原文作者:Fairyproof
前兩天,Solana區塊鏈上出現了安全預警,有?篇?章指出?個名為
https://officialsolanarares.net/mint/釣??站在?戶批準之后,可以將?戶的原?代幣轉?。在該?章中提到了?點:
惡意合約在?戶批準(Approve)后,可以轉??戶的原?資產(這?是SOL),這點在以太坊上是不可能的,以太坊的授權釣?釣不?以太坊的原?資產(ETH),但可以釣?其上的Token。于是這?就存在“常識違背”現象,導致?戶容易掉以輕?。
其實該?章這?的說法是不甚準確的,混淆了批準交易和Solidity中ERC-20代幣授權這兩個不同的概念。
真實情況是通過Solana的簽名擴散機制,惡意合約直接盜取了?戶的SOL資產,和通常意義上的授權并沒有什么關聯。
推特用戶:6月份在NEAR Protocol錢包中發現一個Bug,與Solana錢包被黑的情況相似:8月4日消息,推特用戶Hacxyk.稱,早在6月份就在NEAR Protocol錢包中發現了一個Bug,和最近Solana錢包黑客攻擊的情況幾乎一樣。當一個Near錢包用戶選擇“電子郵件”作為助記詞恢復方法時,助記詞會被泄露到第三方網站。[2022/8/4 12:02:08]
1.以太坊中的授權
在以太坊中,通常意義上授權是指?戶調?代幣合約,向其它地址授權?定處理額度,這樣我們在和其它合約交易時,可以?便的?付ERC-20代幣。
在這?,授權是必須的,否則第三?合約?權處理?戶的代幣資產。同時,這種機制也伴?了?量的授權攻擊,只要你授權了惡意合約,惡意合約就可以轉?你的ERC-20代幣。
基于Solana的DeFi協議Exotic Markets在DevNet平臺上推出Alpha版本:官方消息,基于Solana的DeFi協議Exotic Markets宣布,在DevNet平臺上推出Alpha版Exotic Markets。[2022/2/18 10:01:28]
2.Solana中的授權
在Solana中,代幣?般為官?提供的spl-token合約,它模擬了ERC-20代幣的?為,因此也存在類似的ERC-20授權概念。同樣授權第三?合約后第三?合約可以處理?戶的代幣(注意不是原?幣SOL)。這點同以太坊是?致的,并沒有什么反常識。
3.Approve的涵義
不管在以太坊中還是在Solana中,我們習慣將Approve當作授權,因此?然?然的會認為是代幣授權。當我們使?MetaMask錢包時,如果是代幣授權交易會明確提示授權,并且所有交易彈出的是?個確認按鈕。然?在Solana的Phantom錢包?,彈出的是?個Approve按鈕,讓?很容易以為是授
Solana主網v1.8.14版本已解決套利機器人垃圾郵件導致的網絡擁堵問題:1月25日消息,Solana 鏈上自動化平臺 Snowflake Network 在社交媒體發文表示,經 Solana Labs 聯合創始人 Anatoly Yakovenko 團隊與驗證者社區的協同修復工作,新發布的 Solana 主網 v1.8.14 版本已經解決了由套利機器人垃圾郵件可能導致的網絡擁堵問題。
此前報道,Solana 生態借貸協議 Solend 于 1 月 24 日發布了一份網絡中斷分析報告,其中解釋了 Solana 在 1 月 21 日至 22 日遭受網絡不穩定和持續近 30 小時的中斷原因。據悉,本次中斷的根本原因是加密貨幣市場崩盤創造了大量套利機會,因此清算機器人和套利機器人開始提交大量交易,以贏得清算和交易,結果大量垃圾郵件被發送到 Solana 網絡上引發嚴重負載。另一方面,Solana 區塊鏈本身也存在一些問題,比如其網絡沒有過濾重復交易的能力,導致數以千計的重復機器人交易也淹沒了合法的用戶交易。[2022/1/25 9:11:24]
權交易。但真實情況是批準?次交易?并不是進?代幣授權。所以安全預警中出現的被盜?為,是?戶批準了?個未知交易,?不是?戶進?了SOL的授權操作,當然也就不能說是授權偷?了原?幣。
VanEck與SolidX合作推出比特幣ETF:據btcmanager消息,VanEck與SolidX合作推出的比特幣ETF每股預計大約為20萬美元。每個ETF包含25枚比特幣。目前ETF價格為187500美元。[2018/6/11]
