Você sabia que uma simples assinatura no Metamask pode esgotar sua carteira?
Você sabia que uma simples assinatura no Metamask pode esgotar sua carteira?
— Korpi (@korpi87) 19 de agosto de 2022
Um usuário muito experiente (top 10 pelo Degen Score) perdeu quase 500 mil USDC em uma exploração hoje.
Você pode ser o próximo…
Um pequeno tópico sobre como isso aconteceu e como você pode evitar tais façanhas no futuro.
Era uma tarde tranquila quando Joe (nome alterado) notou que 469 mil USDC haviam saído de sua carteira.
— Korpi (@korpi87) 19 de agosto de 2022
Não foi uma transferência simples, o que significava que um invasor aparentemente não tinha acesso à carteira de Joe.
Foi um contrato malicioso trac drenou todo o USDC de seu endereço… pic.twitter.com/pTgTjfMEu
Aqui precisamos fazer uma pausa na história para explicar alguns detalhes técnicos.
— Korpi (@korpi87) 19 de agosto de 2022
O token USDC é um trac no Ethereum . Ele tem muitas funções que defi como interagimos com o USDC e o que pode ser feito com ele.
Vamos nos concentrar em duas funções:
> transferir
> transferFrom pic.twitter.com/gekVmjmwvW
> transferência
— Korpi (@korpi87) 19 de agosto de 2022
Ao mover USDC (ou outros ERC20s) entre carteiras, você usa a função de transferência.
Ele move os tokens do chamador (o endereço que chama a função) para outro endereço.
Para usar a transferência de forma maliciosa em seu nome, alguém teria que controlar sua carteira. pic.twitter.com/3Z3pYbBnRq
> transferFrom
— Korpi (@korpi87) 19 de agosto de 2022
Quando você interage com contratos trac eles usam transferFrom para mover seus tokens. Eles podem levar até o valor do subsídio que você definiu na função de aprovação.
Se você permitir que um contrato trac uma quantidade infinita de USDC, pode levar tudo. https://t.co/QdUgLuZfZH
Voltando à história de Joe...
— Korpi (@korpi87) 19 de agosto de 2022
A interação de contrato mencionada acima trac que esgotou o USDC de Joe, era de fato uma função transferFrom.
Mas transferFrom só funcionaria se Joe tivesse aprovado o contrato trac gastar seu USDC.
E Joe estava 100% convencido de que não aprovava nada… pic.twitter.com/HH9xxYeQms
Espere um momento…
— Korpi (@korpi87) 19 de agosto de 2022
O histórico do DeBank mostra claramente a aprovação infinita do USDC para o contrato malicioso trac minutos antes da exploração…
Joe realmente aprovou isso?
Sim. Mas também não. Não diretamente. pic.twitter.com/AqQQs7GZAV
Etherscan revela que a aprovação infinita não era uma função de aprovação chamada pelo próprio Joe.
— Korpi (@korpi87) 19 de agosto de 2022
Foi a função de permissão chamada por outro endereço e concedeu ao contrato malicioso trac aprovação para gastar todo o USDC de Joe.
WTF? Como outras pessoas podem aprovar contratos trac seu nome? pic.twitter.com/TS3iDbhOXu
A função Permit foi introduzida para melhorar a experiência do usuário no Ethereum .
— Korpi (@korpi87) 19 de agosto de 2022
Ele permite que um usuário modifique os valores de aprovação sem enviar uma transação.
Uma assinatura é suficiente. Com sua assinatura, qualquer pessoa pode ligar para a função de licença e atualizar sua mesada para um gastador. pic.twitter.com/hem0lPsnW1
Você pode ver a permissão em ação ao usar o dApp de 1 polegada.
— Korpi (@korpi87) 19 de agosto de 2022
Se você deseja vender USDC, não precisa aprová-lo primeiro.
Tudo que você precisa é assinar uma mensagem.
Esta assinatura concede a 1 polegada a permissão para gastar todo o seu USDC. 1 polegada não vai fazer isso, mas um contrato malicioso trac . pic.twitter.com/Dd7ggJFWtl
Joe deve ter dent tal mensagem em um site malicioso.
— Korpi (@korpi87) 19 de agosto de 2022
Infelizmente, desta vez ele usou uma carteira quente e a assinatura foi apenas um clique de aparência inocente.
Com uma carteira de hardware, haveria um momento de reflexão ao assinar uma mensagem no dispositivo externo.
Com a assinatura de Joe, um ator malicioso enviou uma transação com função de permissão.
— Korpi (@korpi87) 19 de agosto de 2022
trac malicioso a permissão para gastar todo o USDC da carteira de Joe.
Então a função transferFrom foi chamada e o contrato malicioso trac os fundos. pic.twitter.com/1U6lWr9pmw
Aparentemente, as assinaturas podem ser catastróficas.
— Korpi (@korpi87) 19 de agosto de 2022
Em alguns casos, o Metamask avisará que assinar uma mensagem pode ser perigoso.
Mas não no caso de aprovações assinadas que funcionam tecnicamente conforme projetado, mas podem causar muitos danos se forem mal utilizadas. https://t.co/5H9rNWVR3b
Como evitar exploits semelhantes no futuro?
— Korpi (@korpi87) 19 de agosto de 2022
– Não assine tudo no Metamask.
