前兩天,Solana區塊鏈上出現了安全預警,有?篇?章指出?個名為https://officialsolanarares.net/mint/釣??站在?戶批準之后,可以將?戶的原?代幣轉?。在該?章中提到了?點:惡意合約在?戶批準(Approve)后,可以轉??戶的原?資產(這?是SOL),這點在以太坊上是不可能的,以太坊的授權釣?釣不?以太坊的原?資產(ETH),但可以釣?其上的Token。于是這?就存在“常識違背”現象,導致?戶容易掉以輕?。其實該?章這?的說法是不甚準確的,混淆了批準交易和Solidity中ERC-20代幣授權這兩個不同的概念。真實情況是通過Solana的簽名擴散機制,惡意合約直接盜取了?戶的SOL資產,和通常意義上的授權并沒有什么關聯。1.以太坊中的授權
Bakkt以監管不明確為由下架ADA、MATIC、SOL:6月16日消息,加密交易所Bakkt以監管不明確為由下架ADA、MATIC、SOL。此前5月消息,受監管因素和行業發展影響,Bakkt大規模下架了多種數字資產。Bakkt的一位發言人表示,在完成對Apex Crypto的收購之后,作為交易所常規代幣上市審查程序的一部分,我們決定在平臺上下架一些代幣。[2023/6/16 21:42:33]
在以太坊中,通常意義上授權是指?戶調?代幣合約,向其它地址授權?定處理額度,這樣我們在和其它合約交易時,可以?便的?付ERC-20代幣。在這?,授權是必須的,否則第三?合約?權處理?戶的代幣資產。同時,這種機制也伴?了?量的授權攻擊,只要你授權了惡意合約,惡意合約就可以轉?你的ERC-20代幣。2.Solana中的授權
數據:Solana鏈上NFT銷售總額突破27億美元,創歷史新高:金色財經報道,據cryptoslam最新數據顯示,Solana鏈上NFT銷售總額已突破27億美元,創歷史新高,本文撰寫時達到2,705,489,017美元,鏈上交易量為13,957,944筆。 當前 Solana 區塊鏈上交易額最大的 NFT 項目是 Solana Monkey Business,“淡定熊”Okay Bears當前交易額排名第二,,Degenerate Ape Academy位列第三。[2022/10/11 10:30:37]
在Solana中,代幣?般為官?提供的spl-token合約,它模擬了ERC-20代幣的?為,因此也存在類似的ERC-20授權概念。同樣授權第三?合約后第三?合約可以處理?戶的代幣(注意不是原?幣SOL)。這點同以太坊是?致的,并沒有什么反常識。3.Approve的涵義
Monkey Kingdom遭攻擊損失約130萬美元SOL:12月23日消息,NFT項目Monkey Kingdom表示,黑客通過Discord的安全漏洞竊取了社區的130萬美元的SOL。開發人員表示,黑客首先攻擊Solana上驗證用戶的解決方案Grape,利用該漏洞接管了一個管理帳戶,該帳戶在Monkey Kingdom Discord的公告頻道中發布了網絡釣魚鏈接。 (Cointelegraph)[2021/12/23 7:57:52]
不管在以太坊中還是在Solana中,我們習慣將Approve當作授權,因此?然?然的會認為是代幣授權。當我們使?MetaMask錢包時,如果是代幣授權交易會明確提示授權,并且所有交易彈出的是?個確認按鈕。然?在Solana的Phantom錢包?,彈出的是?個Approve按鈕,讓?很容易以為是授權交易。但真實情況是批準?次交易?并不是進?代幣授權。所以安全預警中出現的被盜?為,是?戶批準了?個未知交易,?不是?戶進?了SOL的授權操作,當然也就不能說是授權偷?了原?幣。4.交易直接轉?原?貨幣
Solana鏈上DeFi總鎖倉量超150億美元,創歷史新高:11 月 8 日消息,據 Defi Llama 數據顯示,當前 Solana 鏈上 DeFi 總鎖倉量達 152.3 億美元,創歷史新高。[2021/11/8 6:38:13]
