道路千萬條,安全第一條:
1)不要共用密鑰2)密鑰離線保存
3)開發和測試分開
4)不要下載來歷不明的軟件5)立即檢查授權
6)進行授權前,對合約安全進行確認
7)擼空投和福利的時候注意安全?
8)警惕Discord來路不明的人和軟件
事件
2022年元旦假期的某個早上,小C準備寫代碼,繼續測試web3js的鏈上合約交易。突然發現自己的測試賬號在metamask歸零了,明明前一晚賬戶內還有100USD,然后查完轉賬就發現:錢都沒了,錢哪去了??
背景
技術出身的小C,最近在學習區塊鏈開發。本身是專業開發者,已經很謹慎小心了,通常都是在測試網絡上跑,跑完之后,再會去正式網絡上部署,但是沒有意識到整個產業目前還處在相對混亂的階段,麻痹大意,順手習慣導致造成了損失。損失是如何造成的?2021年的最后一天,小C偶然看到一個賬號很有趣,就追蹤了他的一些鏈上交易,然后看到了一個非常有意思的項目,然后就鬼使神差地連上了自己的Metamask,然后鬼使神差的進行了approve,因為一般Web3的項目就是這個流程,approve然后轉賬就結束了。但是令人驚呆的一幕出現了:點完之后,整個網站突然卡死了,沒有任何反應,小C當時沒當回事,把站點給關了,去做其他事情了。過了大概一天,小C重新回來開發的時候,發現賬上的錢全部沒有了,去查了歷史記錄,發現賬上的余額已經被全部轉走。回顧過程
Immutable推出5億美元生態發展基金Immutable Ventures:4月13日消息,以太坊NFT二層擴容方案Immutable X開發公司Immutable宣布推出5億美元發展基金Immutable Ventures,致力于支持基于Immutable X的Web3游戲和NFT項目,該基金將通過向在Immutable X平臺上構建的游戲和項目分配Token、現金贈款和投資來加速Immutable X協議的發展。[2023/4/13 14:00:40]
盜取者是怎么把小C賬戶上的錢都轉走的?
現象:只要你approve了,不需要私鑰理論上也可以把對應的錢全部轉走。小C進行了下溯源,大概是在一個釣魚網站的approve出了問題,于是追溯該轉賬記錄。
美聯儲資產負債表增加3000億美元:金色財經報道,美聯儲資產負債表從3月8日的8.39萬億美元躍升至3月15日的8.69萬億美元,為去年11月以來的最高水平。[2023/3/17 13:09:58]
如圖,可以看到,先是approve了一個合約,授權了釣魚合約能夠對賬號里面BUSD進行操作,而且是沒有數量限制的。為什么會是BUSD呢?小C回憶了一下,一進入這個釣魚站點是默認選了busd,估計在瀏覽站點鏈接錢包之后,盜取者就已經篩選了出了賬號里面錢最多的token了。然后當小C以為這是一個新的swap合約,并且有很高的年化收益,準備先試試的時候,按照常規流程就進行approve。approve結束后,網站直接卡了。
美聯儲卡什卡利:美聯儲只有在確信通脹率正在回落至2%的目標時才能考慮降息:金色財經報道,美聯儲卡什卡利:美聯儲只有在確信通脹率正在回落至2%的目標時才能考慮降息。[2023/1/4 9:52:33]
后來經過追溯,大概在授權之后幾十秒,合約就直接觸發了一個轉賬操作,直接把BUSDtoken給轉走了。后來去查了一下授權的信息
基本上metamask默認授權的時候是
ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff
以太坊市值重返2000億美元上方:7月28日消息,據Coingecko最新數據顯示,隨著ETH價格上漲,以太坊市值已重返2000億美元上方,達到204,547,281,309 美元。目前ETH價格為1,717.62美元,24小時漲幅超15%。[2022/7/29 2:44:26]
轉換成數字,我們認識的就是1.157920892373162乘以10的59次方。基本上就可以理解為無限量轉賬了,也就是這個授權的操作,可以讓這個合約無限量的操縱我賬號的token。看到這里感覺背后一涼,因為以前點過很多次approve都是不會去看的。
然后黑客操縱一個可以控制這個合約方法的錢包地址,就發起合約轉賬方法,把錢轉走了。所以小伙伴之后點metamask授權的時候一定要小心。
小C查了下,盜取者現在這個賬號里大概已經有了3w美金的token了,現在還有源源不斷的受害者在轉錢。但是面對區塊鏈沒有辦法,根本無法找不到這個黑客是誰。
出現問題的環節
問題到底出在哪里?因為最近在學習區塊鏈。小C大概理了一下這個釣魚的邏輯方式,害人之心不可有,防人之心不可無。大家有興趣可以了解一下:正常轉賬
案例一:直接用戶間轉賬A用戶向B用戶轉賬BUSD
合約正常會檢查以下邏輯
1)判斷A用戶賬戶余額是否有足夠的錢2)是否是A用戶發起的轉賬
流程如下圖
正常合約兌換
就是我們平時使用pancakeswap、uniswap等兌換時候的流程案例二:通過swap進行token兌換A用戶進行token兌換流程合約進行判斷:1)A用戶賬戶余額是否有足夠的BUSD,2)swap合約取A賬戶下的500BUSD放入swap的合約池中3)成功后合約再向A賬戶轉入1BNB注意第2)3)點,是由合約控制token進行操作。那么也就是說合約可以繞過我們直接發起對我們賬號下的token的操作。
釣魚合約
先看這張溯源圖
本文翻譯自ADAMoracleMedium《WeekelyUpdates》1、ADAM近期空投活動獎勵發放完成;2、ADAMoracle官網升級,對部分頁面進行了優化.
1900/1/1 0:00:00去中心化多鏈NFT資產聚合及交易平臺Element于2021年12月20日宣布:ElementBSC市場正式啟動Launchpad.
1900/1/1 0:00:00Azuki是一個日系動漫風主題的系列圖片NFT,畫風精致,首發10000個。每一個NFT都是獨一無二的,在發型眼睛、嘴巴脖子、服配飾裝、背景類型等都差異,具有極高美學觀賞性,不少玩家是被好看的圖.
1900/1/1 0:00:001.地方兩會陸續召開多地釋放布局元宇宙積極信號2021年元宇宙概念在各大科技公司的推波助瀾下爆火,緊接著,日韓等發達國家政府相繼出臺了建設元宇宙實施細則,意圖建立新型國家優勢.
1900/1/1 0:00:00撰文|黑米 科技巨頭微軟昨日在視頻游戲和元宇宙行業內投下了一枚重磅炸彈。該公司宣布,將以價值約750億美元的全現金交易收購全球最大的視頻游戲公司之一—動視暴雪,動視暴雪旗下擁有《使命召喚》、《魔.
1900/1/1 0:00:002021年12月2日,Oasis基金會很高興地宣布與DeFi衍生品平臺ThetaNuts建立合作伙伴關系.
1900/1/1 0:00:00