TokenPocket フラッシュ交換サービス プロバイダーが盗難されました。開いた「無制限の認証」の数をすぐに確認してください

本日、クロスチェーンDEXアグリゲーターであるTransit Swapが攻撃され、多数のユーザーの資金がウォレットから引き出されました。現時点での推定損失額は2,300万米ドルを超えています。

盗難の発見後、Transit Swap の技術チームはサービスを緊急停止し、契約は完全に停止され、操作は実行できなくなりました。プレスリリースに先立って、Transit Swapは、前回のハッキング事件の原因はコードエラーであり、ハッカーのIP、電子メールアドレス、および関連するオンチェーンアドレスが特定されたと公式に発表した。 Transit Swap チームは、ハッカーを追跡し、ユーザーが損失を回復できるよう彼らと通信するよう全力を尽くすと述べた。

SlowMist の分析によると、この攻撃の主な理由は、トランジット スワップ プロトコルがトークン交換中にユーザーによって渡されたデータを厳密にチェックしなかったため、恣意的な外部呼び出しの問題が発生したことです。具体的には、ルーティング コントラクト自体は、transferFrom パラメーターに制限を課さず、解析されたエクスチェンジ コントラクト アドレスと通話データをチェックしません。攻撃者は、ルーティングプロキシコントラクト、ルーティングブリッジコントラクト、権限管理コントラクトが受信データをチェックしないという欠点を利用し、ルーティングエージェントコントラクトを介してルーティングブリッジコントラクトのcallBytes関数を呼び出し、構築したデータを転送する。すべての権限を盗む 認可のための契約を管理するユーザーのトークン。

現在、ハッカーは 2,500 BNB を Tornado Cash に送金しており、残りの資金はハッカーのアドレスに分散されています。ハッカーの痕跡を分析した結果、ハッカーがLATOKENなどのプラットフォームで入出金した痕跡があることが判明した。

さらに、セキュリティチームのペックシールドはハッカーの資金の流れを確認した。

副題

フラッシュ交換とは何ですか？

現在、ほぼすべてのウォレットにDeFi機能が組み込まれており、一部のウォレットでは使いやすさを追求して「フラッシュエクスチェンジ」の概念を生み出し、応用しています。

いわゆるフラッシュ交換はウォレットと深く統合されており、より明確な独立した入り口、より単純な操作プロセス、および製品の操作がより便利です。 Quick Exchange を使用するユーザーは、暗号化された資産のトランザクションを簡単かつ迅速に完了できます。たとえば、「承認」操作は通常、簡単なワンクリック操作でトランザクション プロセスに統合されており、ユーザーはほとんど影響を受けません。

副題

契約の承認にはどれだけのリスクが隠されているのでしょうか?

「誰もあなたの暗号化された資産を強制的に持ち出すことはできない」というのが、ブロックチェーンの特性に関する投資家の間での広範なコンセンサスです。チェーン上の資産がウォレットによって所有されると、それらを転送する強制的な手段はありません。しかし、オンチェーントランザクションに DEX を使用する場合、DEX はどのようにしてある資産を取得し、それを別の資産に転送するのでしょうか?

ライセンスがこれらすべての鍵となります。ユーザーはDEX上で資産を売却する前に「承認」操作を行う必要があり、この操作の後、コントラクトはユーザーの特定のトークンを使用する権限を持ちます。

副題

監査＝セキュリティ？

契約に承認後に暗号化資産を転送する機能がある場合でも、この機能は合理的な範囲内でのみ使用するのが安全です。また、信頼できるセキュリティ機関による監査を受けていれば、この機能が悪用されることはなく、ユーザーが取引を行う際に取引金額に必要な資産のみが転送されるということでしょうか。

静的な観点から見ると、このロジックは有効です。 Uniswap と同様に、いつでもユーザーのウォレットを空にする機能がありますが、実際には空になりません。しかし、動的な観点から見ると、このロジックは依然として危険です。

現代のソフトウェア開発において、アップグレードは不可欠な能力です。スマートコントラクトについても同様です。 Solidityスマートコントラクトでは、トランスペアレントとUUPSの2つのアップグレード方法があり、この2つの機能により、契約代行とアップグレードが業界ではほぼ標準的な契約構成となっています。

プロジェクト当事者はどのように契約をアップグレードしますか?通常、ユーザーがアクセスするコントラクトは、ビジネスロジックを直接実行するコアコントラクトではなく「プロキシコントラクト」であり、ユーザーリクエストを受信したプロキシコントラクトは、リクエストをコアビジネスコントラクトに転送し、その後ビジネスコントラクトが処理します。それ。契約アップグレードは、最終的に転送されるビジネス契約を置き換えることです。簡単に言うと、スマートコントラクトは変更できませんが、ユーザーが最終的にアクセスしてビジネスロジックを実行するコントラクトは置き換えることができます。これは業界では一般的な慣行でもあります。

そして、最も安全な契約であっても、「契約のアップグレード」が行われる限り、その業務契約は変更され、以前の監査報告書は紙くずとなります。

副題

無制限のライセンスはどのくらい危険ですか?

