對于開發者來說,AUTH/AUTHCALL?機制非常具有吸引力。它可以讓人們創建調用者來實現不同的批量處理策略、gas抽象模型和復雜的賬戶抽象方法等。
這種靈活性源于這一機制賦予了開發者極大的自由。AUTH/AUTHCALL?機制不要求開發者遵循特定的模式,而是要求用戶簽署一個?commit?哈希值,讓開發者基于?commit?自行設置限制。
然而,這種靈活性是以犧牲安全性為代價的。在本文中,我想要介紹一種更簡單的替代方案。這個方案具備?AUTH/AUTHCALL?機制的絕大多數優點,但是風險遠低于后者。
為什么簽署一個AUTH?commit?所帶來的風險高于簽署一個與存在漏洞/惡意合約相關的事務?
用戶在簽署與合約相關的事務時,所承擔的風險是已知的,即,可能會損失在該合約控制范圍內的資產。比方說,用戶給一個ERC20合約簽署了批準事務,授權惡意的DEX合約。這個惡意DEX合約就可以提走用戶在ERC20合約中的全部余額。但是,它無法從該用戶的其它ERC20合約中提走代幣,除非得到該用戶的批準。它也不能代表用戶進行其它操作,因為這也需要專門獲得用戶的批準。
Green Dot Network開放對 Coinhub 比特幣 ATM 的訪問:金色財經報道,Coinhub 和 Green Dot Network 達成合作伙伴關系。該合作伙伴關系旨在允許使用合作伙伴 Coinhub 比特幣錢包與 CHB Holdings 和 Edge 合作,在Green Dot Network的 20,000 多家商店購買加密貨幣,包括 CVS、Walgreens 和 Krogers。[2023/4/18 14:09:27]
相較之下,EIP3074不僅要求用戶簽署“空白支票”,而且假設調用者是誠實且沒有漏洞的。一個惡意/存在漏洞的調用者可以代表用戶執行任何操作?——訪問用戶持有的資產,代表用戶進行投票,控制用戶所有的合約等。
更糟糕的是,調用者隨時都可以作惡,因為nonce實現是由調用者控制的。存在漏洞/惡意的nonce邏輯實現可以重放用戶過去的事務。如果?commit?驗證的其它部分的邏輯也存在漏洞,調用者就可以利用這個nonce邏輯實現來代表用戶執行任何操作。即使漏洞被發現,用戶也無法撤回空白支票。這個外部賬戶已經被永久入侵了。
印度稅務部門針對 700 名加密投資者不繳稅進行調查:金色財經報道,印度稅務部門正在打擊因加密貨幣收益而未繳稅的行為。該部門正在審查約700名高價值加密交易投資者,并補充說當局正提議向他們發出通知。稅務部門官員表示,這些人中的大多數要么沒有在納稅申報表上申報加密收益,要么根本沒有提交納稅申報表。他們可能面臨 30% 的稅收、罰款和利息。印度中央直接稅收委員會(CBDT)的一位高級官員稱:我們有一長串從事加密資產交易但沒有納稅的名單,該名單包括高凈值人士、非居民印度人、初創公司、學生和家庭主婦。他們中的一些人從未提交過納稅申報表。
據稅務官員稱,有些人的收益超過 400 萬盧比,但他們要么沒有提交納稅申報表,要么在申報表上宣布零收入。此外,納稅人在納稅申報表中對加密交易的處理方式有所不同,一些人將收入申報為資本收益,而另一些人則將其申報為商業收入。(news.bitcoin)[2022/3/17 14:01:24]
編寫一個正確的調用者程序很難,而且我們幾乎可以肯定,調用者會不定期出現錯誤,從?EIP3074最后列出的調用者應該警惕的檢查/漏洞/情況非詳盡清單中可見一斑。這份清單勢必會變得越來越長,很可能伴隨著痛苦的發現過程。
