作者:LoopyLu,星球日報Odaily
今日,跨鏈??DEX?聚合器TransitSwap遭受攻擊,導致大量用戶的資金從錢包中被取出。截至目前,預計損失超2100萬美元。
發現被盜后,TransitSwap技術團隊緊急暫停服務,合約已完全暫停,無法進行任何操作。發稿前?TransitSwap官方發布公告稱,此前黑客攻擊事件原因系代碼錯誤,目前已確定黑客IP、電子郵件地址,以及相關的鏈上地址。TransitSwap團隊表示將盡力追蹤黑客,并嘗試與黑客溝通,幫助用戶挽回損失。
此外,安全團隊PeckShield已確認黑客資金流向。
與此前被盜項事件不同的是,TransitSwap是TokenPocket錢包的閃兌服務提供商。這讓大量用戶實現了“無感被盜”的絲滑體驗,也再一次向我們明確了加密市場“黑暗森林”的恐怖法則,即使是錢包背書的便捷“閃兌”服務,依然存在被盜隱患。
Axie Infinity:短期內不會調整Token經濟模式:12月23日消息,NFT 游戲 Axie Infinity 在其官方推特上發文稱,我們了解Token價格對社區成員非常重要,團隊中的每個人都對此也非常理解。然而,Axie Infinity 生態系統中Token價格最終取決于社區成員和社區共同為彼此創造長期價值,而這其實才是 Axie Infinity 所關注的,Axie Infinity 不會優先考慮我們的小團隊,而是專注于長期構建更重要的事情。在 SLP 用性方面,Axie Infinity 還考慮了許多其他想法,比如在強化寵物身體部位(Body Part)道具的時候必須使用 SLP Token。[2021/12/23 7:57:48]
什么是閃兌?
目前,幾乎所有錢包都嵌入了?DeFi?功能,而一些錢包出于易用性的考量,更是創造了“閃兌”這一概念并加以應用。
區塊鏈風險投資公司Signum Capital投資印尼加密交易所Tokocrypto:12月22日消息,新加坡區塊鏈風險投資公司Signum Capital宣布已向印度尼西亞的加密資產交易所Tokocrypto投資了一筆未公開的金額。據悉,該筆投資的重點是Toko代幣 ( TKO )以及生態系統的構建。(techinasia)[2021/12/22 7:56:15]
所謂閃兌,即和錢包深度整合,在產品中擁有更明顯的獨立入口、更簡化的操作流程,更便捷的操作。使用閃兌用戶可以方便、快速的完成加密資產交易。例如,“Approve”操作通常被簡單的一鍵式集成在交易流程中,用戶幾乎是無感的。
或是因錢包內置集成,用戶對其天然更具信任,也一定程度降低了防范意識。但究其本質,無外乎是錢包app集成的一款DEX,與其他DEX并無差異。這也給本次安全事件留下了隱患。
聲音 | HashHub Tokyo首席執行官:交易所的改變可帶動其他生態系統的改變:近日,HashHub Tokyo聯合創始人兼首席執行官Junya Hirano表示,在最近的2-3年里,日本加密貨幣交易所受到了很大的限制,但在接下來的幾個月里,隨著新的代幣上市和IEO監管等措施的出臺,情況將有所改變。我認為其他生態系統也會隨著交易所的改變而改變。除此之外,企業區塊鏈和證券型代幣也將出現。((Global Coin Research))[2019/12/22]
合約授權潛藏了多少風險?
“沒有人可以強行拿走你的加密資產”,是投資者對區塊鏈特性的一種廣泛共識。鏈上資產一旦被錢包所有,沒有任何強制手段將其轉移。但當我們使用DEX進行鏈上交易之時,DEX是如何將一種資產拿走再轉移給你另一種資產的?