幸いなことに、認証は、ユーザーがいつでもウォレットを空にする危険にさらされることを意味するものではありません。認可メカニズムのもう 1 つの重要なルールは、認可には数量が含まれるということです。ユーザー「承認」は一定数のトークンを契約し、そのコントラクトは最大でもその量しか使用できず、ウォレット内にそれ以上のトークンがあってもコントラクトは使用できなくなります。

しかし、危険なのは、ほとんどの DeFi 契約が不謹慎にもユーザーに「無制限の承認」を求めていることです。つまり、デフォルトでは、ユーザーが承認するトークンの数は無制限です。

副題

ユーザーはどうすればそれを防ぐことができるでしょうか?

許可がなければ、セキュリティ上のリスクはありません。チェーン上で操作を実行する際、承認操作が必要な場合、ユーザーは「使用量と付与量」の原則に従う必要があります。 1000 TOKEN だけを販売する必要がある場合は、承認額を手動で 1000 に変更する必要があります。これは、契約転送額を計算するときに累積されます。つまり、1000 のみが承認され、このトランザクションの金額がちょうど 1000 である場合、契約承認額はちょうど使い果たされたことになります。将来的に契約にセキュリティリスクがあったとしても、ユーザーのウォレットから資産を移すことはできなくなります。

(承認金額はユーザーが手動で変更できます)

許可されたユーザーの場合は、認証解除操作を開始することもできます。 (興味深い詳細は、イーサリアムが「認証解除」をサポートしていないことです。これは基本的に「0」金額で契約を認証します。)

一般的に使用される認証解除 Web サイトは次のとおりです (セキュリティ会社 SlowMist が推奨)。

1. Dappstar：https://tac.dappstar.io/#/

2. Revoke：https://revoke.cash/

3. Approved.zone：https://approved.zone/

4. Rabby Wallet 

副題

https://cn.etherscan.com/tokenapprovalchecker

https://bscscan.com/tokenapprovalchecker

DeFiの盗難の責任は誰にありますか?

「暗い森」はチェーン上の秩序について広く流通している説明であり、この世界の危険性と高いリスクをユーザーに思い出させるものでもあります。しかし、このようなセキュリティインシデントが何度も発生する場合、本当にそのすべてがユーザーのセキュリティ意識に起因すると言えるのでしょうか?

このようなインシデントでは、DeFi プロジェクトによる無制限のユーザー認証要求が隠れた危険の根源であり、ほとんどすべてのプロジェクトで認証を要求する際のデフォルト オプションは無制限の認証です。ユーザーは手動で変更できますが、責任ある市場が投資家保護とユーザー教育に責任を負う必要があります。

認可の危険性をまだ認識していない暗号通貨ユーザーは何人いるでしょうか?この文脈で、プロジェクト当事者は依然として非常に危険な無制限の認可を求めています。

DeFi における認証の乱用は業界で長い間一般的に行われており、このハイリスクな状況はほぼすべてのユーザーの膨大な資産を危険にさらします。その影響は広範囲に及び、広範囲に及び、隠れた危険は巨大です。はまだ比較できるセキュリティ リスクではありません。このリスクは、「誰もウォレット内のコインを受け取ることはできない」という単純な直感に根本的に違反します。これは、業界が常に直面する必要があるリスクと課題でもあります。

シェンユーさんは盗難事件発生後、ツイッターで「認可機能の使用を標準化し、使いたいだけ認可を使用し、無制限に認可を使用しないことをプロジェクト関係者に訴えます。皆さん安心してください」と訴えた。

分散化はチャンスとリスクに満ちています。暗号通貨の当初のビジョンを覚えていますか? 「あなたの資産を保護してください。誰もあなたのウォレット内の暗号通貨を持ち出すことはできません。」 良性の注文の確立には、すべての一般ユーザーが安全に暗号化技術を使用できるようにするための複雑なコードや曖昧な概念は必要ありません。業界のすべての参加者。