هل تعلم أن التوقيع البسيط في Metamask يمكن أن يستنزف محفظتك؟
هل تعلم أن التوقيع البسيط في Metamask يمكن أن يستنزف محفظتك؟
- كوربي (@ korpi87) 19 أغسطس 2022
خسر مستخدم ذو خبرة كبيرة (أعلى 10 نقاط في Degen Score) ما يقرب من 500 ألف دولار أمريكي في إحدى الاستغلالات اليوم.
يمكن أن تكون التالي...
موضوع قصير حول كيفية حدوث ذلك وكيف يمكنك تجنب مثل هذه الثغرات في المستقبل.
لقد كان عصرًا هادئًا عندما لاحظ جو (تم تغيير الاسم) أن مبلغ 469 ألف دولار أمريكي قد ترك محفظته.
- كوربي (@ korpi87) 19 أغسطس 2022
لم تكن عملية تحويل بسيطة، مما يعني أن المهاجم لم يتمكن على ما يبدو من الوصول إلى محفظة جو.
لقد كان عقدًا خبيثًا trac كل USDC من عنوانه… pic.twitter.com/pTgTjfMMeu
وهنا نحتاج إلى إيقاف القصة مؤقتًا لشرح بعض الجوانب الفنية.
- كوربي (@ korpi87) 19 أغسطس 2022
رمز USDC هو trac على Ethereum . وله العديد من الوظائف التي defi كيفية تفاعلنا مع USDC وما يمكن فعله به.
دعونا نركز على وظيفتين:
> النقل
> النقل من pic.twitter.com/gekVmjmwvW
> النقل
- كوربي (@ korpi87) 19 أغسطس 2022
عند نقل USDC (أو ERC20 الأخرى) بين المحافظ، فإنك تستخدم وظيفة النقل.
يقوم بنقل الرموز المميزة من المتصل (العنوان الذي يستدعي الوظيفة) إلى عنوان آخر.
لاستخدام التحويل بشكل ضار نيابةً عنك، سيتعين على شخص ما التحكم في محفظتك. pic.twitter.com/3Z3pYbBnRq
> نقل من
- كوربي (@ korpi87) 19 أغسطس 2022
عندما تتفاعل مع trac ، فإنها تستخدم النقل من لنقل الرموز المميزة الخاصة بك. يمكنهم الحصول على ما يصل إلى مبلغ البدل الذي قمت بتعيينه في وظيفة الموافقة.
إذا سمحت لعقد trac بإنفاق مبلغ لا نهائي من USDC، فيمكن أن يأخذ كل شيء. https://t.co/QdUgLuZfZH
عودة إلى قصة جو...
- كوربي (@ korpi87) 19 أغسطس 2022
إن تفاعل العقد المذكور أعلاه trac استنزف USDC الخاص بـ Joe كان بالفعل وظيفة نقل من.
لكن التحويل من لن ينجح إلا إذا وافق جو على العقد trac USDC الخاص به.
وكان جو مقتنعًا بنسبة 100% بأنه لم يوافق على أي شيء… pic.twitter.com/HH9xxYeQms
انتظر لحظة...
- كوربي (@ korpi87) 19 أغسطس 2022
يُظهر سجل DeBank بوضوح موافقة USDC غير المحدودة على العقد الخبيث trac 10 دقائق من الاستغلال...
هل وافق جو بالفعل على ذلك؟
نعم. ولكن أيضا لا. لا مباشرة. pic.twitter.com/AqQQs7GZAV
يكشف Etherscan أن الموافقة اللانهائية لم تكن وظيفة الموافقة التي دعا إليها جو نفسه.
- كوربي (@ korpi87) 19 أغسطس 2022
لقد تم استدعاء وظيفة السماح بواسطة عنوان آخر ومنحت العقد الخبيث trac على إنفاق كل USDC الخاص بـ Joe.
ماهذا الهراء؟ كيف يمكن للآخرين الموافقة على trac عنك؟ pic.twitter.com/TS3iDbhOXu
تم تقديم وظيفة التصريح لتحسين تجربة المستخدم على Ethereum .
- كوربي (@ korpi87) 19 أغسطس 2022
يسمح للمستخدم بتعديل مبالغ الموافقة دون تقديم معاملة.
التوقيع يكفي من خلال توقيعك، يمكن لأي شخص الاتصال بوظيفة التصريح وتحديث مخصصاتك للمنفق. pic.twitter.com/hem0lPsnW1
يمكنك رؤية التصريح قيد التنفيذ عند استخدام تطبيق dApp مقاس 1 بوصة.