授權就成為了這一切的關鍵。用戶于DEX出售資產之前,需先執行“Approve”操作,這一操作之后合約便擁有了動用用戶某種代幣的權限。
實力派 | 何英琪:如玉是一種區塊鏈積分 不能和token混淆:在今日“金色實力派”中,針對海創鏈創始人CEO張弢提出的“如玉,是不是一種鏈上token?怎么做到合規不被誤會?”的問題,首旅如家區塊鏈公司總經理何英琪指出:如玉,是一種區塊鏈積分。其合規不是簡單的說法律行不行的問題,還有涉及財務記賬、稅務等一系列的問題。首先需要把積分進行定義,它屬于資產或是商品,是企業需要回答,而且能夠回答的問題。只有能夠回答這個問題,合規才開始。如何做到真實錨定,可審計、可監管、可風控,這是合規的第二步。合規的過程里面,財務如何入賬也是另外一個挑戰。積分和token還是有區別的,最困難的是如何定義業務邊界,并且找到合規可控的方式,把區塊鏈技術價值釋放。我們做了一年多的工作,實現合規之路。另外,如玉不等于token。[2019/12/6]
或者描述的更加直白一些:只要你做了授權,無需打開錢包、無需執行操作、無需私鑰,該合約就可以不經你的許可,支配你授權的資產。這是由以太坊的機制和授權模型所決定的,與項目方的道德操守、安全規范、代碼審計都并無審核關系。
imToken2.0即將內測:據了解,在 BeyondBlockTaipei 會議上,imToken CEO Ben 介紹了即將推出的 imToken 2.0 ,并做了現場 Demo 演示,臺灣地區作為 imToken 目前第三大市場,這次 imToken 2.0 重大改版也支持繁體中文,隨著 imToken 國際用戶不斷增加,將會支持更多國家語言和貨幣單位。imToken 2.0 帶來的最大的改變是數字資產的基礎服務,其中包括支持多鏈多錢包(會優先支持比特幣生態資產)、去中心化交易、更好用的 Dapp 瀏覽器等等。imToken 2.0 預計12月開始邀請部分用戶內測,2018年 1 月開發公測。[2017/11/30]
審計=安全?
即使授權之后合約擁有轉移加密資產的能力,但這種能力只在合理的范圍內使用,這依然是安全的。而如果經過可信安全機構審計,是否即表示這種能力不會被濫用,只在用戶進行交易時轉走交易額的必要資產?
靜態來看,這一邏輯是成立的。就如同?Uniswap??盡管擁有隨時將用戶錢包清空的能力,但并不會真的這么做一樣。但動態來看,這一邏輯依然是危險的。
現代軟件開發,升級是一項必不可缺的能力。智能合約也是如此。在Solidity智能合約中,擁有Transparent和UUPS兩種升級方法,借助于這兩個功能,合約代理和升級幾乎是業界合約的標配。
項目方是如何進行合約升級的呢?通常,用戶所訪問的合約并非直接運行業務邏輯的核心合約,而是一個“代理合約”,代理合約接收到用戶請求之后將其轉發到核心的業務合約,再由業務合約進行處理。而合約升級即是更改簡單來說,智能合約盡管不可修改,但用戶所最終訪問的、運行業務邏輯的合約是可以替換的。這也是業界的通用做法。
而即便是最安全的合約,只要進行“合約升級”,其業務合約就已發生變化,此前的審計報告也淪為了一張廢紙。
簡單來說,今天你所交互的合約是安全的,但明天訪問同樣的這個項目,可能他的安全性已經發生根本性改變。合約仍可能擁有轉走你所有已授權資產的能力。
無限授權有多危險?
所幸的是,授權并不代表用戶隨時暴露于錢包清空的危險中下。授權機制還有一個重要規則即是授權是含有數量的。用戶“Approve”合約一定數量的代幣,合約最多只能動用這些數量,即使是錢包里該代幣數量再多,合約也已無法動用。
但危險的是,大多數DeFi合約都在無所顧忌索取用戶的“無限授權”,即在默認情況下,用戶所Approve的代幣數量為無限。
一個典型的“無限授權”操作,授權金額高達10的59次冪數量級
用戶如何防范?
