原文作者:@korpi87
原文編譯:Kxp,BlockBeats
你可能很難想象,Metamask中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上,今天他因一個漏洞損失了近50萬USDC。如果不多加小心的話,你可能就是下一個他。所以,今天我想和大家講講這件事的來龍去脈,告訴大家以后如何注意此類問題。
那是在一個安靜的午后時分,Joe突然發現自己的錢包被轉走了46.9萬USDC。這次轉賬并不簡單,肯定不是攻擊者能做出的行為,因為他們根本不可能得到Joe錢包的權限。那就說明,轉走他所有USDC的應該是某個惡意合約。
TrustToken將穩定幣TUSD所有權移交給一個亞洲聯盟:12月16日消息,穩定幣TUSD發行平臺TrustToken宣布,TUSD的所有權將移交給一個亞洲聯盟,該聯盟將與波場TRON合作,在以太坊、TRON和其他區塊鏈網絡上開發TUSD。不過,TrustToken團隊將繼續管理TUSD產品的運營、合規性以及銀行關系等工作,也將負責客戶增長、營銷預算、工程資源和流動性支持等工作。TrustToken表示,通過這種合作關系,TUSD產品將擁有獨立于TrustToken的財務和運營資源,并能夠進軍亞洲市場。[2020/12/16 15:20:55]
在講述今天的故事之前,我需要先向大家解釋一些術語。USDC是以太坊上的一個具有多種功能的合約,規定了我們可以如何使用USDC。
動態 | 迅雷發布Q3財報:區塊鏈是下一個增長點:日前,迅雷發布了2018年第三季度財報。財報顯示,本季度迅雷集團總營收為4530萬美元,保持穩健增長態勢。毛利潤為2380萬美元,較去年同期增長超50%,毛利率達52.7%,遠高于2017年同期水平的35.5%。本次財報中,迅雷還披露了區塊鏈業務的最新進展,財報顯示,迅雷近期在區塊鏈業務上動作頻頻,大量旨在建設生態系統、布局未來的動作被集中執行。從這些動作來看,迅雷的戰略重心已全面向區塊鏈偏移,加重了在該領域的投入。根據第三季度財報,該季度迅雷研發費用為1970萬美元,占總營收的43.4%,同比上漲27.1%。[2018/11/14]
在眾多功能當中,我們需要特別關注下面兩項功能:
聲音 | Bitmex分析師:將7400美元視為下一個支撐位和潛在反彈位:Bitmex分析師Flood發布推特稱,將7400美元視為BTC下一個支撐位和潛在反彈位。 如果BTC失守支撐位后,他將會關注6800美元或更低的價格。[2018/8/1]
轉賬
代轉
當你需要在錢包之間轉移USDC,或其他ERC20s時,就需要用到轉賬功能。它可以將Token從調用者轉移到其他地址。如果有人能以你的名義惡意使用該功能,那么他一定得先掌握了你錢包的全部權限才行。
當你與合約產生互動時,它們會通過代轉功能來轉移你的Token,具體金額由你提前預設好的比例決定。因此,如果你允許一項合約轉移無限量的USDC,那么理論上它就可以拿走你所有的USDC。
現在讓我們回到Joe的故事當中,轉走他全部USDC的確實就是transferFrom功能。然而,只有當Joe批準合約使用他的USDC時,transferFrom才能發揮作用。但事實上,Joe堅信自己沒有批準任何事項。
可是,DeBank的交易記錄清楚地顯示,在漏洞發生前10分鐘,該惡意合約可以無限使用賬戶中的USDC。那么問題就在于,如果不是Joe本人的話,究竟是誰給了該合約這一項批準呢?我只能說,Joe確實批準了這一操作,但卻是在他不知情的情況下完成的。
Etherscan上的信息顯示,Joe本人確實沒有調用該功能,真正批準了這一額度的是其他地址,這才讓惡意合約得以花光Joe全部的USDC。
我們不禁疑問,別人怎么能代替我給予合約許可呢?
許可功能的引入原本是為了改善以太坊的用戶體驗,它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說,只要有了你的簽名,任何人都可以調用許可功能,并更新你對合約的批準額度。
當你使用1inchdApp時,你就可以體驗到這一功能。如果你想在上面出售USDC,那你并不需要事先批準,只需要簽上你的名字就夠了。有了這個簽名,1inch便獲取了你全部USDC的使用權限。雖然1inch不會無緣無故花光你所有的USDC,但這卻給了惡意合約機會。
Joe一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是,那一次他用的是熱錢包,簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話,就需要在外部設備上簽署信息,那么還會有一個思考的時間。
有了Joe的簽名,其他地址便可以提交一個帶有許可功能的交易,這樣惡意合約就獲取了Joe錢包全部USDC的使用權限。然后,只要它調用transferFrom功能,就可以轉走全部這些資金了。
所以說,一個看似小小的簽名卻可以引來巨大的災難。在某些情況下,Metamask會在你準備簽名是對你發出警告,告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警,但這些一旦濫用往往會造成巨額的損失。
如何避免今后遇到類似的問題?
1.不要在Metamask中簽署一切內容;
2.花點時間了解你所簽署的內容;
3.對傳統的批準事項要格外小心。
2022年8月1日,作為以安全著稱的老牌頭部交易所波場Poloniex正式發布了全面升級的新交易系統,在新系統上線不久,新系統API便收獲了大量來自專業交易者的好評.
1900/1/1 0:00:00原文標題: 原文作者:TimothyCraig 原文編譯:老雅痞 貨幣領域最有成就的投資者之一。盡管擁有令人印象深刻的業績記錄,但該公司多年來也犯了一些錯誤.
1900/1/1 0:00:0012:00-21:00關鍵詞:dYdX、美聯儲梅斯特、Northern、以太坊礦工1.加密金融機構解決方案1Token與dYdX合作建立投資組合和風險管理系統;2.
1900/1/1 0:00:00L2擴容方案BobaNetwork宣布2022年至2023年工程圖。在2022年,計劃實施veTokenomics,推出veBoba,允許代幣的持有者將能夠“投票托管”鎖定代筆,通過DAO投票實.
1900/1/1 0:00:00DearKCSHolders,?Toacceleratetheprocessof?KCS?burnandadapttothemarketdevelopmentmoreefficiently.
1900/1/1 0:00:00原文作者:?IraklisLeontiadis原文標題:?TheRoleofSignaturesinDigitalAssetsandCryptocurrencies可能你正在閱讀本文的時.
1900/1/1 0:00:00