Justin Banon:對 NFT 領域的興趣已成倍增長,并將在2022年繼續發展壯大:金色財經報道,去中心化商業網絡Boson Protocol 的聯合創始人Justin Banon稱,對 NFT 領域的興趣已成倍增長,并將在 2022 年繼續發展壯大。在今年上半年,最受歡迎的 NFT 的銷售額約為每月 6400 萬美元。我們現在每天看到價值 4100 萬美元的 NFT 銷售額,元宇宙將成為人們與網絡和彼此互動的新界面,這種趨勢還將擴展到我們擁有的東西,并且這些東西將開始在虛擬世界和物理世界之間流暢地移動。(cryptonews)[2021/12/24 8:00:31]
此外,惡意參與者可以編寫一個看似無害的調用者程序,但是故意留下一個細微的漏洞,等到大量外部賬戶授權該調用者之后才會被攻擊者利用。
如果攻擊者沒有直接或立即利用這個漏洞從用戶那里竊取資金,這個漏洞可能很長時間都不會被發現。
Bitfinex首席技術官表示:對 Tether儲備的批評是沒有根據的:金色財經報道,Bitfinex首席技術官Paolo Ardoino表示,對Tether儲備的批評是沒有根據的。在Tether與紐約達成法律和解后,USDT的增長呈爆炸式增長,消除了對Tether儲備的擔憂。[2021/6/5 23:13:39]
治理劫持示例
惡意去中心化交易所EveSwap為其用戶編寫了一個調用者程序。這個調用者程序通過空投EVE代幣來為用戶提供gas資助,并批量處理用戶的批準和轉賬事務。
EveSwap的調用者程序看似無害,而且永遠不會竊取用戶的代幣,因為這樣馬上就會露餡。
用戶很開心。交易都成功了,交易費也很便宜。幾個月來平安無事。
然而,每當有人使用EveSwap交易AliceSwap的治理代幣ALI時,會自動將用戶的AliceSwap投票權委托給EveSwap。
動態 | EOS 主網更新補丁應對 EOS DDOS 攻擊:據 IMEOS 報道,區塊鏈斜杠青年發文稱主網已應用了新補丁來應對 EOS DDOS 攻擊。
DDOS 攻擊的核心是發起死循環交易,由于 EOS 限制一個 transaction 最長執行時間為 10 ms, 超時后就會報錯,由于該交易報錯失敗,從而不消耗任何 CPU 資源,從而該攻擊無成本。無成本才是恐怖的,因為無成本,攻擊者可以一直占用主網的 CPU,進而會導致全網長時間癱瘓,這才叫 DDOS 攻擊。
解決建議:
1.增加交易執行順序的隨機性; 2.增加執行超時交易成本。[2019/1/14]
一旦授權人數達到某個閾值,EveSwap就會通過治理提案劫持AliceSwap。
EveSwap用戶不太可能注意到這個過程,因為交易總是成功的,但是最終會給AliceSwap帶來毀滅性的打擊。
跨鏈重放示例
EIP3074合理地建議?commit?應該包含?chainid。但是,這是由調用者,而非協議執行的。在另一條鏈上有著相同地址的調用者可能會跳過該檢查。
EveSwap在兼容EVM的BobSpongeChain上運行,后者支持EIP3074。EveSwap在BobSpongeChain上部署了一個誠實的調用者。
用戶使用該調用者在BobSpongeChain上交易,然后使用橋將資產轉移到以太坊上。
EveSwap使用同一個部署密鑰在以太坊上部署了另一個地址相同的調用者。這個在以太坊上的調用者不會檢查?commit,只會檢查?ownerOnly,并充當其所有者的通用AUTH/AUTHCALL代理。
這樣一來,EveSwap就可以劫持用戶在以太坊上的外部賬戶并卷走他們的資產了。
用戶從未在以太坊上交易過,運行在BobSpongeChain上的調用者程序又經過了嚴格的安全審查。盡管如此,用戶還是丟失了全部資產。
以太坊通過EIP155的重放保護來防范這種情況。AUTHCALL沒有重放保護。由于所有?commit?檢查都交給調用者完成,我們失去了以太坊提供的一切交易保護。攻擊是在所難免的,因為保護措施很隨意。如果要接受EIP3074,AUTH消息必須明確包含?chainid,而非將其作為?commit?的一部分。
我們還能采取什么別的手段?
