أفضل خيط تويتر لليوم – أغسطس 19th

هل تعلم أن توقيعًا بسيطًا في ميتاماسك يمكنه إفراغ محفظتك؟

خسر مستخدم ذو خبرة كبيرة (من أفضل 10 حسب درجة Degen) ما يقرب من 500 ألف USDC في استغلال اليوم.

يمكن أن تكون أنت التالي...

موضوع قصير يوضح كيف حدث ذلك وكيف يمكنك تجنب مثل هذه الاستغلالات في المستقبل.

— korpi (@korpi87) أغسطس 19، 2022

كان بعد ظهر هادئًا عندما لاحظ جoes (اسم مستعار) مغادرة 469 ألف USDC لمحفظته.

لم تكن عملية تحويل بسيطة، ما يعني أن المهاجم لم يكن لديه على الأرجح وصول إلى محفظة جو.

كان عقدًا خبيثًا أفراغ جميع USDC من عنوانه... pic.twitter.com/pTgTjfMMeu

— korpi (@korpi87) أغسطس 19، 2022

هنا نحتاج إلى إيقاف القصة لشرح بعض الجوانب التقنية.

رمز USDC هو عقد على الإيثريوم. لديه العديد من الوظائف التي تحدد كيفية تفاعلنا مع USDC وما يمكن فعله به.

لنركز على وظيفتين:
> نقل
> نقل من طرف pic.twitter.com/gekVmjmwvW

— korpi (@korpi87) أغسطس 19، 2022

> نقل

عندما تنقل USDC (أو ERC20s الأخرى) بين المحافظ، تستخدم وظيفة النقل.

ينقل الرموز من المتصل (العنوان الذي يستدعي الوظيفة) إلى عنوان آخر.

لاستخدام وظيفة النقل بشكل ضار نيابة عنك، يجب أن يحصل شخص ما على التحكم في محفظتك. pic.twitter.com/3Z3pYbBnRq

— korpi (@korpi87) أغسطس 19، 2022

> نقل من طرف

عندما تتفاعل مع العقود، تستخدم وظيفة

إذا سمحت لعقد بإنفاق مبلغ لا نهائي من USDC، فيمكنه أخذه جميعًا.https://t.co/QdUgLuZfZH

— korpi (@korpi87) أغسطس 19، 2022

العودة إلى قصة جو...

تفاعل العقد المذكور سابقاً الذي أفرغ USDC الخاص بجو كان بالفعل دالة transferFrom.

ولكن وظيفة

وجو كان 100% مقتنعاً بأنه لم يوافق على أي شيء... pic.twitter.com/HH9xxYeQms

— korpi (@korpi87) أغسطس 19، 2022

انتظر لحظة...

سجل DeBank يظهر بوضوح موافقة لا نهائية على USDC للعقد الخبيث قبل 10 دقائق من الاستغلال...

هل وافق جoes فعليًا على ذلك؟

نعم. ولكن أيضًا لا. بشكل غير مباشر. pic.twitter.com/AqQQs7GZAV

— korpi (@korpi87) أغسطس 19، 2022

يوضح Etherscan أن الموافقة اللانهائية لم تكن ناتجة عن استدعاء دالة approve من قبل جو نفسه.

بل كانت دالة permit التي استُدعيت من عنوان آخر، ومنحت العقد الخبيث الإذن بإنفاق كل USDC الخاص بجو.

ماذا؟ كيف يمكن للآخرين الموافقة على العقود نيابة عنك؟ pic.twitter.com/TS3iDbhOXu

— korpi (@korpi87) أغسطس 19، 2022

تم تقديم دالة

تسمح للمستخدم بتعديل مبالغ الموافقة دون تقديم معاملة. توقيع كافٍ.

بتوقيعك، يمكن لأي شخص استدعاء دالة pic.twitter.com/hem0lPsnW1

— korpi (@korpi87) أغسطس 19، 2022

يمكنك رؤية التصريح في العمل عند استخدام 1 dApp.

