以太坊交易所 以太坊交易所
Ctrl+D 以太坊交易所
ads

50萬美元的血淚教訓:一個簡單的簽名如何導致資產被盜?_SDC:usdm幣APP

Author:

Time:1900/1/1 0:00:00

作者:@korpi87

編譯:Kxp,BlockBeats

當“小狐貍”錢包跳出授權錢包時,要先了解清楚這個簽名的意義及細節。

你可能很難想象,Metamask中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上,今天他因一個漏洞損失了近50萬USDC。如果不多加小心的話,你可能就是下一個他。所以,今天我想和大家講講這件事的來龍去脈,告訴大家以后如何注意此類問題。

那是在一個安靜的午后時分,Joe突然發現自己的錢包被轉走了46.9萬USDC。這次轉賬并不簡單,肯定不是攻擊者能做出的行為,因為他們根本不可能得到Joe錢包的權限。那就說明,轉走他所有USDC的應該是某個惡意合約。

ENS主域名突破50萬個:3月24日消息,據Dune Analytics最新數據顯示,以太坊域名服務ENS主域名數量已突破50萬個,本文撰寫時達到500,880個,當前活躍ENS域名總量為2,769,381個,參與地址數量為671,665個。主域名(Primary Name)能讓用戶的以太坊地址指向一個ENS域名,幫助用戶在使用以太坊帳戶連接DApp時可以找到并顯示ENS域名,該域名必須由用戶自己設置,不會在注冊時自動生成。另據NFTgo數據顯示,截至目前ENS交易總額為2.1461億美元,市值約為1.0032億美元。[2023/3/24 13:25:00]

在講述今天的故事之前,我需要先向大家解釋一些術語。USDC是以太坊上的一個具有多種功能的合約,規定了我們可以如何使用USDC。

Platypusdefi遭閃電貸攻擊,目前損失約850萬美元:金色財經報道,據CertiK監測,Platypusdefi遭到閃電貸攻擊,目前損失約850萬美元。[2023/2/17 12:12:26]

在眾多功能當中,我們需要特別關注下面兩項功能:

轉賬

代轉

當你需要在錢包之間轉移USDC,或其他ERC20s時,就需要用到轉賬功能。它可以將Token從調用者轉移到其他地址。如果有人能以你的名義惡意使用該功能,那么他一定得先掌握了你錢包的全部權限才行。

幣安比特幣錢包過去24小時增加近600枚BTC,當前余額50萬枚上方:金色財經報道,據Coinglass數據顯示,幣安交易所比特幣錢包過去24小時已增加558枚BTC,當前其比特幣錢包余額已升至50萬枚BTC上方,本文撰寫時達到501,393.83枚BTC。[2022/12/20 21:56:23]

當你與合約產生互動時,它們會通過代轉功能來轉移你的Token,具體金額由你提前預設好的比例決定。因此,如果你允許一項合約轉移無限量的USDC,那么理論上它就可以拿走你所有的USDC。

現在讓我們回到Joe的故事當中,轉走他全部USDC的確實就是transferFrom功能。然而,只有當Joe批準合約使用他的USDC時,transferFrom才能發揮作用。但事實上,Joe堅信自己沒有批準任何事項。

摩根溪CEO:比特幣的價格可能達到50萬美元:摩根溪資本管理公司的創始人Mark Yusko表示比特幣的價格現在不可能跌至零,可能達到50萬美元。(Cryptoglobe)[2021/4/15 20:22:59]

可是,DeBank的交易記錄清楚地顯示,在漏洞發生前10分鐘,該惡意合約可以無限使用賬戶中的USDC。那么問題就在于,如果不是Joe本人的話,究竟是誰給了該合約這一項批準呢?我只能說,Joe確實批準了這一操作,但卻是在他不知情的情況下完成的。

Etherscan上的信息顯示,Joe本人確實沒有調用該功能,真正批準了這一額度的是其他地址,這才讓惡意合約得以花光Joe全部的USDC。

我們不禁疑問,別人怎么能代替我給予合約許可呢?

許可功能的引入原本是為了改善以太坊的用戶體驗,它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說,只要有了你的簽名,任何人都可以調用許可功能,并更新你對合約的批準額度。

當你使用1inchdApp時,你就可以體驗到這一功能。如果你想在上面出售USDC,那你并不需要事先批準,只需要簽上你的名字就夠了。有了這個簽名,1inch便獲取了你全部USDC的使用權限。雖然1inch不會無緣無故花光你所有的USDC,但這卻給了惡意合約機會。

Joe一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是,那一次他用的是熱錢包,簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話,就需要在外部設備上簽署信息,那么還會有一個思考的時間。

有了Joe的簽名,其他地址便可以提交一個帶有許可功能的交易,這樣惡意合約就獲取了Joe錢包全部USDC的使用權限。然后,只要它調用transferFrom功能,就可以轉走全部這些資金了。

所以說,一個看似小小的簽名卻可以引來巨大的災難。在某些情況下,Metamask會在你準備簽名是對你發出警告,告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警,但這些一旦濫用往往會造成巨額的損失。

如何避免今后遇到類似的問題?

1.不要在Metamask中簽署一切內容;

2.花點時間了解你所簽署的內容;

3.對傳統的批準事項要格外小心。

Tags:USDSDCUSDCJOEusdm幣APPsdchainPCUSDCJOE幣

酷幣下載
Optimism生態數據分析:發行Token這步棋是俗手還是妙手_OPTI:OPTIMUSAI

僅從數據層面,Optimism正縮小同Artibrum的差距,然而未來格局不得而知。6月1日,Optimism正式開啟代幣OP的空投空投,隨后在兩個月半月的時間內,OP的二級市場價格上演了一波過.

1900/1/1 0:00:00
金色晚報 | 8月28日晚間重要動態一覽_區塊鏈:OIN

12:00-21:00關鍵詞:元宇宙、湖北、埃塞俄比亞、MakerDAO1.Meta旗下VR平臺副總裁將離職.

1900/1/1 0:00:00
金色觀察|獲取Optimism 代幣OP的五種方式_ETH:togetherbnb手游下載最新版

Optimism是以太坊上占主導地位的Layer2之一。自8月初以來,Optimism的鎖定總價值(TVL)已躍升約26%.

1900/1/1 0:00:00
“債權人”優先還是“股東”優先 Tribe DAO 清償提案引發信任危機_TRI:The Plant Dao

最大規模的DAO組織之一TribeDAO提議關閉協議和清償資產,已成為近日加密社區最充滿爭議的提案之一,行業多方對提案提出了多方質疑,甚至將其稱為一場貪婪的“欺詐”,目前事件持續發酵.

1900/1/1 0:00:00
詳細梳理區塊鏈5大賽道正在演進的技術趨勢_GAM:EFI

說下近期各個板塊看到的正在發生的,以及未來6-12個月可能出現的趨勢整體會分為公鏈,DeFi(Dex,借貸,Stablecoin,合成資產等),NFT,GameFi.

1900/1/1 0:00:00
軟著陸后 加密市場下階段趨勢與核心敘事_LANA:以太坊

市場最糟糕的時候已經過去,以太坊合并前不太會看到新的低點;但仍需來自關注宏觀市場的不確定風險。 撰文:Ansem 編譯:Amber 在過去的一周多的時間里,傳統金融市場在美國通脹壓力有所減輕的背.

1900/1/1 0:00:00
ads