SDC:50萬美元的血淚教訓：一個簡單的簽名如何導致資產被盜？_USDC

作者：@korpi87

編譯：Kxp，BlockBeats

當“小狐貍”錢包跳出授權錢包時，要先了解清楚這個簽名的意義及細節。

你可能很難想象，Metamask 中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上，今天他因一個漏洞損失了近 50 萬 USDC 。如果不多加小心的話，你可能就是下一個他。所以，今天我想和大家講講這件事的來龍去脈，告訴大家以后如何注意此類問題。

那是在一個安靜的午后時分，Joe（化名）突然發現自己的錢包被轉走了 46.9 萬 USDC。這次轉賬并不簡單，肯定不是攻擊者能做出的行為，因為他們根本不可能得到 Joe 錢包的權限。那就說明，轉走他所有 USDC 的應該是某個惡意合約。

橋水基金創始人瑞·達利歐：“木頭姐”對比特幣50萬美元的價格預測毫無意義:金色財經報道，億萬富翁、全球知名對沖基金經理瑞·達利歐（Ray Dalio）對方舟投資管理公司首席執行官“木頭姐”凱西·伍德（Cathie Wood）的預測提出異議，凱西·伍德此前表示，比特幣價格將在五年后上漲十倍，達到 50 萬美元左右。在本周于紐約舉行的 SALT 會議上，瑞·達利歐接受了《紐約時報》專欄作家和 CNBC 聯合主播安德魯·羅斯·索爾金的采訪，他說道：“對我來說，這種預測沒有意義，因為在一定程度上，我們需要把通貨膨脹考慮進去，通脹會導致價格上漲，最后黃金會擁有一定市場份額，比特幣也會擁有一定市場份額。但鑒于其波動性和自身屬性，我認為比特幣市場份額不會更大。” 瑞·達利歐本人持有黃金和比特幣，但黃金比比特幣多。（thinkadvisor）[2021/9/16 23:28:37]

在講述今天的故事之前，我需要先向大家解釋一些術語。USDC 是以太坊上的一個具有多種功能的合約，規定了我們可以如何使用 USDC。

香港女子在進行加密貨幣場外交易時被搶走350萬元:香港觀塘一名女子18日在進行加密貨幣場外交易期間被四名身份不明的男子搶走約350萬元（約50萬美元）。據悉，這是本月在香港發生的第二起與加密貨幣相關的搶劫案。（decrypt）[2021/1/19 16:29:24]

在眾多功能當中，我們需要特別關注下面兩項功能：

轉賬（transfer）

代轉（transferFrom）

當你需要在錢包之間轉移 USDC，或其他 ERC20s 時，就需要用到轉賬功能。它可以將 Token 從調用者（調用該功能的地址）轉移到其他地址。如果有人能以你的名義惡意使用該功能，那么他一定得先掌握了你錢包的全部權限才行。

正構建PolkaDot數據云平臺的Cere Network籌集150萬美元:金色財經報道，總部位于舊金山的Cere Network宣布完成第二輪融資，共籌集了150萬美元。Cere正在構建PolkaDot的第一個數據云平臺，其主網有望在明年第一季度啟動。[2020/12/23 16:18:32]

當你與合約產生互動時，它們會通過代轉功能來轉移你的 Token，具體金額由你提前預設好的比例決定。因此，如果你允許一項合約轉移無限量的 USDC，那么理論上它就可以拿走你所有的 USDC。

現在讓我們回到 Joe 的故事當中，轉走他全部 USDC 的確實就是 transferFrom 功能。然而，只有當 Joe 批準合約使用他的 USDC 時，transferFrom 才能發揮作用。但事實上，Joe 堅信自己沒有批準任何事項。

動態 | 開放式銀行平臺Token籌集1650萬美元 并為即時支付開發穩定幣:據FinSMEs 6月20日消息，開放式銀行平臺Token籌集了1650萬美元，Opera Tech Ventures、法國巴黎銀行、Octopus Ventures和EQT Ventures的風險投資部門參與投資。該公司將開發新的銀行應用程序，幫助銀行直接支付，并降低支付成本。同時，該公司還開發了加密貨幣Token X，據悉，Token X是為實現即時支付而設計的穩定幣。[2019/6/20]

可是，DeBank 的交易記錄清楚地顯示，在漏洞發生前 10 分鐘，該惡意合約可以無限使用賬戶中的 USDC。那么問題就在于，如果不是 Joe 本人的話，究竟是誰給了該合約這一項批準呢？我只能說，Joe 確實批準了這一操作，但卻是在他不知情的情況下完成的。

Etherscan 上的信息顯示，Joe 本人確實沒有調用該功能，真正批準了這一額度的是其他地址，這才讓惡意合約得以花光 Joe 全部的 USDC。

我們不禁疑問，別人怎么能代替我給予合約許可呢？

許可功能的引入原本是為了改善以太坊的用戶體驗，它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說，只要有了你的簽名，任何人都可以調用許可功能，并更新你對合約的批準額度。

當你使用 1inch dApp 時，你就可以體驗到這一功能。如果你想在上面出售 USDC，那你并不需要事先批準，只需要簽上你的名字就夠了。有了這個簽名，1inch 便獲取了你全部 USDC 的使用權限。雖然 1inch 不會無緣無故花光你所有的 USDC，但這卻給了惡意合約機會。

Joe 一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是，那一次他用的是熱錢包，簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話，就需要在外部設備上簽署信息，那么還會有一個思考的時間。

有了 Joe 的簽名，其他地址便可以提交一個帶有許可功能的交易，這樣惡意合約就獲取了 Joe 錢包全部 USDC 的使用權限。然后，只要它調用 transferFrom 功能，就可以轉走全部這些資金了。

所以說，一個看似小小的簽名卻可以引來巨大的災難。在某些情況下，Metamask 會在你準備簽名是對你發出警告，告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警，但這些一旦濫用往往會造成巨額的損失。

如何避免今后遇到類似的問題？

1. 不要在 Metamask 中簽署一切內容；

2. 花點時間了解你所簽署的內容；

3. 對傳統的批準事項要格外小心。

區塊律動BlockBeats

媒體專欄

閱讀更多

金色早8點

Bress

鏈捕手

財經法學

PANews

成都鏈安

Odaily星球日報

Tags：USDSDCUSDCJOEusd幣交易違法嗎AUSDC幣usdc幣倒閉的可能性大嗎JOEY幣

Bitcoin