貨幣
交易轉?批準者的原?貨幣,例如SOL和ETH,是?常簡單的。在以太坊上的Solidity中,只要調??個payabletransfe的函數就可以轉?交易?戶的ETH;在Solana中,相應的,只要調?系統合約的戶的SOL資產,這和我們平常講的代幣授權概念是沒有任何關系的。
函數也能轉移?交易?不同的是,在Solidity中,ETH轉移發?在合約調?的時候,因此錢包可以提前知道要轉移的ETH數量并顯示出來,?在Solana中,轉移是發?在合約內部的,因此錢包?法提前知曉你會被轉?多少SOL,當然也會?法顯示。只要你簽名認同了這筆惡意交易,你就相當于簽名認同了這次SOL轉移,這正是這次Solana上釣?盜取的問題所在。
?段類似如下的代碼就可以在合約內部轉移user的SOL。
5.Solana中的簽名擴散機制
在Solana中,有?個簽名擴散機制。?戶調?合約A,此時合約A中?戶是簽名批準的。當合約A內部調?合約B時,?戶的簽名會隨著跨合約調??起擴散到合約B。因此,在合約B中,?戶也是簽名批準的。所以這?存在?個安全?險,當簽名?個惡意合約時,惡意合約就獲取了我們這個簽名,然?它可以拿我們這個簽名做任何事情!!!!!!!
在上述的偷盜事件中,?戶同惡意合約3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v進?交易,該合約直接調?系統合約轉移?戶的SOL,因為簽名隨著調??起擴散到了系統合約,因此系統合約認為該筆交易也是批準過的,是正常的,所以就轉?了?戶的資產。
https://explorer.solana.com/tx/4j33JSGRS6rD5irzW1cA9wjQAvAgVDAnBTrGRjqtqBBWXspTzU5HpEFwTeCC2uD9hH9eA2Pw5ddHyd5JyG6h6cNq
我們可以看到該交易涉及的輸?賬號:
這其中:
?戶賬號:4XF4wyjein7ZN4RPM6YK2mC2mC6T41cZAoKjJqpP19fR
SOL轉移賬號:BepccLHDcXqqHi6MfpTDo9Sfc5tmRjmSC1XY48Tb8HuY
惡意合約地址:3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v
從上可以看出,?戶賬號調?合約后轉移了1.2545SOL到轉移賬號。同時我們可以看到并沒有涉及到spl-token代幣合約,出產沒有通常意義上的授權這么回事。
其交易打印出的?志為:
從?志中也可以判斷,惡意合約僅是簡單的調?了系統合約轉?了?戶的SOL,因此?戶簽名批準了對惡意合約的交易,這個簽名也擴散到了系統合約,因此判定有效。
7.結論
在Solana中,不要輕易確認或者批準任何來歷不明的交易,因為它可以拿你的簽名代表你做任何事情。
親愛的用戶:幣安將於2022年03月08日上午11:30上線ANCUSDT1-25倍U本位永續合約。注意:ANCU本位永續合約是正向合約,即穩定幣合約,採用穩定幣作為保證金.
1900/1/1 0:00:00NFT?數據日報是由Odaily星球日報與?NFT?數據整合平臺NFTGO.io合作的一檔欄目,旨在向NFT愛好者與投資者展示近24小時的NFT市場整體規模、交易活躍度、子領域市占比.
1900/1/1 0:00:00一、項目介紹 AlchemyPay(ACH)于2018年在新加坡成立,是一家支付解決方案提供商,為全球消費者、商家、開發商和機構無縫連接法定和加密經濟.
1900/1/1 0:00:001DeltaFi(DELFI)TokenSaleResultTheGate.ioStartupDeltaFi(DELFI)saleresultisasfollows:DELFIStartupSa.
1900/1/1 0:00:00親愛的大幣網(Dcoin)用戶:大幣網(Dcoin)已完成對永續合約系統功能的升級維護,現已恢復正常交易.
1900/1/1 0:00:00TheLockAOG&Earn#2(term14days)willlaunchat8:00UTConMar9atGate.io''s“HODL&Earn”section.
1900/1/1 0:00:00