加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads
首頁 > FIL > Info

一個簡單的簽名如何導致50萬美元被盜?_USDC:usdc幣倒閉的可能性大嗎

Author:

Time:1900/1/1 0:00:00

原文作者:@korpi87

原文編譯:Kxp,BlockBeats

你可能很難想象,Metamask中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上,今天他因一個漏洞損失了近50萬USDC。如果不多加小心的話,你可能就是下一個他。所以,今天我想和大家講講這件事的來龍去脈,告訴大家以后如何注意此類問題。

那是在一個安靜的午后時分,Joe突然發現自己的錢包被轉走了46.9萬USDC。這次轉賬并不簡單,肯定不是攻擊者能做出的行為,因為他們根本不可能得到Joe錢包的權限。那就說明,轉走他所有USDC的應該是某個惡意合約。

烏克蘭總統Volodymyr Zelenskyy簽署第一個國家NFT系列“UACatsDivision”:金色財經報道,烏克蘭總統Volodymyr Zelenskyy簽署了該國第一個國家NFT系列,這個被批準的NFT名稱為“UACatsDivision”,據悉烏克蘭政府已投資此NFT系列。(Investing)[2023/4/10 13:54:42]

在講述今天的故事之前,我需要先向大家解釋一些術語。USDC是以太坊上的一個具有多種功能的合約,規定了我們可以如何使用USDC。

在眾多功能當中,我們需要特別關注下面兩項功能:

以太坊開放者會議:或將在合并之前啟動最后一個合并測試網:1月7日,以太坊核心開發者進行電話會議。以太坊開發者Tim Beiko更新會議內容表示,以太坊2.0測試網Kintsugi進行了大量測試,但以太坊開發者MariusVanDerWijden再次成功破解網絡,網絡約13小時沒有產生區塊。希望再啟動一個合并測試網,這可能是合并之前的最后一個。此外,將于1月21日進行下次電話會議。[2022/1/10 8:37:05]

轉賬

代轉

當你需要在錢包之間轉移USDC,或其他ERC20s時,就需要用到轉賬功能。它可以將Token從調用者轉移到其他地址。如果有人能以你的名義惡意使用該功能,那么他一定得先掌握了你錢包的全部權限才行。

聲音 | 泰康保險集團創始人:區塊鏈等把人類社會帶到了一個數據的時代:金色財經報道,泰康保險集團創始人、董事長兼CEO陳東升演講表示,今天互聯網、人工智能、區塊鏈、大數據、云計算,把人類社會帶到了一個數據的時代。[2019/11/27]

當你與合約產生互動時,它們會通過代轉功能來轉移你的Token,具體金額由你提前預設好的比例決定。因此,如果你允許一項合約轉移無限量的USDC,那么理論上它就可以拿走你所有的USDC。

現在讓我們回到Joe的故事當中,轉走他全部USDC的確實就是transferFrom功能。然而,只有當Joe批準合約使用他的USDC時,transferFrom才能發揮作用。但事實上,Joe堅信自己沒有批準任何事項。

可是,DeBank的交易記錄清楚地顯示,在漏洞發生前10分鐘,該惡意合約可以無限使用賬戶中的USDC。那么問題就在于,如果不是Joe本人的話,究竟是誰給了該合約這一項批準呢?我只能說,Joe確實批準了這一操作,但卻是在他不知情的情況下完成的。

Etherscan上的信息顯示,Joe本人確實沒有調用該功能,真正批準了這一額度的是其他地址,這才讓惡意合約得以花光Joe全部的USDC。

我們不禁疑問,別人怎么能代替我給予合約許可呢?

許可功能的引入原本是為了改善以太坊的用戶體驗,它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說,只要有了你的簽名,任何人都可以調用許可功能,并更新你對合約的批準額度。

當你使用1inchdApp時,你就可以體驗到這一功能。如果你想在上面出售USDC,那你并不需要事先批準,只需要簽上你的名字就夠了。有了這個簽名,1inch便獲取了你全部USDC的使用權限。雖然1inch不會無緣無故花光你所有的USDC,但這卻給了惡意合約機會。

Joe一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是,那一次他用的是熱錢包,簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話,就需要在外部設備上簽署信息,那么還會有一個思考的時間。

有了Joe的簽名,其他地址便可以提交一個帶有許可功能的交易,這樣惡意合約就獲取了Joe錢包全部USDC的使用權限。然后,只要它調用transferFrom功能,就可以轉走全部這些資金了。

所以說,一個看似小小的簽名卻可以引來巨大的災難。在某些情況下,Metamask會在你準備簽名是對你發出警告,告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警,但這些一旦濫用往往會造成巨額的損失。

如何避免今后遇到類似的問題?

1.不要在Metamask中簽署一切內容;

2.花點時間了解你所簽署的內容;

3.對傳統的批準事項要格外小心。

Tags:USDCUSDSDCJOEusdc幣倒閉的可能性大嗎bitkeep的usdt怎么轉賬出來USDC幣joe幣創始人

FIL
一文看懂Frax Finance AMO:如何成為DeFi中的「美聯儲」?_FRA:AMO

原文作者:IshanB 原文編譯:深潮TechFlowDeFi將會成為互聯網的貨幣基礎設施層,而FraxFinance將會成為它的中央銀行.

1900/1/1 0:00:00
Chiliz 價格預測:CHZ/USD 多頭未能突破阻力位_CHI:GAR

加入我們的電報頻道,了解最新的突發新聞報道由于CHZ/USD的交易活動以非常強的購買壓力開盤,買家今天開始表現強勁。看漲勢頭旨在突破0.23292657美元的阻力位.

1900/1/1 0:00:00
Horizen (ZEN)_HOR:ORIGEN

一、項目介紹 Horizen的使命是通過建立一個公平和包容的生態系統來增強人們的能力并將世界團結在一起,每個人的貢獻都會得到回報.

1900/1/1 0:00:00
XT.COM關於暫停DEL提現的公告_COM:BHTT

尊敬的XT.COM用戶:因DEL錢包升級維護,XT.COM現已暫停DEL提現業務。給您帶來的不便,請您諒解!感謝您對XT.COM的支持與信任.

1900/1/1 0:00:00
CoinW即將上線WOM_OIN:Coinw

尊敬的CoinW用戶: CoinW預計于2022/8/30在DeFi專區上線WOM/USDT交易對,具體上線時間請關注最新公告.

1900/1/1 0:00:00
Ongoing Spot Campaigns_USD:USDC

親愛的KuCoin用戶,我們非常高興能同USDC共同舉辦這次金秋狂歡節,為您帶來更豐盛的活動福利。本次活動將持續整個九月,多樣活動,多重驚喜.

1900/1/1 0:00:00
ads