我的提議是實現一個更明確的機制,在協議層面強制規定?commit?的含義。commit結構將是類型化的,錢包會以用戶可讀的形式將commit呈現出來。用戶可以確切地知道事務是什么樣子的,并確信這個事務不會在任何鏈上重放,無需依賴于調用者程序開發者的品行和能力。
一個可能的實現:
AUTH?將使用包含授權調用列表的類型化結構代替?commit?哈希值。每個調用都將指定{nonce,to,gas,calldata,value,chainid}。簽名將被驗證,整個授權調用列表將保存為?authorized_transactions?而非?authorized?地址變量。
AUTHCALL?將得到一個新的參數?index,該參數指向最后一個?AUTH?創建的列表中的地址。
用戶地址的nonce將隨?AUTHCALL?遞增。nonce并非由調用者存儲,而是實際的賬戶nonce。
利:
用戶可以清楚地了解情況。
安全性由協議保障。
依然支持批處理和賬戶抽象。
弊:
nonce實現,不支持并行。
復雜調用者程序的事務處理起來很繁瑣,因為用戶必須查看并接受整個調用列表。
不同的實現可能支持不同的nonce方案。但是,無論我們使用什么機制,該機制必須由協議而非調用者執行。
無論如何都應該避免讓復雜調用者執行大量用戶調用。復雜操作應該作為普通的智能合約實現,而非嘗試實現使用多個外部賬戶調用的算法。
替代方案:完全避免硬分叉
還有一個選擇是完全避免AUTH機制,并通過?vbuterin?建議的另一種交易池來解決賬戶抽象和批量處理問題。
利:
無需硬分叉,可由智能合約和可以感知這些智能合約的節點支持。
可用于一切支持EIP3074的實現,而不會引入額外的風險。
弊:
不向后兼容已有的外部賬戶。用戶需要部署一個合約錢包并將資產轉移到該錢包內。
除非要求在不遷移的情況下支持已有的外部賬戶,否則這個選擇看起來更安全。
原文鏈接:
https://blog.mycrypto.com/eip-3074/
作者:?MaartenZuidhoorn
翻譯&校對:?閔敏&?阿劍
6月21日是Sarm正式宣布推出的日子。可以通過6月21日15:00/2021為和歐洲的經濟發展召開swarm在線數據分析會議,并宣布swarm網絡的主網絡正式啟動.
1900/1/1 0:00:00乘風起?扶搖直上 2018.07-2021.07三年來,ZT在跌宕起伏的區塊鏈行業逐步成長為新一線交易所.
1900/1/1 0:00:00大家好,我是你們的朋友老崔說幣lcsb18888,老崔說幣公眾號同步專注數字貨幣行情分析,爭取為廣大幣友傳遞最有價值的幣市信息,歡迎廣大幣友的關注與點贊.
1900/1/1 0:00:00AAX價格競猜活動得獎者名單作者AAXManager一周前已更新比特幣和AAB價格競猜活動正式結束!感謝大家踴躍參與,本次活動有超過9370份競猜提交!根據AAX綜合價格指數.
1900/1/1 0:00:00尊敬的用戶: WBF即將在DEFI板塊上線OBS/USDT交易對,具體時間如下:充值時間:2021/7/115:00提幣時間:2021/7/115:00交易時間:2021/7/115:00項目介.
1900/1/1 0:00:0019日午夜,或許是中國比特幣礦業的歷史性時刻,關機負荷約在800萬千瓦,占全網10%算力的四川比特幣礦機全線關停.
1900/1/1 0:00:00