對于開發者來說,AUTH/AUTHCALL機制非常具有吸引力。它可以讓人們創建調用者來實現不同的批量處理策略、gas抽象模型和復雜的賬戶抽象方法等。這種靈活性源于這一機制賦予了開發者極大的自由。AUTH/AUTHCALL機制不要求開發者遵循特定的模式,而是要求用戶簽署一個commit哈希值,讓開發者基于commit自行設置限制。然而,這種靈活性是以犧牲安全性為代價的。在本文中,我想要介紹一種更簡單的替代方案。這個方案具備AUTH/AUTHCALL機制的絕大多數優點,但是風險遠低于后者。為什么簽署一個AUTHcommit所帶來的風險高于簽署一個與存在漏洞/惡意合約相關的事務?用戶在簽署與合約相關的事務時,所承擔的風險是已知的,即,可能會損失在該合約控制范圍內的資產。比方說,用戶給一個ERC20合約簽署了批準事務,授權惡意的DEX合約。這個惡意DEX合約就可以提走用戶在ERC20合約中的全部余額。但是,它無法從該用戶的其它ERC20合約中提走代幣,除非得到該用戶的批準。它也不能代表用戶進行其它操作,因為這也需要專門獲得用戶的批準。相較之下,EIP3074不僅要求用戶簽署“空白支票”,而且假設調用者是誠實且沒有漏洞的。一個惡意/存在漏洞的調用者可以代表用戶執行任何操作——訪問用戶持有的資產,代表用戶進行投票,控制用戶所有的合約等。更糟糕的是,調用者隨時都可以作惡,因為nonce實現是由調用者控制的。存在漏洞/惡意的nonce邏輯實現可以重放用戶過去的事務。如果commit驗證的其它部分的邏輯也存在漏洞,調用者就可以利用這個nonce邏輯實現來代表用戶執行任何操作。即使漏洞被發現,用戶也無法撤回空白支票。這個外部賬戶已經被永久入侵了。編寫一個正確的調用者程序很難,而且我們幾乎可以肯定,調用者會不定期出現錯誤,從EIP3074最后列出的調用者應該警惕的檢查/漏洞/情況非詳盡清單中可見一斑。這份清單勢必會變得越來越長,很可能伴隨著痛苦的發現過程。此外,惡意參與者可以編寫一個看似無害的調用者程序,但是故意留下一個細微的漏洞,等到大量外部賬戶授權該調用者之后才會被攻擊者利用。如果攻擊者沒有直接或立即利用這個漏洞從用戶那里竊取資金,這個漏洞可能很長時間都不會被發現。治理劫持示例
分析 | BTC多空開單量保持謹慎 Coinbase BTC/USD 對 Bitfinex仍處負溢價狀態:據TokenGazer數據分析顯示,截止至6月19日17點整,BTC價格為$9170.8,市值為162,838.6MM,主流交易所24H BTC交易量約為$1126.9MM,環比昨日下滑18%;經過比對Bitfinex、Bitstamp、Coinbase三個交易所18日全天交易數據,TokenGazer發現Bitstamp上的主動買單超過了主動賣單,Bitfinex與Coinbase上主動賣單多于主動買單;當前Coinbase BTC/USD 對 Bitfinex仍處負溢價狀態,但是溢價差距在縮小;算力方面,BTC算力呈現一定下降趨勢;期貨方面,BTC多空開單量都存在輕微下滑情況。[2019/6/19]
惡意去中心化交易所EveSwap為其用戶編寫了一個調用者程序。這個調用者程序通過空投EVE代幣來為用戶提供gas資助,并批量處理用戶的批準和轉賬事務。EveSwap的調用者程序看似無害,而且永遠不會竊取用戶的代幣,因為這樣馬上就會露餡。用戶很開心。交易都成功了,交易費也很便宜。幾個月來平安無事。然而,每當有人使用EveSwap交易AliceSwap的治理代幣ALI時,會自動將用戶的AliceSwap投票權委托給EveSwap。一旦授權人數達到某個閾值,EveSwap就會通過治理提案劫持AliceSwap。EveSwap用戶不太可能注意到這個過程,因為交易總是成功的,但是最終會給AliceSwap帶來毀滅性的打擊。跨鏈重放示例
分析 | Coinbase BTC/USD 對 Bitfinex 仍處負溢價 主流交易所BTC交易量存在下滑:據TokenGazer數據分析顯示,截止至6月14日17點整,BTC價格為$8297.3,市值為147,274.3MM,主流交易所24H BTC交易量約為$731.2MM,環比昨日下滑3.3%,BTC價格今日繼續攀升,目前在$8200-8300區間范圍內波動,BTCUSD/Coinbase對BTCUSDT/Bitfinex仍處一定負溢價狀態,投資人需警惕市場反轉風險;算力方面,BTC目前算力為53.21E,對比前幾天表現,有所下降;活躍地址數呈現上升趨勢;期貨方面,多空開單量都有相對提升。[2019/6/14]
EIP3074合理地建議commit應該包含chainid。但是,這是由調用者,而非協議執行的。在另一條鏈上有著相同地址的調用者可能會跳過該檢查。EveSwap在兼容EVM的BobSpongeChain上運行,后者支持EIP3074。EveSwap在BobSpongeChain上部署了一個誠實的調用者。用戶使用該調用者在BobSpongeChain上交易,然后使用橋將資產轉移到以太坊上。EveSwap使用同一個部署密鑰在以太坊上部署了另一個地址相同的調用者。這個在以太坊上的調用者不會檢查commit,只會檢查ownerOnly,并充當其所有者的通用AUTH/AUTHCALL代理。這樣一來,EveSwap就可以劫持用戶在以太坊上的外部賬戶并卷走他們的資產了。用戶從未在以太坊上交易過,運行在BobSpongeChain上的調用者程序又經過了嚴格的安全審查。盡管如此,用戶還是丟失了全部資產。以太坊通過EIP155的重放保護來防范這種情況。AUTHCALL沒有重放保護。由于所有commit檢查都交給調用者完成,我們失去了以太坊提供的一切交易保護。攻擊是在所難免的,因為保護措施很隨意。如果要接受EIP3074,AUTH消息必須明確包含chainid,而非將其作為commit的一部分。我們還能采取什么別的手段?
