Sai che una semplice firma in Metamask può prosciugare il tuo portafoglio?
Sai che una semplice firma in Metamask può prosciugare il tuo portafoglio?
— Korpi (@korpi87) 19 agosto 2022
Un utente molto esperto (tra i primi 10 secondo Degen Score) ha perso oggi quasi 500.000 USDC in un exploit.
Potresti essere il prossimo...
Un breve thread su come è successo e come evitare tali exploit in futuro.
Era un pomeriggio tranquillo quando Joe (nome cambiato) notò che 469k USDC avevano lasciato il suo portafoglio.
— Korpi (@korpi87) 19 agosto 2022
Non si è trattato di un trasferimento semplice, il che significa che a quanto pare l'aggressore non ha avuto accesso al portafoglio di Joe.
È stato un contratto dannoso trac ha prosciugato tutti gli USDC dal suo indirizzo... pic.twitter.com/pTgTjfMMeu
Qui dobbiamo mettere in pausa la storia per spiegare alcuni aspetti tecnici.
— Korpi (@korpi87) 19 agosto 2022
Il token USDC è un trac su Ethereum . Ha molte funzioni che defi il modo in cui interagiamo con USDC e cosa si può fare con esso.
Concentriamoci su due funzioni:
> trasferimento
> trasferimentoDa pic.twitter.com/gekVmjmwvW
> trasferimento
— Korpi (@korpi87) 19 agosto 2022
Quando sposti USDC (o altri ERC20) tra portafogli, utilizzi la funzione di trasferimento.
Sposta i token dal chiamante (l'indirizzo che chiama la funzione) ad un altro indirizzo.
Per utilizzare in modo dannoso il trasferimento per tuo conto, qualcuno dovrebbe prendere il controllo del tuo portafoglio. pic.twitter.com/3Z3pYbBnRq
> transferFrom
— Korpi (@korpi87) 19 agosto 2022
Quando interagisci con trac , usano transferFrom per spostare i tuoi token. Possono richiedere fino all'importo dell'indennità impostata nella funzione di approvazione.
Se consenti a un trac di spendere una quantità infinita di USDC, può prenderli tutti. https://t.co/QdUgLuZfZH
Tornando alla storia di Joe...
— Korpi (@korpi87) 19 agosto 2022
La suddetta trac che ha prosciugato l'USDC di Joe era in effetti la funzione transferFrom.
Ma transferFrom funzionerebbe solo se Joe avesse approvato il contratto trac spendere i suoi USDC.
E Joe era convinto al 100% di non approvare nulla... pic.twitter.com/HH9xxYeQms
Aspetta un attimo...
— Korpi (@korpi87) 19 agosto 2022
La cronologia di DeBank mostra chiaramente l'approvazione infinita dell'USDC per il trac 10 minuti prima dell'exploit...
Joe l'ha effettivamente approvato?
SÌ. Ma anche no. Non direttamente. pic.twitter.com/AqQQs7GZAV
Etherscan rivela che l'approvazione infinita non era una funzione di approvazione chiamata da Joe stesso.
— Korpi (@korpi87) 19 agosto 2022
Si trattava di una funzione di autorizzazione richiamata da un altro indirizzo e che concedeva al trac l'approvazione a spendere tutti i USDC di Joe.
WTF? Come possono gli altri approvare i trac per tuo conto? pic.twitter.com/TS3iDbhOXu
La funzione di permesso è stata introdotta per migliorare l'esperienza dell'utente su Ethereum .
— Korpi (@korpi87) 19 agosto 2022
Consente a un utente di modificare gli importi di approvazione senza inviare una transazione.
È sufficiente una firma. Con la tua firma chiunque può chiamare la funzione di autorizzazione e aggiornare la tua indennità per uno spender. pic.twitter.com/hem0lPsnW1
Puoi vedere il permesso in azione quando usi la dApp da 1 pollice.
— Korpi (@korpi87) 19 agosto 2022
Se vuoi vendere USDC, non devi prima approvarlo.
Tutto ciò che serve è firmare un messaggio.
Questa firma garantisce a 1 pollice il permesso di spendere tutti i tuoi USDC. 1 pollice non basta, ma un contratto malevolo trac farlo. pic.twitter.com/Dd7ggJFWtl
Joe deve aver dent un messaggio del genere su un sito Web dannoso.
— Korpi (@korpi87) 19 agosto 2022
Sfortunatamente, questa volta ha usato un portafoglio caldo e firmare è stato solo un clic apparentemente innocente.
Con un portafoglio hardware, ci sarebbe un momento di ripensamento durante la firma di un messaggio sul dispositivo esterno.
Con la firma di Joe un malintenzionato ha inoltrato una transazione con funzione di autorizzazione.
— Korpi (@korpi87) 19 agosto 2022
Ha dato al contratto dannoso trac permesso di spendere tutti gli USDC dal portafoglio di Joe.
Successivamente è stata richiamata la funzione transferFrom e il contratto dannoso trac prosciugato i fondi. pic.twitter.com/1U6lWr9pmw
Apparentemente le firme possono essere catastrofiche.
— Korpi (@korpi87) 19 agosto 2022
In alcuni casi Metamask ti avviserà che firmare un messaggio può essere pericoloso.
Ma non nel caso di approvazioni firmate che tecnicamente funzionano come previsto ma possono causare molti danni se utilizzate in modo improprio. https://t.co/5H9rNWVR3b
Come evitare exploit simili in futuro?
— Korpi (@korpi87) 19 agosto 2022
– Non firmare tutto in Metamask.
