TOKE:技術 | 從一個錢包被盜的案例，探討Web3的安全指南_Electronic USD

道路千萬條，安全第一條：

1）不要共用密鑰2）密鑰離線保存

3）開發和測試分開

4）不要下載來歷不明的軟件5）立即檢查授權

6）進行授權前，對合約安全進行確認

7）擼空投和福利的時候注意安全?

8）警惕Discord來路不明的人和軟件

事件

2022年元旦假期的某個早上，小C準備寫代碼，繼續測試web3js的鏈上合約交易。突然發現自己的測試賬號在metamask歸零了，明明前一晚賬戶內還有100USD，然后查完轉賬就發現：錢都沒了，錢哪去了？？

背景

技術出身的小C，最近在學習區塊鏈開發。本身是專業開發者，已經很謹慎小心了，通常都是在測試網絡上跑，跑完之后，再會去正式網絡上部署，但是沒有意識到整個產業目前還處在相對混亂的階段，麻痹大意，順手習慣導致造成了損失。損失是如何造成的？2021年的最后一天，小C偶然看到一個賬號很有趣，就追蹤了他的一些鏈上交易，然后看到了一個非常有意思的項目，然后就鬼使神差地連上了自己的Metamask，然后鬼使神差的進行了approve，因為一般Web3的項目就是這個流程，approve然后轉賬就結束了。但是令人驚呆的一幕出現了：點完之后，整個網站突然卡死了，沒有任何反應，小C當時沒當回事，把站點給關了，去做其他事情了。過了大概一天，小C重新回來開發的時候，發現賬上的錢全部沒有了，去查了歷史記錄，發現賬上的余額已經被全部轉走。回顧過程

Chain宣布收購歐洲持牌加密貨幣公司并推出Chain Prime:金色財經報道，區塊鏈基礎設施Chain宣布收購一家獲得許可的歐洲加密提供商，該提供商已成為一個新的實體Chain Europe UAB。在這次新的收購之后，Chain推出了Chain Prime，這是一個自動場外(OTC)交易系統，旨在讓客戶通過Chain Engine獲得深度流動性。Chain Prime旨在聚合來自頂級交易所的集中式訂單簿，為用戶提供最佳執行率。[2023/2/21 12:18:41]

盜取者是怎么把小C賬戶上的錢都轉走的？

現象：只要你approve了，不需要私鑰理論上也可以把對應的錢全部轉走。小C進行了下溯源，大概是在一個釣魚網站的approve出了問題，于是追溯該轉賬記錄。

AxieInfinity的Homeland Season 1將于2月22日開啟:金色財經報道，鏈游AxieInfinity的Homeland Season 1將于2月22日開啟，計劃更新Homeland的玩法和獎勵，包括引入新的AXS獎勵、升級被動冒險、土地專用化妝品，此外排行榜和劇情進度將在Alpha Season 1開始和結束時重置。[2023/2/19 12:15:58]

如圖，可以看到，先是approve了一個合約，授權了釣魚合約能夠對賬號里面BUSD進行操作，而且是沒有數量限制的。為什么會是BUSD呢？小C回憶了一下，一進入這個釣魚站點是默認選了busd，估計在瀏覽站點鏈接錢包之后，盜取者就已經篩選了出了賬號里面錢最多的token了。然后當小C以為這是一個新的swap合約，并且有很高的年化收益，準備先試試的時候，按照常規流程就進行approve。approve結束后，網站直接卡了。

100多枚與已倒閉加密交易所QuadrigaCX相關的比特幣被喚醒:12月20日消息，據外媒報道，上周末，100多枚與已倒閉加拿大加密交易所QuadrigaCX相關的比特幣從冷錢包中轉出，總價值約為170萬美元，其中許多資金已經流入不同的錢包。此前這些比特幣已經休眠了三年多。

據悉，QuadrigaCX的破產受托人安永會計師事務所并沒有轉移資金。安永于2019年2月宣布，在錯誤地將大約100枚比特幣發送至其無法訪問的Quadriga冷錢包后，該公司失去了對這些比特幣的控制。此后這些地址的比特幣一直處于凍結狀態，直到上周五，所有五個地址的比特幣在美國東部時間下午6點52分至7點14分之間流出。QuadrigaCX在創始人兼首席執行官Gerald Cotten去世后于2019年破產。在Quadriga破產時，它對數千名客戶的債務接近2億美元。（CoinDesk）[2022/12/20 21:55:33]

后來經過追溯，大概在授權之后幾十秒，合約就直接觸發了一個轉賬操作，直接把BUSDtoken給轉走了。后來去查了一下授權的信息

美聯儲布拉德：數據表明通脹難以遏制，需要繼續“前置加息”:金色財經報道，美國圣路易斯聯儲主席布拉德（James Bullard）周五表示，一份“比預期更熱”的9月通脹報告并不一定意味著美聯儲需要的利率比官員們在最近一次政策會議上預測的更高，盡管它確實需要通過75個基點的更大規模加息來繼續“前置加息”。

Bullard在接受采訪時表示，周四公布的美國9月份消費者物價指數數據顯示，通貨膨脹已經變得“惡性”且難以遏制，因此，“我們仍然快速行動是有道理的”。此外，Bullard稱，盡管現在對12月議息會議的舉措進行預估還為時過早，但如果是今天，會繼續在12月加息75個基點。他也表示，進一步的加息情況將視未來數據而定。

如果美聯儲今年再進行兩次75個基點的加息，其政策利率在2022年底將在4.50%-4.75%的范圍內。（路透社）[2022/10/15 14:28:20]

基本上metamask默認授權的時候是

ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff

轉換成數字，我們認識的就是1.157920892373162乘以10的59次方。基本上就可以理解為無限量轉賬了，也就是這個授權的操作，可以讓這個合約無限量的操縱我賬號的token。看到這里感覺背后一涼，因為以前點過很多次approve都是不會去看的。

然后黑客操縱一個可以控制這個合約方法的錢包地址，就發起合約轉賬方法，把錢轉走了。所以小伙伴之后點metamask授權的時候一定要小心。

小C查了下，盜取者現在這個賬號里大概已經有了3w美金的token了，現在還有源源不斷的受害者在轉錢。但是面對區塊鏈沒有辦法，根本無法找不到這個黑客是誰。

出現問題的環節

問題到底出在哪里？因為最近在學習區塊鏈。小C大概理了一下這個釣魚的邏輯方式，害人之心不可有，防人之心不可無。大家有興趣可以了解一下：正常轉賬

案例一：直接用戶間轉賬A用戶向B用戶轉賬BUSD

合約正常會檢查以下邏輯

1）判斷A用戶賬戶余額是否有足夠的錢2）是否是A用戶發起的轉賬

流程如下圖

正常合約兌換

就是我們平時使用pancakeswap、uniswap等兌換時候的流程案例二：通過swap進行token兌換A用戶進行token兌換流程合約進行判斷：1）A用戶賬戶余額是否有足夠的BUSD，2）swap合約取A賬戶下的500BUSD放入swap的合約池中3）成功后合約再向A賬戶轉入1BNB注意第2）3）點，是由合約控制token進行操作。那么也就是說合約可以繞過我們直接發起對我們賬號下的token的操作。

釣魚合約

先看這張溯源圖

Tags：FFFUSDTOKEPROfff幣價格Electronic USDTokesAcorn Protocol

TRX