沒有授權就沒有安全隱患。在執行鏈上操作之時,如需執行Approve操作,用戶應遵循“用多少、授多少”的原則。如果我只需賣出1000TOKEN,那即應手動修改Approve金額為1000。在計算合約轉移金額時是累積的,即若只授權1000、本次金額恰好交易了1000,合約授權額度恰好已耗盡。即使日后合約出現安全風險,也已無法再從用戶錢包中轉移走任何資產。
用戶可手動修改授權金額
而對已經授權的用戶來說,還可發起取消授權操作。
常用取消授權網站如下:
1.Dappstar:https://tac.dappstar.io/#/
2.Revoke:https://revoke.cash/
3.Approved.zone:https://approved.zone/
4.?RabbyWallet?
此外,一些區塊鏈瀏覽器也支持用戶查看并取消授權。
https://cn.etherscan.com/tokenapprovalchecker
https://bscscan.com/tokenapprovalchecker
DeFi被盜,誰的責任?
“黑暗森林”是廣為流傳的對于鏈上秩序的敘述了,也提醒著用戶這個世界的危險性和高風險。但諸如此類的安全事件一再發生,真的可以全部歸責于用戶的安全意識嗎?
在此類事件中,DeFi項目對于用戶授權毫無節制的索取是隱患的最初來源,幾乎所有的項目,在索取授權之時其默認選項都是無限授權。盡管用戶可以手動修改,但一個負責任的市場應承擔投資者保護和用戶教育的責任。
至今,仍有多少加密用戶尚不清楚授權的危險?而在這種環境背景之下,項目方仍在索取危險極大的無限授權。
DeFi濫用授權的情況早已成為業界慣例,而這一高危情況幾乎危及所有用戶的田亮資產,其影響之深遠、廣泛、隱患之巨,恐怕尚未有一個安全隱患可以望其項背。該風險從根本上違背了“沒有人可以拿走錢包里的幣”這一樸素的直覺。這也是行業需要一直面臨的風險和挑戰。
被盜事件發生后,神魚就已在推特做出呼吁,“呼吁一下項目方規范使用授權功能,用多少授權多少,不要無限授權,大家都放心。”
去中心化充滿著機會與風險。還記得加密技術最初的愿景嗎?“保護你的資產,沒有人可以奪走你錢包里的加密貨幣。”而一個良性秩序的建立,需要的不是復雜的代碼、晦澀的概念,確保每一個普通用戶都能安全的使用加密技術,仍然需要行業里每一個參與者共同的努力。
Tags:TOKKENTOKETOKENFMS TokenEndgame TokenRelay TokenFlamengo Fan Token
整理:念青,鏈捕手 “過去24小時都發生了哪些重要事件”?1、龍巖破獲一起涉案近2億元數字人民幣非法經營案?龍巖近日成功破獲一起涉案價值近2億元的涉數字人民幣非法經營案件.
1900/1/1 0:00:00采訪:念青,ChainCatcher受訪者:Crylipto,BendDAO聯創一個多月前,因無聊猿地板價持續下跌,直接觸發列出無聊猿數量最多的NFT抵押借貸協議BendDAO的系列清算.
1900/1/1 0:00:00鏈捕手消息,去中心化交易協議TransitSwap公布被盜事件最新進展,表示愿意100%承擔用戶被盜的損失,將于10月7日先退還黑客已歸還的資產給用戶,用戶查看和領取網址現已公布.
1900/1/1 0:00:00作者:FenbushiCapital分布式資本以太坊終于完成了POW轉為POS的共識迭代。合并只是以太坊路線圖中的一環,那么,之后以太坊路線圖到底是怎么樣的呢?首先,以太坊路線圖分為三個階段:信.
1900/1/1 0:00:00鏈捕手消息,加密研究組織GCR聯合咨詢工作室Clearblock推出2022年Web3VC排行榜50強,衡量因素包括投資組合、競爭優勢、平臺戰略、社區和聲譽、2022年交易數量等.
1900/1/1 0:00:00撰文:Nascent聯合創始人??DanElitzer 編譯:DeFi?之道 在過去的幾個月里,人們對特定于應用的區塊鏈越來越感興趣,通常我們稱它們為應用鏈.
1900/1/1 0:00:00