對 EIP-3074 的批評以及一種簡單的替代_AUTH:ESWAP

對于開發者來說，AUTH/AUTHCALL機制非常具有吸引力。它可以讓人們創建調用者來實現不同的批量處理策略、gas抽象模型和復雜的賬戶抽象方法等。這種靈活性源于這一機制賦予了開發者極大的自由。AUTH/AUTHCALL機制不要求開發者遵循特定的模式，而是要求用戶簽署一個commit哈希值，讓開發者基于commit自行設置限制。然而，這種靈活性是以犧牲安全性為代價的。在本文中，我想要介紹一種更簡單的替代方案。這個方案具備AUTH/AUTHCALL機制的絕大多數優點，但是風險遠低于后者。為什么簽署一個AUTHcommit所帶來的風險高于簽署一個與存在漏洞/惡意合約相關的事務？用戶在簽署與合約相關的事務時，所承擔的風險是已知的，即，可能會損失在該合約控制范圍內的資產。比方說，用戶給一個ERC20合約簽署了批準事務，授權惡意的DEX合約。這個惡意DEX合約就可以提走用戶在ERC20合約中的全部余額。但是，它無法從該用戶的其它ERC20合約中提走代幣，除非得到該用戶的批準。它也不能代表用戶進行其它操作，因為這也需要專門獲得用戶的批準。相較之下，EIP3074不僅要求用戶簽署“空白支票”，而且假設調用者是誠實且沒有漏洞的。一個惡意/存在漏洞的調用者可以代表用戶執行任何操作——訪問用戶持有的資產，代表用戶進行投票，控制用戶所有的合約等。更糟糕的是，調用者隨時都可以作惡，因為nonce實現是由調用者控制的。存在漏洞/惡意的nonce邏輯實現可以重放用戶過去的事務。如果commit驗證的其它部分的邏輯也存在漏洞，調用者就可以利用這個nonce邏輯實現來代表用戶執行任何操作。即使漏洞被發現，用戶也無法撤回空白支票。這個外部賬戶已經被永久入侵了。編寫一個正確的調用者程序很難，而且我們幾乎可以肯定，調用者會不定期出現錯誤，從EIP3074最后列出的調用者應該警惕的檢查/漏洞/情況非詳盡清單中可見一斑。這份清單勢必會變得越來越長，很可能伴隨著痛苦的發現過程。此外，惡意參與者可以編寫一個看似無害的調用者程序，但是故意留下一個細微的漏洞，等到大量外部賬戶授權該調用者之后才會被攻擊者利用。如果攻擊者沒有直接或立即利用這個漏洞從用戶那里竊取資金，這個漏洞可能很長時間都不會被發現。治理劫持示例

美國SEC稱法院應允許對 \"Let's Go Brandon\"發出傳票:金色財經報道，在周四提交的法庭文件中，美國證券交易委員會要求法院駁回一項動議，該動議要求撤銷有關其調查保守派memecoin \"Let's Go Brandon\"是否為證券的傳票。

今年1月，該機構傳喚了邁阿密對沖基金經理James Koutoulas，他也是LGBcoin基金會的受托人。在該機構今年早些時候發出傳票后，Koutoulas起訴了SEC，稱LGBcoin不是證券，因此不違反證券法。但SEC辯稱，Koutoulas對其調查的質疑缺乏足夠的理由來撤銷傳票。[2023/7/15 10:56:30]

惡意去中心化交易所EveSwap為其用戶編寫了一個調用者程序。這個調用者程序通過空投EVE代幣來為用戶提供gas資助，并批量處理用戶的批準和轉賬事務。EveSwap的調用者程序看似無害，而且永遠不會竊取用戶的代幣，因為這樣馬上就會露餡。用戶很開心。交易都成功了，交易費也很便宜。幾個月來平安無事。然而，每當有人使用EveSwap交易AliceSwap的治理代幣ALI時，會自動將用戶的AliceSwap投票權委托給EveSwap。一旦授權人數達到某個閾值，EveSwap就會通過治理提案劫持AliceSwap。EveSwap用戶不太可能注意到這個過程，因為交易總是成功的，但是最終會給AliceSwap帶來毀滅性的打擊。跨鏈重放示例

BlockFi 債權人申請對 BlockFi 進行清算:6月28日消息，BlockFi 債權人申請對 BlockFi 進行清算，并表示包括 BlockFi 首席執行官 Zac Prince 在內的管理層始終在拖延破產程度推進，并在過程中存在欺詐等行為。債權人在提交的文件中表示，BlockFi 每月的管理費用為 1600 萬美元，并仍然在向 100 多人支付工資，但其中許多人除了打高爾夫球之外幾乎無所事事。[2023/6/28 22:05:51]

