在Web3世界中，"簽名"（Signing）是你與DApp互動的基本操作。登入DApp、參與空投、交易NFT都需要簽名。但並非所有簽名請求都是安全的——惡意簽名已經成為2024-2025年最主要的加密資產盜竊手段之一。一次不經意的確認，可能導致你的全部資產在幾秒內被轉走。
錢包簽名有哪些型別？
瞭解不同簽名型別的風險等級是防範的基礎：
1. personal_sign（個人簽名）
- 用途：DApp登入驗證、訊息簽名
- 風險：通常較低，不直接涉及資產操作
- 例子：OpenSea登入時的"Sign in"請求
2. eth_signTypedData（型別化資料簽名）
- 用途：鏈下授權、訂單簽名
- 風險：中到高，可以用於Permit授權和NFT掛單
- 例子：Uniswap的Permit2簽名、OpenSea的NFT掛單簽名
3. eth_sign（原始資料簽名）
- 用途：簽署任意資料
- 風險：極高，被稱為"盲籤"，可以簽署任何交易
- 例子：合法使用極少，幾乎都是惡意用途
4. eth_sendTransaction（交易簽名）
- 用途：傳送鏈上交易
- 風險：取決於交易內容，可能是轉賬、授權或合約呼叫
- 例子：代幣轉賬、DApp合約互動
惡意簽名是如何盜取資產的？
以下是最常見的惡意簽名攻擊方式：
Permit簽名攻擊
EIP-2612標準允許透過鏈下簽名來授權代幣轉移，不需要消耗Gas。攻擊者誘導你簽署一個Permit簽名後，可以在鏈上提交這個簽名來轉走你的代幣。由於簽名是鏈下操作，你在簽名時不會看到Gas費提示，容易掉以輕心。
Seaport簽名攻擊
OpenSea使用的Seaport協議允許透過簽名建立NFT掛單。攻擊者可以構造一個以極低價格（如0.0001 ETH）出售你所有NFT的簽名請求。如果你不仔細檢視簽名內容就確認，你的NFT將以白菜價被攻擊者買走。
eth_sign盲籤攻擊
這是最危險的簽名型別。因為簽名的內容是原始的十六進位制資料，你根本看不懂簽署的是什麼。攻擊者可以讓你簽署一筆將所有資產轉走的交易。
setApprovalForAll簽名攻擊
針對NFT的攻擊。攻擊者誘導你簽署對某個合約的全部NFT授權，隨後可以轉走你的所有NFT。
如何識別惡意簽名請求？
看簽名型別：如果MetaMask彈窗顯示的是eth_sign型別，除非你100%確定在做什麼，否則直接拒絕。MetaMask預設已禁用eth_sign，如果某個DApp要求你開啟，這是一個強烈的危險訊號。
看簽名內容：仔細閱讀簽名彈窗中的所有資訊。如果你看到Permit、approval、setApprovalForAll等關鍵詞，請確認這是否是你的預期操作。
看請求來源：確認簽名請求來自你正在使用的合法DApp，而不是一個突然彈出的不明視窗。
看金額和物件：如果簽名涉及代幣操作，確認金額和目標地址是否合理。
使用交易模擬工具：Pocket Universe、Fire、Blowfish等瀏覽器外掛可以在你簽名前模擬結果，告訴你這個簽名會導致什麼後果。
哪些場景容易遇到惡意簽名？
- 假空投領取頁面：聲稱你有空投，需要"簽名驗證"才能領取
- 假NFT Mint頁面：仿冒熱門專案的Mint頁面
- Discord/Twitter釣魚連結：官方頻道被入侵後釋出的惡意連結
- 假DApp前端：仿冒知名DeFi協議的虛假網站
- 社交工程攻擊：假客服要求你"簽名驗證錢包"
安全提醒
防範惡意簽名需要保持高度警惕和良好的操作習慣：
- 仔細閱讀每一個簽名請求：不要盲目點選確認，花幾秒鐘看清簽名內容
- 安裝交易模擬外掛：Pocket Universe等工具能在簽名前預警風險
- 保持MetaMask的eth_sign禁用狀態：不要被任何DApp說服開啟
- 從官方渠道訪問DApp：透過收藏夾訪問，不點選社交媒體中的連結
- 使用獨立錢包做實驗：高風險操作使用小額獨立錢包
- 出現疑問就拒絕：如果你不確定簽名的用途，直接點選拒絕不會造成任何損失
將大額資產存放在安全的環境中是基本的安全策略。幣安官網使用平臺的多層安全保護，或幣安官方APP，蘋果使用者參考iOS安裝教程方便管理。
簽名和交易有什麼區別？
簽名是在鏈下用你的私鑰對資料進行加密簽署，不消耗Gas。交易是在鏈上執行的操作，需要消耗Gas。但簽名的結果可能被用來在鏈上執行交易（如Permit簽名），所以兩者的安全風險同樣需要重視。
簽名後發現是惡意的還能撤銷嗎？
對於鏈上交易簽名，一旦交易被打包確認就無法撤銷。對於Permit等鏈下簽名，如果駭客還沒有在鏈上使用這個簽名，你可以透過發起一個新的Permit簽名（將授權設為0）來使舊簽名失效。但時間視窗通常很短。
硬體錢包能防範惡意簽名嗎？
硬體錢包會在裝置螢幕上顯示簽名內容，讓你在物理裝置上確認。這比軟體錢包多了一層保護，但如果你不仔細閱讀就按下確認鍵，硬體錢包也無法保護你。關鍵還是要理解簽名內容。
哪些瀏覽器外掛可以幫助檢測惡意簽名？
推薦安裝Pocket Universe、Fire、ScamSniffer或Blowfish Protect等外掛。它們會在你簽名前自動分析簽名內容，如果檢測到風險會彈出警告。但不要完全依賴這些工具，自己也要保持警惕。