إذا أردت بيع USDC، فلا داعي للموافقة عليه مسبقاً.
كل ما تحتاجه هو توقيع رسالة.

هذا التوقيع يمنح 1inch إذنًا بالإنفاق من كل USDC الخاص بك. لن يقوم 1inch بذلك، لكن عقدًا خبيثًا قد يفعل. pic.twitter.com/Dd7ggJFWtl

— korpi (@korpi87) أغسطس 19، 2022

يجب أن يكون جoes قد وقع عن طريق الخطأ على مثل هذه الرسالة على موقع ويب خبيث.

للأسف، هذه المرة استخدم محفظة ساخنة وكان التوقيع مجرد نقرة واحدة تبدو بريئة.

مع محفظة الأجهزة، سيكون هناك لحظة تفكير ثانية أثناء توقيع رسالة على الجهاز الخارجي.

— korpi (@korpi87) أغسطس 19، 2022

باستخدام توقيع جو، قدم مهاجم معاملة تحتوي على دالة permit.

وهذا منح العقد الخبيث الإذن بالإنفاق من كل USDC الموجود في محفظة جو.

ثم تم استدعاء دالة pic.twitter.com/1U6lWr9pmw

— korpi (@korpi87) أغسطس 19، 2022

يبدو أن التوقيعات يمكن أن تكون كارثية.

في بعض الحالات، تحذرك Metamask من أن توقيع رسالة يمكن أن يكون خطيرًا.

ولكن ليس في حالة الموافقات الموقعة التي تعمل تقنيًا كما هو مصمم ولكن يمكن أن تسبب الكثير من الضرر إذا تم إساءة استخدامها.https://t.co/5H9rNWVR3b

— korpi (@korpi87) أغسطس 19، 2022

كيف تتجنب استغلالات مماثلة في المستقبل؟

– لا توقع على كل شيء في Metamask.
– خصص وقتًا لفهم ما توقع عليه.
– كن حذرًا مع الموافقات التقليدية (انظر الموضوع المرتبط)https://t.co/549NmPly5s

— korpi (@korpi87) أغسطس 19، 2022

آمل أن تكون هذه السلسلة مفيدة لك.

تابعني @korpi87 تحقق من Notion الخاص بي: https://t.co/ZTqYKmhCNk لمزيد من المعلومات.

أعجب/أعد التغريد التغريدة الأولى أدناه لحماية الآخرين من استغلالات مماثلة: https://t.co/9pqCSXi9JH

— korpi (@korpi87) أغسطس 19، 2022

#الإيثريوم مشاكله ناتجة عن التحسين المستمر للاقتصاديات الرمزية على حساب اللامركزية والأمان والمرونة. يبدو أن الاندماج وإثبات الحصة (POS) سيؤديان إلى الاستحواذ التنظيمي الكامل من قبل البورصات المركزية ومنصات الرهان، ولا مخرج لهم. 🧵👇 pic.twitter.com/Ur9tf42K5p

— Samson Mow (@Excellion) أغسطس 19، 2022

إذن كيف وصلوا إلى هنا؟ قرارهم بتحديد متطلبات رهان بقيمة 32 إيثيريوم كجزء من البروتوكول (لحصر المعروض وتعظيم الاقتصاديات الرمزية). هذا جعل الإثبات حصة الملكية (POS) مركزًا قدر الإمكان، بالإضافة إلى أنهم لا يملكون ثقافة #Bitcoin "مفاتيحك ليست مفاتيحك، عملاتك ليست عملاتك". pic.twitter.com/Ml4QV93ECP

— Samson Mow (@Excellion) أغسطس 19، 2022

لذا الآن لديك 66 بالمائة من المدققين الذين يحتاجون إلى الالتزام بلوائح OFAC. ولا يمكن سحب ETH الذي قاموا برهانه لأن وظيفة السحب لم يتم برمجتها - بسبب الاقتصاديات الرمزية. 📈 pic.twitter.com/BdjFqYk70J