EIP3074合理地建議commit應該包含chainid。但是，這是由調用者，而非協議執行的。在另一條鏈上有著相同地址的調用者可能會跳過該檢查。EveSwap在兼容EVM的BobSpongeChain上運行，后者支持EIP3074。EveSwap在BobSpongeChain上部署了一個誠實的調用者。用戶使用該調用者在BobSpongeChain上交易，然后使用橋將資產轉移到以太坊上。EveSwap使用同一個部署密鑰在以太坊上部署了另一個地址相同的調用者。這個在以太坊上的調用者不會檢查commit，只會檢查ownerOnly，并充當其所有者的通用AUTH/AUTHCALL代理。這樣一來，EveSwap就可以劫持用戶在以太坊上的外部賬戶并卷走他們的資產了。用戶從未在以太坊上交易過，運行在BobSpongeChain上的調用者程序又經過了嚴格的安全審查。盡管如此，用戶還是丟失了全部資產。以太坊通過EIP155的重放保護來防范這種情況。AUTHCALL沒有重放保護。由于所有commit檢查都交給調用者完成，我們失去了以太坊提供的一切交易保護。攻擊是在所難免的，因為保護措施很隨意。如果要接受EIP3074，AUTH消息必須明確包含chainid，而非將其作為commit的一部分。我們還能采取什么別的手段？

Asproex（阿波羅）正式開通SNN/USDT交易對 開盤漲幅達183.33%:據官方消息，2020年9月14日16:00（UTC+8），Asproex（阿波羅）正式開通SNN/USDT交易對，開盤價格0.3USDT，現報價為0.85USDT(5.81元/枚)，開盤漲幅高達183.33%。

SNN基于Skynet公鏈及POS+POM+POS合成挖礦激勵機制，打造全民共建、全民共享、完全公平公正、安全、透明的去中心化超級挖礦，最終建立支持數字資產支付與結算、借貸 、投融 資等全方位服務的分布式數字資產金融基礎設施與生態。據悉SNN作為SN的子幣，總發行量為210萬，零流通全靠母幣產出，且每月減半。

Asproex（阿波羅）作為一家離岸銀行控股持牌交易平臺，也是一家涵蓋CTO企業通證上市的交易平臺，持有5國牌照，為全球中小微企業提供融資難的解決方案，助力數字化上市。[2020/9/14]

我的提議是實現一個更明確的機制，在協議層面強制規定commit的含義。commit結構將是類型化的，錢包會以用戶可讀的形式將commit呈現出來。用戶可以確切地知道事務是什么樣子的，并確信這個事務不會在任何鏈上重放，無需依賴于調用者程序開發者的品行和能力。一個可能的實現：AUTH將使用包含授權調用列表的類型化結構代替commit哈希值。每個調用都將指定{nonce,to,gas,calldata,value,chainid}。簽名將被驗證，整個授權調用列表將保存為authorized_transactions而非authorized地址變量。AUTHCALL將得到一個新的參數index，該參數指向最后一個AUTH創建的列表中的地址。用戶地址的nonce將隨AUTHCALL遞增。nonce并非由調用者存儲，而是實際的賬戶nonce。利：用戶可以清楚地了解情況。安全性由協議保障。依然支持批處理和賬戶抽象。弊：nonce實現，不支持并行。復雜調用者程序的事務處理起來很繁瑣，因為用戶必須查看并接受整個調用列表。不同的實現可能支持不同的nonce方案。但是，無論我們使用什么機制，該機制必須由協議而非調用者執行。無論如何都應該避免讓復雜調用者執行大量用戶調用。復雜操作應該作為普通的智能合約實現，而非嘗試實現使用多個外部賬戶調用的算法。替代方案：完全避免硬分叉

分析 | BTC多空開單量有一定下滑 Coinbase BTC/USD 對 Bitfinex 處正溢價 ?:據TokenGazer數據分析顯示，截止至6月17日17點整，BTC價格為$9,181.5，市值為162,493.3MM，主流交易所24H BTC交易量約為$1200.3MM，較此前有較大幅度提升，BTC價格持續繼續攀升，目前在9100點高位盤整；BTCUSD/Coinbase對BTCUSDT/Bitfinex已經從此前的負溢價狀態轉變為正溢價；算力方面，受益于價格的不斷抬升，BTC算力呈現持續上升態勢，有望沖擊新高；活躍地址數增幅放緩；期貨方面，多空開單量都有一定幅度下降。[2019/6/17]

還有一個選擇是完全避免AUTH機制，并通過vbuterin建議的另一種交易池來解決賬戶抽象和批量處理問題。利：無需硬分叉，可由智能合約和可以感知這些智能合約的節點支持。可用于一切支持EIP3074的實現，而不會引入額外的風險。弊：不向后兼容已有的外部賬戶。用戶需要部署一個合約錢包并將資產轉移到該錢包內。除非要求在不遷移的情況下支持已有的外部賬戶，否則這個選擇看起來更安全。原地址:https://blog.mycrypto.com/eip-3074/作者:MaartenZuidhoorn翻譯&校對:閔敏&阿劍

動態 | Huobi Wallet上增加對 TRON （TRX）:據Sludgefeed消息，Huobi Global已經在 Huobi Wallet上增加了對TRON（TRX）的支持，這是一個以安全為中心的移動錢包，允許用戶管理自己的私鑰。TRX現在加入BTC、BCH、USDT、ETH、EOS、ETC、LTC和所有ERC-20令牌，包括穩定幣USDT、PAX、TUSD、USDC和GUSD。Huobi還透露，它將推出一項TRX賞金計劃，以激勵用戶存儲他們的硬幣。[2018/11/21]

Tags：AUTHSWAPESWESWAPAuthencitySpiritSwapCheesecakeSwap TokenESWAP幣

幣安幣