Viimase aasta jooksul oleme näinud, et paljud kasutajad kaotasid oma rahakotivarad koheselt ilma nähtava hoiatuseta.

Veelgi üllatavam on see, et ründaja ei pea isegi esmalt tavalist ülekannet algatama.

Mida nad vajavad, võib olla lihtsalt tehinguallkiri "kuueteistkümnendandmetega".

See võib tunduda lihtsa toiminguna: hankige NFT, liituge lennuväljaga, looge ühendus DApp-i või logi sisse veebisaidiga.

Tundub kahjutu: 0 ETH, saadetakse nutika lepingu aadressile.

Kuid tegelik oht on peidus "kuueteistkümnendandmetes".

Ründaja kodeerib siia pahatahtlike funktsioonide kõned, näiteks:

· approve()

· increaseAllowance()

· transferFrom()

· setApprovalForAll()

· sweepToken()(Kohandatud pahatahtliku lepingu funktsioon)

Kui need funktsioonid on valesti määratud, võidakse varade juhtimine üle anda ründajatele.

Kui allkiri on lõpule viidud, võib teine pool teie ERC-20 märk või NFT üle kanda ilma uuesti kinnitamata.

Paljud ahelas tehingud võivad olla oma olemuselt ühekordsed tehingud, isegi kui need ei kanna varasid üle Nutikas lepingukõne.

Niinimetatud "kuueteistkümnendsüsteemi andmed" on tavaliselt ABI poolt kodeeritud "meetod + parameetrid".

Näide:

0xa9059cbb00000000000000000000000008e8...000000000000000000000000000000000000000000000000000000005f5e100

· Esimesed 4 baiti 0xa9059cbb: funktsioonivalija, antud juhul transfer(address,uint256)

· Ülejäänud: kodeeritud parameetrid, nagu märk aadress, vastuvõtuaadress, arvväärtus jne.

Ründaja jaoks võib see muutuda sisenemispunktiks pahatahtliku loogika käivitamiseks.

Kasutajale, kes ei mõista tehnilisi üksikasju, tundub see lihtsalt mõttetu märgijada.

Siin peitub lõks: pime allkiri.

Kasutajate silmis võib see olla lihtsalt 0-summaline tehing; ründaja kavandatud lepingus võib see olla kõrge riskiga heakskiit rühm.

Sellistel riskantsetel tehingutel on tavaliselt mõned ühised tunnused:

· 💸 0 ETH või väikesed tehingud: Laske kaitse alla.

· 🧬 Hex-andmed peidavad kõrge riskiga kõnesid: maskeeritud lihtsaks toiminguks.

· 🧠 Vastuvõtja on nutikas leping: See ei ole tavaline isiklik aadress, see võib olla pahatahtlik leping.

· ⚠️ Allkiri = Käivita: üks kinnitus võib käivitada heakskiit või varade ülekandmise.

Veelgi tülikam on: Seda tüüpi rünnakud võivad olla väga automatiseeritud.

Ründajad kasutavad skripte pahatahtlike lepingute ulatuslikuks juurutamiseks, andmepüügi veebisaidi käivitamiseks, kõrge riskiga linkide loomiseks ja reklaamimiseks järgmiste meetodite abil:

· Otsingumootori reklaam

· Discord grupp

· Twitteri/X vastus

· Võltskingitused ja NFT õhutilgad

Kui kasutaja klõpsab kinnitamiseks, võib üksainus allkiri anda varad teise osapoole kontrolli alla.

Turvalisus ei tohiks olla ainult kasutaja vastutusel. UKey ehitatakse Mitu kaitsekihti, et aidata neid varjatud riske tuvastada.

Praegu jätkame kaitse tugevdamist järgmiste aspektide osas:

Kui kasutaja valib tehingus Lubatud suvandi "Kuva kuueteistkümnendandmed", UKey kuvab kohe selge meeldetuletuse:

⚠️ See tehing sisaldab kuueteistkümnendsüsteemi andmeid ja võib hõlmata nutikat lepingut või märkheakskiit. Palun kinnitage hoolikalt.

See pole järelmõte, vaid enne allkirjastamist. Aktiivne kaitse.

Palume kasutajatel enne allkirjastamist peatada ja kinnitada: kuueteistkümnendsüsteemi andmed on omaette võimas tööriist, kuid need võivad olla ka pahatahtlike stsenaariumide riskide sisenemise punkt.

EVM kettide jaoks pakub UKey Reaalajas ABI dekodeerimine + funktsioonide riskianalüüs:

· Näidake selgelt kutsutavat meetodit

· enne allkirjastamist Märkige kõrge riskiga käitumine, sealhulgas:

o 🧾 Siht-aadressi tuvastamine: Kas see on teadaolev turvaleping või kahtlane aadress?

o 🕵️ ajalooline interaktsioon:Kas olete selle aadressiga varem suhelnud?

o 💰 märk ja summa: Mida sa tegelikult tahad heakskiit või saata?

Nii saavad kasutajad enne allkirjastamist näha tegelikku konteksti, selle asemel, et seista silmitsi dešifreerimata kuueteistkümnendsüsteemi andmetega.

Kasuta UKey Pro Sa ei pea lihtsalt jõllitama toorest kuuskantnööri.

Näete oma seadme ekraanil Tõeline, loetav teave:

· 🔍 funktsiooni nimi — Tea, millele sa tegelikult alla kirjutad.

· 💵 märk tüüp ja kogus: Kas lahutate kogu oma saldo heakskiit-st?

· 📍 sihtkoha aadress: Kas see on tuttav aadress või riskisignaal?

Iga teave võib aidata teil seda teha selgem otsus, Vähendage valesti märgistamist ja väärhinnanguid.

ahelas tehinguid ei saa üldiselt tagasi võtta. Iga allkiri tuleb hoolikalt kinnitada.

Samuti mõistame, et kasutajatel on lihtne mõelda järgmiselt:

"Ma arvasin, et ühendan lihtsalt oma rahakoti..."

Seetõttu kujundame iga UKey kihi Tõeline kasutajakaitse Pange see tähtsasse positsiooni.

Iga allkiri on usalduse hinnang. UKey aitab teil enne kinnitamist rohkem riskiteavet näha.