50萬美元的血淚教訓：一個簡單的簽名如何導致資產被盜？_USD:JOE

作者：@korpi87

編譯：Kxp，BlockBeats

當“小狐貍”錢包跳出授權錢包時，要先了解清楚這個簽名的意義及細節。

你可能很難想象，Metamask中一個簡單的簽名就能掏空你的錢包。但這樣的事卻發生在了一名資深用戶身上，今天他因一個漏洞損失了近50萬USDC。如果不多加小心的話，你可能就是下一個他。所以，今天我想和大家講講這件事的來龍去脈，告訴大家以后如何注意此類問題。

那是在一個安靜的午后時分，Joe突然發現自己的錢包被轉走了46.9萬USDC。這次轉賬并不簡單，肯定不是攻擊者能做出的行為，因為他們根本不可能得到Joe錢包的權限。那就說明，轉走他所有USDC的應該是某個惡意合約。

CleanSpark二季度收入4550萬美元，同比增幅47%:金色財經報道，CleanSpark 發布了截至2023 年 6 月 30 日 的三個月財務業績，該季度的收入為 4550 萬美元 ，比去年同期的3100 萬美元增加了1450 萬美元 ， 增幅為47%。截至2023 年 6 月 30 日的季度凈虧損為 (1,420 萬美元) ，而上年同期的凈虧損為 (2,930 萬美元) 。公司現金為 2180萬美元，持有的比特幣價值為1390萬美元。

首席執行官Zach Bradford表示：“我們已為運營哈希率增長至 16 EH/s 提供了充足的資金，包括礦機、設施和其他基礎設施，季度增長和收入均創歷史新高”。[2023/8/10 16:16:41]

在講述今天的故事之前，我需要先向大家解釋一些術語。USDC是以太坊上的一個具有多種功能的合約，規定了我們可以如何使用USDC。

CBDC技術開發商Fluency以2350萬美元估值完成130萬美元種子輪融資:9月9日消息，CBDC技術開發商Fluency宣布以2350萬美元估值完成130萬美元種子輪融資，多家歐洲投資方參投。該公司的專有技術Aureum是一個企業智能合約平臺，允許在央行、商業銀行、商家和消費者之間發行、分發和交易多種CBDC。Fluency CEO Inga Mullins稱其平臺能從頭開始幫助構建和部署CBDC網絡，并為央行提供各種靈活功能，包括離線支付、跨境CBDC匯款、政策隔離、隱私協議等。自2021年2月推出Aureum的CBDC原型以來，歐美已有幾家央行有興趣將Aureum當作CBDC技術提供商。該公司董事包括Coinbase UK前CEO Zeeshan Feroz及德國前高級財務顧問Glenn Kim。總部位于倫敦，在紐約和都柏林設有子公司。（finextra）[2021/9/9 23:11:48]

在眾多功能當中，我們需要特別關注下面兩項功能：

動態 | XTZ 交易量昨日達7950萬美元 創下歷史新高:據加密數據統計網站推文Messari顯示，2月9日Tezos（XTZ）的實際交易量為7950萬美元，創下了歷史新高。這個數據 2月3日創下的5380萬美元的歷史高點高出 50%。隨后在價格出現調整后，Tezos交易量與11月7日的交易量大致相同（Coinbase 宣布上線 XTZ 的后一天）。[2020/2/10]

轉賬

代轉

當你需要在錢包之間轉移USDC，或其他ERC20s時，就需要用到轉賬功能。它可以將Token從調用者轉移到其他地址。如果有人能以你的名義惡意使用該功能，那么他一定得先掌握了你錢包的全部權限才行。

動態 | 金融科技公司Token獲法國巴黎銀行等注資1650萬美元:據cointelegraph報道，金融科技公司Token已經從投資者那里獲得了1650萬美元的注資，其中包括銀行巨頭法國巴黎銀行（BNP Paribas）的風險投資部門。Token表示將利用這筆資金進一步開發其TokenOSTM操作系統，并通過數字貨幣和ID解決方案加速創新支付的新方式。其他投資者包括Octopus Ventures和EQT Ventures。[2019/6/20]

當你與合約產生互動時，它們會通過代轉功能來轉移你的Token，具體金額由你提前預設好的比例決定。因此，如果你允許一項合約轉移無限量的USDC，那么理論上它就可以拿走你所有的USDC。

現在讓我們回到Joe的故事當中，轉走他全部USDC的確實就是transferFrom功能。然而，只有當Joe批準合約使用他的USDC時，transferFrom才能發揮作用。但事實上，Joe堅信自己沒有批準任何事項。

可是，DeBank的交易記錄清楚地顯示，在漏洞發生前10分鐘，該惡意合約可以無限使用賬戶中的USDC。那么問題就在于，如果不是Joe本人的話，究竟是誰給了該合約這一項批準呢？我只能說，Joe確實批準了這一操作，但卻是在他不知情的情況下完成的。

Etherscan上的信息顯示，Joe本人確實沒有調用該功能，真正批準了這一額度的是其他地址，這才讓惡意合約得以花光Joe全部的USDC。

我們不禁疑問，別人怎么能代替我給予合約許可呢？

許可功能的引入原本是為了改善以太坊的用戶體驗，它只需一個簽名就可以讓用戶在不提交交易的情況下修改批準金額。也就是說，只要有了你的簽名，任何人都可以調用許可功能，并更新你對合約的批準額度。

當你使用1inchdApp時，你就可以體驗到這一功能。如果你想在上面出售USDC，那你并不需要事先批準，只需要簽上你的名字就夠了。有了這個簽名，1inch便獲取了你全部USDC的使用權限。雖然1inch不會無緣無故花光你所有的USDC，但這卻給了惡意合約機會。

Joe一定是不小心在一個惡意網站上簽署了這樣的信息。不幸的是，那一次他用的是熱錢包，簽名只是隨手點擊一下就完成了。如果他用的是硬件錢包的話，就需要在外部設備上簽署信息，那么還會有一個思考的時間。

有了Joe的簽名，其他地址便可以提交一個帶有許可功能的交易，這樣惡意合約就獲取了Joe錢包全部USDC的使用權限。然后，只要它調用transferFrom功能，就可以轉走全部這些資金了。

所以說，一個看似小小的簽名卻可以引來巨大的災難。在某些情況下，Metamask會在你準備簽名是對你發出警告，告知你其中的危險性。簽署一個信息可能是危險的。但一些技術層面上的批準簽名卻不會收到預警，但這些一旦濫用往往會造成巨額的損失。

如何避免今后遇到類似的問題？

1.不要在Metamask中簽署一切內容；

2.花點時間了解你所簽署的內容；

3.對傳統的批準事項要格外小心。

Tags：USDSDCUSDCJOEusdt幣交易違法嗎usdc幣最新消息husdc幣Joey Inu

XRP