交易轉?批準者的原?貨幣,例如SOL和ETH,是?常簡單的。在以太坊上的Solidity中,只要調??個payabletransfe的函數就可以轉?交易?戶的ETH;在Solana中,相應的,只要調?系統合約的戶的SOL資產,這和我們平常講的代幣授權概念是沒有任何關系的。函數也能轉移?交易?不同的是,在Solidity中,ETH轉移發?在合約調?的時候,因此錢包可以提前知道要轉移的ETH數量并顯示出來,?在Solana中,轉移是發?在合約內部的,因此錢包?法提前知曉你會被轉?多少SOL,當然也會?法顯示。只要你簽名認同了這筆惡意交易,你就相當于簽名認同了這次SOL轉移,這正是這次Solana上釣?盜取的問題所在。?段類似如下的代碼就可以在合約內部轉移user的SOL。
5.Solana中的簽名擴散機制
在Solana中,有?個簽名擴散機制。?戶調?合約A,此時合約A中?戶是簽名批準的。當合約A內部調?合約B時,?戶的簽名會隨著跨合約調??起擴散到合約B。因此,在合約B中,?戶也是簽名批準的。所以這?存在?個安全?險,當簽名?個惡意合約時,惡意合約就獲取了我們這個簽名,然?它可以拿我們這個簽名做任何事情!!!!!!!在上述的偷盜事件中,?戶同惡意合約3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v進?交易,該合約直接調?系統合約轉移?戶的SOL,因為簽名隨著調??起擴散到了系統合約,因此系統合約認為該筆交易也是批準過的,是正常的,所以就轉?了?戶的資產。6.具體被盜交易
其中?筆被盜交易:https://explorer.solana.com/tx/4j33JSGRS6rD5irzW1cA9wjQAvAgVDAnBTrGRjqtqBBWXspTzU5HpEFwTeCC2uD9hH9eA2Pw5ddHyd5JyG6h6cNq我們可以看到該交易涉及的輸?賬號:
這其中:?戶賬號:4XF4wyjein7ZN4RPM6YK2mC2mC6T41cZAoKjJqpP19fRSOL轉移賬號:BepccLHDcXqqHi6MfpTDo9Sfc5tmRjmSC1XY48Tb8HuY惡意合約地址:3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v從上可以看出,?戶賬號調?合約后轉移了1.2545SOL到轉移賬號。同時我們可以看到并沒有涉及到spl-token代幣合約,出產沒有通常意義上的授權這么回事。其交易打印出的?志為:從?志中也可以判斷,惡意合約僅是簡單的調?了系統合約轉?了?戶的SOL,因此?戶簽名批準了對惡意合約的交易,這個簽名也擴散到了系統合約,因此判定有效。7.結論
在Solana中,不要輕易確認或者批準任何來歷不明的交易,因為它可以拿你的簽名代表你做任何事情。
Odaily星球日報譯者|Moni 原油價格在時隔14后年再次突破每桶100美元大關,對于比特幣來說,這似乎是個后期看漲的利好.
1900/1/1 0:00:00相關閱讀: 全方位解讀AxieInfinity:GameFi社區收益達到150億美元之路 AxieInfinity即將達到1000萬的玩家數量,可以說是當今最火爆的區塊鏈應用之一.
1900/1/1 0:00:00本期SeerLabs將帶你深層解析跨鏈賽道設計邏輯。前言:近期頻發的跨鏈安全問題吸引市場的廣泛關注,本文希望從產品設計的角度入手,給讀者講述為什么這個賽道的產品安全問題這么多.
1900/1/1 0:00:00大型組織的治理以及資金的公平分配一直是困擾著人們的主題。而在常常擁有龐大財庫的加密社區中,如何保證資金分配的公正公平顯得尤為重要.
1900/1/1 0:00:00經Odaily星球日報不完全統計,2月14日-2月20日當周公布的海內外區塊鏈融資事件共48起.
1900/1/1 0:00:00Howtoearn 整體可以分為stake/work/game/win/investtoearnStaketoearn,接近傳統defi的質押挖礦Worktoearn.
1900/1/1 0:00:00