— Samson Mow (@Excellion) أغسطس 19، 2022

لكن انتظر! يمكن للمؤمنين بالإيثريوم ببساطة #UASF مثل أولئك الذين يتبعون تعاليم البيتكوين القصوى؟ مثل إظهار Coinbase تمامًا من هو الرئيس! pic.twitter.com/LBSRDOF79o

— Samson Mow (@Excellion) أغسطس 19، 2022

لا. أولاً، لا يشغل المؤمنون بالإيثريوم عقدًا خاصة بهم وثانيًا، تعتمد معظم الخدمات على Infura، لكن هذا ليس المشكلة الرئيسية. pic.twitter.com/8rI1FsDwuU

— Samson Mow (@Excellion) أغسطس 19، 2022

سأبدأ هذا الجزء التالي وأقول إن اعتقال المطورين لكتابة الكود أمر فظيع ويضع سابقة سيئة. ومع ذلك...

— Samson Mow (@Excellion) أغسطس 19، 2022

لـ #UASF تحتاج إلى برنامج للتشغيل. الآن جميع شوارد الإيثريوم لها أسماء مدن رائعة مثل إسطنبول ولندن وبرلين، إلخ. لنطلق على هذا الشارد الافتراضي لـ UASF الخاص بالإيثريوم اسم

— Samson Mow (@Excellion) أغسطس 19، 2022

طريقة أخرى لقول "منع رقابة المعاملات الخاضعة لعقوبات OFAC" قد تكون "المساعدة في التهرب من العقوبات". ربما نسينا فيرجيل. على أي حال، من سيبرمج بيونغ يانغ؟ تم اعتقال شخص Tornado Cash، لذا من المرجح أن يتم اعتقال مطوري بيونغ يانغ أيضًا. pic.twitter.com/HQNtkyTQkg

— Samson Mow (@Excellion) أغسطس 19، 2022

من سيشغل بيونغيانغ؟ الرجال الذين يشاركون بـ

— Samson Mow (@Excellion) أغسطس 19، 2022

حسنًا، إذن إيثريوم #UASF خارج الطاولة.

"لكن يمكننا فقط خصم عمولة من Coinbase والآخرين إذا تجرأوا على الامتثال!" pic.twitter.com/rmlgn8Cb2Y

— Samson Mow (@Excellion) أغسطس 19، 2022

قد أكون ماكسي بيتكوين بائعًا™ لكنني قضيت 10 دقائق في البحث ووجدت أنه لا توجد آلية لسحق Coinbase. لا يوجد كود للكشف عن معاقبة أي شخص على цензуرة المعاملات. تعمل آلية السحق فقط لمعاقبة انقطاع الخدمة أو التوقيع المزدوج.

— Samson Mow (@Excellion) أغسطس 19، 2022

لذا عدنا مرة أخرى إلى الحاجة إلى شارد بيونغيانغ الذي لن يقوم أحد ببرمجته أو تشغيله. حتى لو كان بإمكان بيونغيانغ الوجود، فلا توجد طريقة للمستخدمين لسحب ETH. وحتى لو تمكنوا من السحب، فلا يهم لأن Infura هو المهم فقط. pic.twitter.com/RQ44BWUqzE

— Samson Mow (@Excellion) أغسطس 19، 2022

بافتراض أن جميع النجوم تصطف سحرًا وكان هناك طريقة لمستخدمي الإيثريوم لسحق Coinbase وما إلى ذلك، ماذا يعني ذلك؟ يعني ذلك أن أصحاب الحصة الأقل سيكون لديهم آلية لمعاقبة الأغلبية بشكل تعسفي. هذا لن ينجح على المدى الطويل.

— Samson Mow (@Excellion) أغسطس 19، 2022

وهذا هو السبب في أننا نسمي #الإيثريوم #عملة_قمامة. إنه تمرين فاشل، مليء باختيار التصميم الرهيب، ومُصمم لغرض واحد فقط وهو ضخ العملة. pic.twitter.com/irYDrzJcOO

— Samson Mow (@Excellion) أغسطس 19، 2022