動態 | BP 對 EOS 全區塊歷史都進行了存儲 只是有 5 個 BP 做了歷史索引并對外提供查詢接口:據 IMEOS 報道,針對“只有 5 個 BP 存儲了全部 EOS 區塊數據”的謠言消息,IMEOS 向 EOS ASIA 郭達峰求證,該消息是對EOS WEEKLY 的誤解。實際情況是所有 BP 都存儲了全區塊歷史,只是有 5 個 BP 使用了“History API”插件,提供區塊歷史數據的索引和查詢。[2019/2/17]
我的提議是實現一個更明確的機制,在協議層面強制規定commit的含義。commit結構將是類型化的,錢包會以用戶可讀的形式將commit呈現出來。用戶可以確切地知道事務是什么樣子的,并確信這個事務不會在任何鏈上重放,無需依賴于調用者程序開發者的品行和能力。一個可能的實現:AUTH將使用包含授權調用列表的類型化結構代替commit哈希值。每個調用都將指定{nonce,to,gas,calldata,value,chainid}。簽名將被驗證,整個授權調用列表將保存為authorized_transactions而非authorized地址變量。AUTHCALL將得到一個新的參數index,該參數指向最后一個AUTH創建的列表中的地址。用戶地址的nonce將隨AUTHCALL遞增。nonce并非由調用者存儲,而是實際的賬戶nonce。利:用戶可以清楚地了解情況。安全性由協議保障。依然支持批處理和賬戶抽象。弊:nonce實現,不支持并行。復雜調用者程序的事務處理起來很繁瑣,因為用戶必須查看并接受整個調用列表。不同的實現可能支持不同的nonce方案。但是,無論我們使用什么機制,該機制必須由協議而非調用者執行。無論如何都應該避免讓復雜調用者執行大量用戶調用。復雜操作應該作為普通的智能合約實現,而非嘗試實現使用多個外部賬戶調用的算法。替代方案:完全避免硬分叉
動態 | 倫敦國王學院開始對 EOS 的 DPoS 和投票進行研究:據 IMEOS 報道,EOS Authority 在推特透露頂尖研究型大學倫敦國王學院(King’s College London)開始對 EOS 的 DPoS 和投票系統進行獨立分析。DLT 和投票系統的全球頂尖的專家團隊將使用 EOS Authority 提供的投票數據和專業知識展開研究。[2018/12/6]
還有一個選擇是完全避免AUTH機制,并通過vbuterin建議的另一種交易池來解決賬戶抽象和批量處理問題。利:無需硬分叉,可由智能合約和可以感知這些智能合約的節點支持。可用于一切支持EIP3074的實現,而不會引入額外的風險。弊:不向后兼容已有的外部賬戶。用戶需要部署一個合約錢包并將資產轉移到該錢包內。除非要求在不遷移的情況下支持已有的外部賬戶,否則這個選擇看起來更安全。原地址:https://blog.mycrypto.com/eip-3074/作者:MaartenZuidhoorn翻譯&校對:閔敏&阿劍
區塊鏈評級機構:市場對 EOS 漏洞反應過激,投資者務必警惕主力資金借機套利:公眾號標準共識評論本次EOS“漏洞事件”稱,本次漏洞很嚴重,但并非 EOS 的系統性問題,而且 EOS 已經解決。加之二級市場的價格波動為負面消息帶來的恐慌情緒所致,標準共識不會對 EOS 現有的\"BB\"評級作出調整。不過,投資者仍需在短期內警惕做空資金利用恐慌趁機砸盤的風險。[2018/5/29]
Tags:AUTHEOSBTCESWAUTH幣eos幣還有希望嗎Binance Wrapped BTCEliteSwap Protocols
圖片來源:財新周刊顯影|中國告別比特幣“挖礦”圖:財新周刊丁剛圖片編輯:陳婉婷本文轉自:鉆石手DiamondHands,星球日報經授權轉載偶然的捕捉.
1900/1/1 0:00:00總融資額達到1.3888億美元2021年7月1日──通過NFT為游戲玩家提供數字產權的AnimocaBrands今天宣布第二兼最后一期融資已籌得5000萬美元的資金.
1900/1/1 0:00:00MotoGP?的各位愛好者和收藏家們請注意,激動人心的時刻到了,諸位期待已久的拆卡包功能今天上線啦!幾個月前,我們首次發售了MotoGP?Ignition收藏品,隨后在4月再次發售.
1900/1/1 0:00:00隨著7月份網絡算力的上升和交易所資金外流的增加,比特幣積累的跡象開始顯現。文:JORDANFINNESETH編譯:Zion責編:Karen隨著全球個別國家打擊加密貨幣給市場帶來的壓力開始消退,比.
1900/1/1 0:00:00頭條 Circle將通過與ConcordAcquisitionCorp的業務合并上市美元穩定幣USDC發行機構Circle將通過與ConcordAcquisitionCorp的業務合并上市.
1900/1/1 0:00:00Odaily星球日報譯者|Moni編者按:商業,說白了就是一種資源游戲。隨著區塊鏈技術的快速發展,不僅給企業提供了確保數據安全的“取勝之匙”,更實現了與隱私保護計算的互操作性.
1900/1/1 0:00:00