Selama setahun terakhir, kami telah melihat banyak pengguna kehilangan aset dompet mereka secara instan tanpa peringatan yang jelas.

Yang lebih mengejutkan lagi adalah penyerang bahkan tidak perlu melakukan transfer normal terlebih dahulu.

Yang mereka perlukan mungkin hanya tanda tangan transaksi dengan "data hex".

Ini mungkin terlihat seperti operasi sederhana: klaim NFT, bergabung dengan airdrop, sambungkan ke DApp atau situs web masuk.

Tampaknya tidak berbahaya: ​0 ETH, dikirim ke alamat kontrak pintar.

Namun ancaman sebenarnya tersembunyi di "data hex".

Penyerang akan menyandikan panggilan fungsi berbahaya di sini, misalnya:

· approve()

· increaseAllowance()

· transferFrom()

· setApprovalForAll()

· sweepToken()(Fungsi kontrak berbahaya yang disesuaikan)

Setelah fungsi-fungsi ini dihilangkan, kendali atas aset dapat diserahkan kepada penyerang.

Setelah penandatanganan selesai, pihak lain dapat mentransfer ERC-20 tanda atau NFT Anda tanpa konfirmasi lagi.

Banyak transaksi dalam rantai mungkin merupakan transaksi satu kali meskipun tidak mentransfer aset Panggilan kontrak pintar.

Yang disebut "data heksadesimal" biasanya merupakan "metode + parameter" yang dikodekan oleh ABI.

Contoh:

0xa9059cbb00000000000000000000000008e8...000000000000000000000000000000000000000000000000000000005f5e100

· 4 byte pertama 0xa9059cbb: pemilih fungsi, dalam hal ini transfer(address,uint256)

· Sisanya: parameter yang dikodekan, seperti alamat tanda, alamat penerima, nilai numerik, dll.

Bagi penyerang, ini bisa menjadi titik masuk untuk mengeksekusi logika jahat.

Bagi pengguna yang tidak memahami detail teknisnya, ini hanya tampak seperti rangkaian karakter yang tidak berarti.

Di sinilah letak jebakannya: tanda tangan buta.

Di mata pengguna, ini mungkin hanya transaksi dengan jumlah 0; dalam kontrak yang dirancang oleh penyerang, itu mungkin merupakan kelompok persetujuan yang berisiko tinggi.

Transaksi berisiko tersebut cenderung memiliki beberapa karakteristik umum:

· 💸 0 ETH atau transaksi kecil: Turunkan kewaspadaanmu.

· 🧬 Data hex menyembunyikan panggilan berisiko tinggi: Menyamar sebagai operasi sederhana.

· 🧠 Penerima adalah kontrak pintar: Ini bukan alamat pribadi biasa, ini mungkin kontrak jahat.

· ⚠️ Tanda Tangan = Jalankan: Satu konfirmasi dapat memicu persetujuan atau transfer aset.

Yang lebih merepotkan lagi adalah: ​Jenis serangan ini bisa sangat otomatis.

Penyerang akan menggunakan skrip untuk menyebarkan kontrak berbahaya dalam skala besar, meluncurkan situs web phishing, membuat tautan berisiko tinggi, dan melakukan promosi melalui metode berikut:

· Iklan mesin pencari

· Grup perselisihan

· Balasan Twitter/X

· Hadiah palsu dan airdrop NFT

Saat pengguna mengklik untuk mengonfirmasi, satu tanda tangan dapat menempatkan aset di bawah kendali pihak lain.

Keamanan tidak seharusnya menjadi tanggung jawab pengguna saja. UKey sedang dibangun Pertahanan berlapis-lapis, untuk membantu mengidentifikasi risiko tersembunyi ini.

Saat ini, kami akan terus memperkuat perlindungan dari aspek-aspek berikut:

Saat pengguna memilih opsi "Tampilkan Data Hex" di transaksi Diaktifkan, UKey akan segera menampilkan pengingat yang jelas:

⚠️ Transaksi ini berisi data heksadesimal dan mungkin melibatkan interaksi kontrak pintar atau tandapersetujuan. Mohon konfirmasi dengan teliti.

Ini bukan sekedar renungan, tapi sebelum penandatanganan. Perlindungan aktif.

Kami meminta pengguna untuk berhenti sejenak dan mengonfirmasi sebelum menandatangani: Data heksadesimal merupakan alat yang ampuh, namun juga dapat menjadi titik masuk terhadap risiko dalam skenario berbahaya.

Untuk rantai EVM, UKey menyediakan Dekode ABI waktu nyata + analisis risiko fungsi:

· Jelas menunjukkan metode yang dipanggil

· sebelum menandatangani Tandai perilaku berisiko tinggi, termasuk:

o 🧾 Identifikasi alamat sasaran: Apakah ini kontrak keamanan yang diketahui atau alamat yang mencurigakan?

o 🕵️ interaksi sejarah:Apakah Anda pernah berinteraksi dengan alamat ini sebelumnya?

o 💰 tanda dan jumlahnya: Apa yang sebenarnya Anda inginkan atau kirim persetujuan?

Dengan cara ini, pengguna dapat melihat konteks sebenarnya sebelum menandatangani, alih-alih hanya menghadapi serangkaian data heksadesimal yang tidak dapat dipahami.

Gunakan UKey Pro Anda tidak perlu hanya menatap string hex mentah.

Anda dapat melihatnya di layar perangkat Anda Informasi nyata dan dapat dibaca:

· 🔍 nama fungsi — Ketahui apa yang sebenarnya Anda tandatangani.

· 💵 Jenis dan jumlah tanda: Apakah Anda mengurangi seluruh saldo Anda dari persetujuan?

· 📍 alamat tujuan: Apakah ini alamat yang familier atau sinyal risiko?

Setiap informasi dapat membantu Anda mewujudkannya penilaian yang lebih jelas, Kurangi kesalahan pelabelan dan salah penilaian.

Transaksi dalam rantai umumnya tidak dapat "dibatalkan". Setiap tanda tangan perlu dikonfirmasi dengan cermat.

Kami juga memahami bahwa mudah bagi pengguna untuk berpikir seperti ini:

"Kupikir aku baru saja menghubungkan dompetku..."

Oleh karena itu, kami mendesain setiap lapisan UKey Perlindungan pengguna yang sebenarnya Letakkan di posisi penting.

Setiap tanda tangan adalah penilaian kepercayaan. UKey akan membantu Anda melihat lebih banyak informasi risiko sebelum mengonfirmasi.