一個簡單的簽名如何導致50萬美元被盜？_USDC:在哪可以賺usdt幣

你可能很難想象，Metamask中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上，今天他因一個漏洞損失了近50萬USDC。如果不多加小心的話，你可能就是下一個他。所以，今天我想和大家講講這件事的來龍去脈，告訴大家以后如何注意此類問題。那是在一個安靜的午后時分，Joe突然發現自己的錢包被轉走了46.9萬USDC。這次轉賬并不簡單，肯定不是攻擊者能做出的行為，因為他們根本不可能得到Joe錢包的權限。那就說明，轉走他所有USDC的應該是某個惡意合約。

在講述今天的故事之前，我需要先向大家解釋一些術語。USDC是以太坊上的一個具有多種功能的合約，規定了我們可以如何使用USDC。在眾多功能當中，我們需要特別關注下面兩項功能：轉賬代轉

安全團隊：dydx的SDK用了一個惡意的第三方組件，可能導致用戶憑據泄露:9月24日消息，據Beosin EagleEye平臺輿情監測顯示，Maciej Mensfeld發現的服務器異常文件http://api.circle-cdn.com/setup.py，通過對比代碼，發現與樣某樣本庫中的一份惡意代碼樣本一致 https://dwz.win/azUF

Beosin安全團隊深入分析發現攻擊者通過在本機執行以下代碼獲取系統敏感信息：接著利用socket庫函數gethostname提取dns解析，同時獲取當前用戶基本信息并進行數據封裝。然后將組裝好的信息利用curl命令以文件格式發到api.circle-cdn.com的服務器上，以隨機數字命名的txt格式，執行上傳之后并做了清理工作，沒有留下生成的臨時文件。

Beosin安全團隊總結：此腳本目的是獲取用戶計算機上的敏感配置文件，有些配置文件可能會導致重要的賬戶憑證信息失竊，會帶來較大的風險。[2022/9/25 7:19:25]

前Blockstream CSO：薩爾瓦多政府正運營一個Bitcoin Core完整節點:3月24日消息，前Blockstream首席戰略官Samson Mow（CSO）發布推文稱，薩爾瓦多政府目前正在運營一個Bitcoin Core完整節點和一個比特幣L2解決方案Liquid Network節點。[2022/3/24 14:15:28]

當你需要在錢包之間轉移USDC，或其他ERC20s時，就需要用到轉賬功能。它可以將Token從調用者轉移到其他地址。如果有人能以你的名義惡意使用該功能，那么他一定得先掌握了你錢包的全部權限才行。

好萊塢明星瑞恩雷諾茲：加密貨幣正在成為一個巨大的玩家:金色財經報道，好萊塢明星瑞恩雷諾茲談加密貨幣：它正在成為一個巨大的玩家。雷諾茲還是自助廣告平臺 MNTN 的首席創意官。他聲稱，他的公司可以隨時為客戶提供超級碗級別的關注。公司在將其帶入一種更安全、更主流的方面。我認為它正在成為一個巨大的、巨大的參與者。然而，雷諾茲沒有透露他是否投資于加密貨幣。在評論加密貨幣公司的超級碗廣告時，他說：“我認為這是企業公司希望在他們的時代精神中創造和開拓空間”。（news.bitcoin）[2022/2/17 9:57:33]

當你與合約產生互動時，它們會通過代轉功能來轉移你的Token，具體金額由你提前預設好的比例決定。因此，如果你允許一項合約轉移無限量的USDC，那么理論上它就可以拿走你所有的USDC。現在讓我們回到Joe的故事當中，轉走他全部USDC的確實就是transferFrom功能。然而，只有當Joe批準合約使用他的USDC時，transferFrom才能發揮作用。但事實上，Joe堅信自己沒有批準任何事項。

一個休眠超過8年的比特幣地址被激活，內含2207 BTC價值超1.5億美元:金色財經報道，一個休眠時間超過8年的比特幣地址被激活，內含2207枚BTC，價值約為150,512,129 美元，而這些比特幣在2013年價值還不到30萬美元（294,287 美元）。據悉該地址已經轉出了1,907.5997 BTC (約合129,984,430美元)，交易哈希：8901a9e35200f7e3741876bd132eb4f5c99826dd13c400f6ca895eb9070d1f66，轉出地址：1F2f54RRbPbj2Svi4Ni9n3RN41W3YwsFPh，轉入地址：bc1qgy0cuuhrns20p0sfv3nc2rqsagqu42xnma94nl。[2021/11/11 6:45:24]

可是，DeBank的交易記錄清楚地顯示，在漏洞發生前10分鐘，該惡意合約可以無限使用賬戶中的USDC。那么問題就在于，如果不是Joe本人的話，究竟是誰給了該合約這一項批準呢？我只能說，Joe確實批準了這一操作，但卻是在他不知情的情況下完成的。

Etherscan上的信息顯示，Joe本人確實沒有調用該功能，真正批準了這一額度的是其他地址，這才讓惡意合約得以花光Joe全部的USDC。我們不禁疑問，別人怎么能代替我給予合約許可呢？

許可功能的引入原本是為了改善以太坊的用戶體驗，它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說，只要有了你的簽名，任何人都可以調用許可功能，并更新你對合約的批準額度。

當你使用1inchdApp時，你就可以體驗到這一功能。如果你想在上面出售USDC，那你并不需要事先批準，只需要簽上你的名字就夠了。有了這個簽名，1inch便獲取了你全部USDC的使用權限。雖然1inch不會無緣無故花光你所有的USDC，但這卻給了惡意合約機會。

Joe一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是，那一次他用的是熱錢包，簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話，就需要在外部設備上簽署信息，那么還會有一個思考的時間。有了Joe的簽名，其他地址便可以提交一個帶有許可功能的交易，這樣惡意合約就獲取了Joe錢包全部USDC的使用權限。然后，只要它調用transferFrom功能，就可以轉走全部這些資金了。

所以說，一個看似小小的簽名卻可以引來巨大的災難。在某些情況下，Metamask會在你準備簽名是對你發出警告，告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警，但這些一旦濫用往往會造成巨額的損失。如何避免今后遇到類似的問題？1.不要在Metamask中簽署一切內容；2.花點時間了解你所簽署的內容；3.對傳統的批準事項要格外小心。原地址

Tags：USDSDCUSDCJOE在哪可以賺usdt幣usdc幣最新消息usdc幣與usdt幣哪個好Joey Inu

SAND