- كوربي (@ korpi87) 19 أغسطس 2022
إذا كنت ترغب في بيع USDC، فلا يتعين عليك الموافقة عليه أولاً.
كل ما تحتاجه هو التوقيع على الرسالة.
يمنح هذا التوقيع 1 بوصة الإذن بإنفاق كل ما لديك من USDC. 1 بوصة لن تفعل ذلك ولكن يمكن أن يكون trac pic.twitter.com/Dd7ggJFWtl
يجب أن يكون جو قد dent على مثل هذه الرسالة على موقع ويب ضار.
- كوربي (@ korpi87) 19 أغسطس 2022
لسوء الحظ، هذه المرة استخدم محفظة ساخنة وكان التوقيع مجرد نقرة واحدة تبدو بريئة.
باستخدام محفظة الأجهزة، ستكون هناك لحظة تفكير ثانية أثناء توقيع رسالة على الجهاز الخارجي.
بتوقيع جو، أرسل ممثل خبيث معاملة ذات وظيفة تصريح.
- كوربي (@ korpi87) 19 أغسطس 2022
لقد أعطت الاتفاقية الخبيثة trac بإنفاق كل USDC من محفظة Joe.
ثم تم استدعاء وظيفة TransferFrom واستنزفت الاتفاقية الخبيثة trac . pic.twitter.com/1U6lWr9pmw
يبدو أن التوقيعات يمكن أن تكون كارثية.
- كوربي (@ korpi87) 19 أغسطس 2022
في بعض الحالات، سيحذرك Metamask من أن توقيع الرسالة قد يكون خطيرًا.
ولكن ليس في حالة الموافقات الموقعة التي تعمل من الناحية الفنية كما تم تصميمها ولكنها يمكن أن تسبب الكثير من الضرر في حالة إساءة استخدامها. https://t.co/5H9rNWVR3b
كيفية تجنب مآثر مماثلة في المستقبل؟
- كوربي (@ korpi87) 19 أغسطس 2022
– لا تقم بالتوقيع على كل شيء في Metamask.
– اقضِ بعض الوقت في فهم ما توقعه.
– كن حذرًا مع الموافقات التقليدية (انظر الموضوع المرتبط) https://t.co/549NmPly5s
أتمنى أن تجد هذا الموضوع مفيدا.
- كوربي (@ korpi87) 19 أغسطس 2022
اتبعني @korpi87 وتحقق من فكرتي: https://t.co/ZTqYKmhCNk للمزيد.
قم بالإعجاب/إعادة التغريد بالتغريدة الأولى أدناه لحماية الآخرين من عمليات استغلال مماثلة: https://t.co/9pqCSXi9JH
هل سيؤدي اندماج Ethereum إلى الاستيلاء التنظيمي؟
# Ethereum إلى التحسين المستمر للرموز المميزة على حساب اللامركزية والأمن والمرونة. يبدو أن عملية الدمج ونقاط البيع ستؤدي إلى الاستيلاء التنظيمي الكامل من خلال البورصات المركزية ومنصات التحصيص، ولا يوجد مخرج لهم. 🧵👇 pic.twitter.com/Ur9tf42K5p
– شمشون ماو (@Excellion) 19 أغسطس 2022
إذن كيف وصلوا إلى هنا؟ اتخاذ قرار بشأن متطلبات 32 ETH للمشاركة كجزء من البروتوكول (من أجل تأمين العرض وتعظيم الاقتصادات الرمزية). Bitcoin إلى جعل نقاط البيع مركزية قدر الإمكان، بالإضافة إلى أنها لا تمتلك #Bitcoin التي لا تتضمن مفاتيحك، ولا عملاتك المعدنية. pic.twitter.com/Ml4QV93ECP
– شمشون ماو (@Excellion) 19 أغسطس 2022
إذن لديك الآن 66% من المدققين الذين يحتاجون إلى الالتزام بلوائح مكتب مراقبة الأصول الأجنبية (OFAC). ولا يمكن سحب عملة الإيثيريوم (ETH) التي قاموا بإيداعها على الحصة لأن وظيفة السحب لم تكن مشفرة - بسبب علم الرموز. 📈 pic.twitter.com/BdjFqYk70J
– شمشون ماو (@Excellion) 19 أغسطس 2022
لكن انتظر! هل يستطيع الأثيريون #UASF أن يعجبوا بـ Bitcoin Maxi، أليس كذلك؟ مثل إظهار Coinbase تمامًا من هو الرئيس! pic.twitter.com/LBSRDOF79o
– شمشون ماو (@Excellion) 19 أغسطس 2022
لا. أولاً، لا يقوم الأثيريون بتشغيل العقد الخاصة بهم، وثانيًا، تعتمد معظم الخدمات على Infura، لكن هذه ليست المشكلة الرئيسية. pic.twitter.com/8rI1FsDwuU
– شمشون ماو (@Excellion) 19 أغسطس 2022
سأقدم هذا الجزء التالي وأذكر أن اعتقال المطورين لكتابة التعليمات البرمجية هو أمر فظيع ويشكل dent رهيبة. هكذا قال…
– شمشون ماو (@Excellion) 19 أغسطس 2022
إلى #UASF تحتاج إلى برنامج للتشغيل. الآن جميع Ethereum تحمل أسماء مدن رائعة مثل إسطنبول ولندن وبرلين وما إلى ذلك. دعنا نسمي هذا الشوكة الافتراضية لـ Ethereum UASF اسم "بيونغ يانغ". ستمنع بيونغ يانغ Coinbase وأغلبية 66٪ من فرض رقابة على المعاملات التي يفرضها مكتب مراقبة الأصول الأجنبية.