– Gaste tempo para entender o que você assina.
– Tenha cuidado com as aprovações tradicionais (consulte o tópico vinculado) https://t.co/549NmPly5s
Espero que você tenha achado este tópico útil.
— Korpi (@korpi87) 19 de agosto de 2022
Siga-me @korpi87 e verifique minha noção: https://t.co/ZTqYKmhCNk para saber mais.
Curta/Retweete o primeiro tweet abaixo para proteger outras pessoas de ataques semelhantes: https://t.co/9pqCSXi9JH
A fusão Ethereum levará à captura regulatória?
# Ethereum são causados pela otimização constante de tokennomics em descentralização, segurança e resiliência. Parece que a fusão e o PDV levarão à captura regulatória completa por bolsas centralizadas e plataformas de apostas, e não há saída para elas. 🧵👇 pic.twitter.com/Ur9tf42K5p
— Samson Mow (@Excellion) 19 de agosto de 2022
Então, como eles chegaram aqui? Decidir sobre um requisito de 32 ETH para apostar como parte do protocolo (para bloquear o fornecimento e maximizar a economia de tokens). Isso praticamente tornou o POS o mais centralizado possível e, além disso, eles não têm a # Bitcoin de não suas chaves, nem suas moedas. pic.twitter.com/Ml4QV93ECP
— Samson Mow (@Excellion) 19 de agosto de 2022
Então agora você tem 66% dos validadores que precisam aderir aos regulamentos da OFAC. E o ETH que eles depositaram para apostar não pode ser retirado porque a funcionalidade de retirada não foi codificada - por causa do tokennomics. 📈 pic.twitter.com/BdjFqYk70J
— Samson Mow (@Excellion) 19 de agosto de 2022
Mas espere! Ethereans podem apenas #UASF como aqueles Bitcoin Maxi, certo? Como mostrar totalmente à Coinbase quem é o chefe! pic.twitter.com/LBSRDOF79o
— Samson Mow (@Excellion) 19 de agosto de 2022
Não. Em primeiro lugar, os Ethereans não executam seus próprios nós e, em segundo lugar, a maioria dos serviços depende do Infura, mas esse não é o problema principal. pic.twitter.com/8rI1FsDwuU
— Samson Mow (@Excellion) 19 de agosto de 2022
Vou começar esta próxima parte e afirmar que prender desenvolvedores por escrever código é horrível e estabelece um dent terrível. Dito isto…
— Samson Mow (@Excellion) 19 de agosto de 2022
Para #UASF você precisa de um software para rodar. Agora todos os Ethereum têm nomes legais de cidades como Istambul, Londres, Berlim, etc. Vamos chamar esse fork Ethereum Pyongyang impediria a Coinbase e a maioria de 66% de censurar transações sancionadas pela OFAC.
— Samson Mow (@Excellion) 19 de agosto de 2022
Outra maneira de dizer “impedir a censura de transações sancionadas pela OFAC” poderia ser “ajudar a driblar as sanções”. Talvez tenhamos esquecido de Virgil. De qualquer forma, quem vai codificar Pyongyang? O cara do Tornado Cash foi preso, então os desenvolvedores de Pyongyang provavelmente também serão presos. pic.twitter.com/HQNtkyTQkg
— Samson Mow (@Excellion) 19 de agosto de 2022
Quem vai comandar Pyongyang? A galera sinalizando com “X 🏴”? Eles vão vincular seu nó de Pyongyang à sua conta .eth também? Coinbase, Kraken, Bitcoin Suisse e os outros que compõem a maioria de 66% defi não estão administrando Pyongyang.
— Samson Mow (@Excellion) 19 de agosto de 2022
Tudo bem, então um Ethereum #UASF está fora de questão.
— Samson Mow (@Excellion) 19 de agosto de 2022
“Mas podemos simplesmente cortar a Coinbase e outros se eles ousarem obedecer!” pic.twitter.com/rmlgn8Cb2Y
Posso ser um Pathetic Bitcoin Maxi™, mas passei 10 minutos pesquisando e descobri que não há mecânica para cortar Coinbase. Não há código para detectar e punir qualquer pessoa por censurar transações. A mecânica Slashing funciona apenas para punir o tempo de inatividade ou a assinatura dupla.
— Samson Mow (@Excellion) 19 de agosto de 2022
Portanto, voltamos a precisar do fork de Pyongyang, que ninguém codificará ou executará. Mesmo que Pyongyang pudesse existir, não há como os usuários retirarem o ETH. E mesmo que pudessem se retirar, não importa porque só o Infura importa. pic.twitter.com/RQ44BWUqzE
— Samson Mow (@Excellion) 19 de agosto de 2022
Supondo que todas as estrelas se alinhassem magicamente e houvesse uma maneira de os usuários Ethereum cortarem a Coinbase etc., o que isso significa? Isso significa que as partes interessadas minoritárias teriam um mecanismo para punir arbitrariamente a maioria. Isso não vai funcionar a longo prazo.
— Samson Mow (@Excellion) 19 de agosto de 2022
Ethereum chamamos #Ethereum de #shitcoin . É um exercício de futilidade, repleto de opções de design atrozes e projetado com o único propósito de bombear o token. pic.twitter.com/irYDrzJcOO
— Samson Mow (@Excellion) 19 de agosto de 2022
