Фонд Ethereum и крупные кошельки запускают стандарт «Clear Signing» для прекращения слепого подтверждения транзакций

Последние несколько лет показали, что наибольшей уязвимостью современных криптокошельков является слепая подпись. Это практика одобрения необработанных шестнадцатеричных строк без понимания того, что они на самом деле делают. Однако во вторник Фонд Ethereum официально объявил о поэтапном отказе от этого стандарта и его замене на прозрачную подпись в некоторых ведущих кошельках и аппаратной инфраструктуре, которые фактически работают на Ethereum для большинства пользователей. К ним относятся такие компании, как Ledger, Trezor, MetaMask, WalletConnect, Fireblocks и Cyfrin. На практике это означает, что пользователи смогут видеть простое, удобочитаемое описание того, что авторизует подпись. 

Причина этого проста и сводится к недавним громким хакерским атакам, произошедшим за последние два года. Взлом Bybit на сумму 1,5 миллиарда долларов, который до сих пор остается крупнейшим взломом в криптоиндустрии, произошел отчасти потому, что подписанты одобрили транзакцию, которую они фактически не могли прочитать. Аналогичным образом, взлом WazirX в июле 2024 года, в результате которого из мультиподписного кошелька индийской криптобиржи было украдено около 235 миллионов долларов, произошел практически по той же схеме. По данным Фонда Ethereum , слепая подпись уже много лет является структурным недостатком экосистемы и привела к миллиардным совокупным убыткам от хакерских атак, фишинговых мошенничеств и использования уязвимостей в процессе подтверждения транзакций.

Что на самом деле делает Clear Signing

В настоящее время в системах авторизации и подписи есть один существенный недостаток. Пользователи, взаимодействующие со смарт-trac, могут видеть точные данные, но обычно это последовательность низкоуровневых данных, практически нечитаемая для любого, кто не является разработчиком или не имеет технических знаний. 

По сути, технология Clear Signing переворачивает этот сценарий с ног на голову. Кошельки, поддерживающие новый стандарт, будут загружать файл описания, который преобразует функциюtracв читаемый текст, предоставляя пользователю краткое описание перед подписанием чего-либо. 

Техническая основа базируется на двух существующих предложениях по улучшению. Стандарт ERC-7730, впервые предложенный компанией Ledger еще в 2024 году, defiоткрытый формат для описания транзакций в удобочитаемом формате JSON. Стандарт ERC-8176 добавляет сверху уровень аттестации, позволяющийdent аудиторам криптографически подтвердить соответствие дескриптора тому, чтоtracфактически будет делать. Сами дескрипторы хранятся вне блокчейна в нейтральном реестре на clearsigning.org, что означает, что существующиеtracмогут принять стандарт без необходимости его повторного развертывания.

Коалиция, которая взаимодействует с пользователями там, где они действительно живут

Это не развертывание единого кошелька. Список участников включает в себя все элементы инфраструктуры, которые сегодня взаимодействуют с пользователями Ethereum : Ledger и Trezor — за оборудование, MetaMask и WalletConnect — за программное обеспечение, Fireblocks — за институциональное хранение, Cyfrin — за аудит, а Sourcify и Argot — за инструменты. Ledger первоначально разработала прозрачную подпись как внутреннюю функцию безопасности еще в 2021 году, формализовала ее как ERC-7730 в 2024 году, а в начале этого года передала управление Фонду специально для того, чтобы сделать стандарт заслуживающим доверия и не привязанным к какой-либо одной компании.

Почему это совпадает по времени с интересами институциональных инвесторов?

Выбор времени здесь тоже не случаен. Инициатива Фонда по обеспечению безопасности на триллион долларов, которая сейчас управляет реестром Clear Signing, была создана специально для подготовки Ethereum к тому масштабу институциональных инвестиций, который сейчас сосредоточен непосредственно в блокчейне. Участие Fireblocks в этом процессе особенно важно, поскольку это поставщик услуг хранения, которого фактически используют большинство традиционных финансовых компаний, когда начинают работать с криптовалютами. 

Подписание документов вслепую всегда представляло собой приемлемый уровень риска для розничных пользователей, работающих с небольшими суммами. Однако для управляющей компании, работающей с крупными суммами, это, по сути, неприемлемо, поскольку невозможно получить одобрение регулирующих органов на транзакцию, с которой операционная команда изначально не может ознакомиться.