– شمشون ماو (@Excellion) 19 أغسطس 2022
هناك طريقة أخرى لقول "منع الرقابة على المعاملات الخاضعة لعقوبات مكتب مراقبة الأصول الأجنبية" وهي "المساعدة في التهرب من العقوبات". ربما نسينا أمر فيرجيل. وعلى أية حال، من الذي سيقوم بتشفير بيونغ يانغ؟ Tornado Cash لذا من المحتمل أن يتم القبض على مطوري بيونج يانج أيضًا. pic.twitter.com/HQNtkyTQkg
– شمشون ماو (@Excellion) 19 أغسطس 2022
من سيحكم بيونغ يانغ؟ الرجال الذين يشيرون بـ "X 🏴"؟ هل سيقومون بربط عقدة بيونغ يانغ الخاصة بهم بحسابهم على نطاق .eth أيضًا؟ من defi أن Coinbase وKraken و Bitcoin Suisse وغيرهم ممن يشكلون الأغلبية البالغة 66% لا يديرون بيونغ يانغ.
– شمشون ماو (@Excellion) 19 أغسطس 2022
حسنًا ، Ethereum #UASF خارج الطاولة.
– شمشون ماو (@Excellion) 19 أغسطس 2022
"ولكن يمكننا فقط خفض Coinbase وغيرها إذا تجرأوا على الامتثال!" pic.twitter.com/rmlgn8Cb2Y
قد أكون من مستخدمي Bitcoin Maxi™ المثيرين للشفقة، لكنني أمضيت 10 دقائق في البحث ووجدت أنه لا يوجد آلية لخفض Coinbase. لا يوجد قانون لكشف ومعاقبة أي شخص بسبب فرض رقابة على المعاملات. تعمل آلية القطع فقط على معاقبة التوقف أو التوقيع المزدوج.
– شمشون ماو (@Excellion) 19 أغسطس 2022
لذلك عدنا مرة أخرى إلى الحاجة إلى شوكة بيونغ يانغ التي لن يقوم أحد بتشفيرها أو تشغيلها. حتى لو كان من الممكن أن تكون بيونغ يانغ موجودة، فلا توجد طريقة للمستخدمين لسحب ETH. وحتى لو تمكنوا من الانسحاب، فلا يهم لأن Infura فقط هو الذي يهم. pic.twitter.com/RQ44BWUqzE
– شمشون ماو (@Excellion) 19 أغسطس 2022
بافتراض أن جميع النجوم مصطفة بطريقة سحرية وكان هناك طريقة لمستخدمي Ethereum لخفض Coinbase وما إلى ذلك، ماذا يعني ذلك؟ وهذا يعني أن أصحاب المصلحة من الأقلية سيكون لديهم آلية لمعاقبة الأغلبية بشكل تعسفي. هذا لن ينجح على المدى الطويل.
– شمشون ماو (@Excellion) 19 أغسطس 2022
ولهذا السبب نطلق على # Ethereum اسم العملة_القذرة . إنه تمرين لا جدوى منه، ومليء بخيارات التصميم الفظيعة، وتم تصميمه لغرض وحيد هو ضخ الرمز المميز. pic.twitter.com/irYDrzJcOO
– شمشون ماو (@Excellion) 19 أغسطس 2022
