deadline: 30 дней с текущего момента
nonce: ваш текущий nonce

Вы подписываете. Сразу в сети ничего не происходит. Вам кажется, что ничего и не произошло.

Шаг 4 — Эксплуатация

Спустя часы или дни злоумышленник отправляет вашу подпись в сеть через транзакцию permit() + transferFrom(). Смарт-контракт принимает её, потому что подпись математически валидна.

Шаг 5 — Кража

Ваши USDC, USDT, WETH или любые другие ERC-20 токены переводятся на адрес злоумышленника. О потере вы узнаёте на следующее утро.

Вернуть средства невозможно. Транзакция необратима. Никакие централизованные биржи не задействованы.

Permit2: усугублённая версия

Permit2 — расширение, предложенное Uniswap в 2022 году для стандартизации permit для всех ERC-20 токенов, даже тех, которые не поддерживают EIP-2612 нативно.

С точки зрения UX в DeFi это технически блестящее решение, но для безопасности оно катастрофично, потому что:

Одна подпись Permit2 может разрешить трату сразу нескольких токенов
Подпись остаётся действительной днями или неделями
Большинство кошельков показывают Permit2 как обычное «сообщение» без подробностей

Результат: современные дрейнеры в первую очередь используют Permit2, поскольку он делает кражу более эффективной и менее заметной.

Как распознать вредоносный Permit

Тревожный признак №1: формат подписи

Подпись Permit или Permit2 всегда отображается в вашем кошельке как типизированное сообщение EIP-712 со следующей структурой:

Domain: PermitToken or Permit2
Types:
  Permit: [owner, spender, value, nonce, deadline]
Message:
  owner: 0xYOUR_ADDRESS
  spender: 0xUNKNOWN  ← THIS is suspicious
  value: 115792089237316195423570985008687907853269984665640564039457584007913129639935  ← That's infinity!
  deadline: 1735689600

Тревожный признак №2: контекст

Вы только что попали на сайт, которым никогда раньше не пользовались → 🔴
Сайт предлагает бесплатный airdrop или аномально высокую доходность → 🔴
Сайт просит подписать сообщение ещё до того, как показал какой-либо контент → 🔴
В URL есть едва заметная опечатка (uniswaap вместо uniswap) → 🔴

Тревожный признак №3: неизвестный spender

Поле spender (контракт, который будет тратить ваши токены) должно быть **известным и верифицированным** контрактом. Если это случайный адрес, не отображающийся на Etherscan как верифицированный контракт, **это мошенничество.**

Как Lumina Wallet защищает вас

Lumina Wallet расшифровывает каждую подпись Permit и Permit2, прежде чем попросить вас подписать. Вот что происходит на практике:

Расшифровка подписи: Lumina разбирает сообщение EIP-712 и определяет, является ли оно permit
Проверка spender: целевой контракт — это известный DEX/протокол (Uniswap, 1inch, Aave...) или неизвестный адрес?
Предупреждение о сумме: если сумма «бесконечная» (2^256 - 1), появляется критическое предупреждение
Перевод на понятный язык: вместо шестнадцатеричного набора символов вы видите: «Вы разрешаете [неизвестному контракту] тратить [все ваши USDC] без ограничений в течение следующих 30 дней»

Результат: вы видите ровно то, что подписываете, до того как подпишете. Подтвердить вредоносный permit по ошибке становится невозможно.

Что делать, если вы уже подписали вредоносный Permit

Шаг 1 — Не паникуйте, действуйте быстро

Возможно, permit ещё не использован. У вас есть временное окно, пока злоумышленник не применил вашу подпись.

Шаг 2 — Выведите токены, находящиеся под угрозой

Немедленно переведите все ваши ERC-20 токены на новый чистый кошелёк. Используйте свежий кошелёк с новой seed-фразой. Не используйте скомпрометированный кошелёк повторно.

Шаг 3 — Отзовите существующие разрешения

Перейдите на revoke.cash и отзовите все разрешения. Важное замечание: revoke.cash НЕ МОЖЕТ отозвать офчейн-подпись Permit, которая ещё не была использована. Вы можете лишь переместить токены.

Шаг 4 — Сообщите о мошенническом сайте

ScamAdviser
Google Safe Browsing
Chainabuse.com

Шаг 5 — Откажитесь от скомпрометированного кошелька

Никогда не используйте повторно кошелёк, который подписал вредоносный permit, даже если вы ничего не потеряли. В зависимости от контекста ваш nonce подписи всё ещё может быть использован.

Мнение экспертов

Виталик Бутерин (сооснователь Ethereum) публично предупреждал о рисках Permit2 в X в 2024 году.
Chainalysis назвала «подписание вредоносного permit» способом кражи криптовалют №1 в 2025 году, обогнавшим классические разрешения ERC-20.
PeckShield зафиксировал более 300 атак с вредоносными permit только в 2025 году.

Заключение: невидимая подпись — новая опасность

Эра видимых ончейн-транзакций закончилась. В 2026 году самая опасная афера не оставляет никаких видимых следов в момент подтверждения. Офчейн-подпись — тихая, с отложенным эффектом, — и уже на следующий день ваш кошелёк пуст.

Единственная эффективная защита: кошелёк, который расшифровывает каждую подпись на понятном языке до того, как вы её подтвердите. Именно это делает Lumina Wallet — для Permit, Permit2 и всех вредоносных подписей EIP-712.

Защитите себя прямо сейчас:

Скачать Lumina Wallet в Google Play | Скачать в App Store