– Dedica del tempo a capire cosa firmi.
– Fai attenzione alle omologazioni tradizionali (vedi thread collegato) https://t.co/549NmPly5s
Spero che tu abbia trovato utile questo thread.
— Korpi (@korpi87) 19 agosto 2022
Seguimi @korpi87 e controlla la mia Nozione: https://t.co/ZTqYKmhCNk per ulteriori informazioni.
Metti mi piace/ritwitta il primo tweet qui sotto per proteggere gli altri da exploit simili: https://t.co/9pqCSXi9JH
La fusione Ethereum porterà alla cattura normativa?
# Ethereum sono causati dalla costante ottimizzazione della tokenomics rispetto alla decentralizzazione, alla sicurezza e alla resilienza. Sembra che la fusione e il POS porteranno alla completa acquisizione normativa da parte degli scambi centralizzati e delle piattaforme di staking, e per loro non c'è via d'uscita. 🧵👇 pic.twitter.com/Ur9tf42K5p
— Samson Mow (@Excellion) 19 agosto 2022
Allora come sono arrivati qui? Decidere un requisito di 32 ETH da staking come parte del protocollo (al fine di bloccare l'offerta e massimizzare la tokenomics). Ciò ha praticamente reso il POS il più centralizzato possibile e inoltre non hanno la # Bitcoin di non avere le tue chiavi, non le tue monete. pic.twitter.com/Ml4QV93ECP
— Samson Mow (@Excellion) 19 agosto 2022
Quindi ora hai il 66% dei validatori che devono aderire ai regolamenti OFAC. E gli ETH che hanno depositato in stake non possono essere ritirati perché la funzionalità di prelievo non è stata codificata, a causa della tokenomics. 📈 pic.twitter.com/BdjFqYk70J
— Samson Mow (@Excellion) 19 agosto 2022
Ma aspetta! Agli Ethereani può semplicemente piacere #UASF Bitcoin Maxi, giusto? Come mostrare totalmente a Coinbase chi è il capo! pic.twitter.com/LBSRDOF79o
— Samson Mow (@Excellion) 19 agosto 2022
No. Innanzitutto, gli Etherean non gestiscono i propri nodi e, in secondo luogo, la maggior parte dei servizi dipende da Infura, ma questo non è il problema principale. pic.twitter.com/8rI1FsDwuU
— Samson Mow (@Excellion) 19 agosto 2022
Premetterò la parte successiva e affermerò che arrestare gli sviluppatori per aver scritto codice è orribile e costituisce un terribile dent . Detto ciò…
— Samson Mow (@Excellion) 19 agosto 2022
Per #UASF serve un software per funzionare. Ora tutti Ethereum hanno nomi di città interessanti come Istanbul, Londra, Berlino, ecc. Chiameremo questo ipotetico Ethereum "Pyongyang". Pyongyang impedirebbe a Coinbase e alla maggioranza del 66% di censurare le transazioni sanzionate dall'OFAC.
— Samson Mow (@Excellion) 19 agosto 2022
Un altro modo per dire “prevenire la censura delle transazioni sanzionate dall’OFAC” potrebbe essere “aiutare a eludere le sanzioni”. Forse ci siamo dimenticati di Virgilio. Comunque, chi codificherà Pyongyang? Il ragazzo di Tornado Cash è stato arrestato, quindi probabilmente anche gli sviluppatori di Pyongyang verranno arrestati. pic.twitter.com/HQNtkyTQkg
— Samson Mow (@Excellion) 19 agosto 2022
Chi governerà Pyongyang? I ragazzi che segnalano con “X 🏴”? Collegheranno anche il loro nodo Pyongyang al loro account .eth? Coinbase, Kraken, Bitcoin Suisse e gli altri che costituiscono la maggioranza del 66% non gestiscono defi Pyongyang.
— Samson Mow (@Excellion) 19 agosto 2022
Va bene, quindi un Ethereum La #UASF è fuori discussione.
— Samson Mow (@Excellion) 19 agosto 2022
"Ma possiamo semplicemente tagliare Coinbase e altri se osano obbedire!" pic.twitter.com/rmlgn8Cb2Y
Potrei essere un patetico Bitcoin Maxi™, ma ho trascorso 10 minuti a fare ricerche e ho scoperto che non esiste un meccanico per tagliare Coinbase. Non esiste un codice per individuare e punire chiunque censuri le transazioni. La meccanica Slashing funziona solo per punire i tempi di inattività o la doppia firma.
— Samson Mow (@Excellion) 19 agosto 2022
Quindi torniamo di nuovo ad aver bisogno del fork di Pyongyang che nessuno codificherà o eseguirà. Anche se Pyongyang potesse esistere, gli utenti non avrebbero modo di ritirare ETH. E anche se potessero ritirarsi non importa perché conta solo Infura. pic.twitter.com/RQ44BWUqzE
— Samson Mow (@Excellion) 19 agosto 2022
Supponendo che tutte le stelle siano magicamente allineate e che ci fosse un modo per gli utenti Ethereum di tagliare Coinbase ecc., cosa significa? Ciò significa che le parti interessate della minoranza avrebbero un meccanismo per punire arbitrariamente la maggioranza. Non funzionerà a lungo termine.
— Samson Mow (@Excellion) 19 agosto 2022
che chiamiamo #Ethereum uno Ethereum . È un esercizio di futilità, pieno di scelte progettuali atroci e progettato con l'unico scopo di aumentare il gettone. pic.twitter.com/irYDrzJcOO
— Samson Mow (@Excellion) 19 agosto 2022
