1. Murgs bez skaņas
Pēdējā gada laikā mēs esam redzējuši pārāk daudz lietotāju, kuri vienā mirklī zaudē visus savus portfeļus — bez brīdinājuma.
Kas ir šokējošāks? Uzbrucējam pat nevajadzēja sūtīt žetonus.
Bija vajadzīgs tikai viens paraksts — darījums ar 'Hex Data'.
Tas varēja izskatīties pēc vienkāršas darbības: NFT pieprasīšana, pievienošanās gaisa kuģa, DApp pievienošana vai pierakstīšanās vietnē.
Šķietami nekaitīgs: 0 ETH, nosūtīts uz viedā līguma adresi.
Taču patiesie draudi bija paslēpti Hex Data iekšienē.
Šeit uzbrucēji kodē ļaunprātīgu funkciju izsaukumus, piemēram:
· apstiprināt()
· palielinātAllowance()
· pārsūtītNo()
· setApprovalForAll()
· "sweepToken()" (pielāgotas ļaunprātīgas līguma funkcijas)
Katra no šīm funkcijām uzbrucējam piešķir kontroli pār jūsu līdzekļiem.
Pēc parakstīšanas spēle ir beigusies — viņi var iztukšot jūsu ERC-20 marķierus vai NFT pēc vēlēšanās, bez papildu apstiprināšanas.
2. Hex Data: Nav paredzēts būt aklās vietas
Katrs ķēdes darījums — pat bez līdzekļu pārsūtīšanas būtībā ir viedā līguma zvans.
Tā sauktie "Hex Data" ir tikai ABI kodēti "metode + parametri".
Piemērs:
0xa9059cbb000000000000000000000000008e8...00000000000000000000000000000000000000000000000000000000005
· Pirmie 4 baiti "0xa9059cbb": funkciju atlasītājs, šajā gadījumā "transfer(address,uint256)"
· Pārējais: kodētie parametri — marķiera adrese, adresāts, vērtība utt.
Uzbrucējam šī ir universāla piespēle, lai izpildītu patvaļīgu loģiku.
Nezinošam lietotājam tā ir tikai bezjēdzīga virkne — kā noslēpumaina burvestība valodā, kuru viņš nesaprot.
Un tur slēpjas slazds: aklā parakstīšana.
Kas jums šķiet 0 vērtības darījums… …uzbrucējam šķiet pilna piekļuve jūsu makam.
3. Aklā parakstīšana, Hex parakstīšana un parakstu elle
Šīm krāpniecībām parasti ir kopīgas iezīmes:
· 💸 0 ETH vai mazas vērtības darījums: lai atbruņotu jūsu skepsi.
· 🧬 Hex Data satur ļaunprātīgu nolūku: tiek maskēta kā vienkārša darbība.
· 🧠 Saņēmējs ir gudrs līgums: nevis cilvēks, bet gan slazds.
· ⚠️ Paraksts = izpilde: viens klikšķis sniedz viņiem pilnu kontroli.
Un kas ir sliktāk: Šie uzbrukumi ir pilnībā automatizēti.
Krāpnieki izmanto skriptus, lai masveidā izvietotu ļaunprātīgus līgumus, izveidotu pikšķerēšanas vietnes, ģenerētu krāpniecības saites un reklamētu tās, izmantojot:
· Meklētājprogrammu reklāmas
· Nesaskaņu grupas
· Twitter/X atbildes
· Viltus dāvanas un NFT gaisa pilieni
Viņi vienkārši gaida to vienu brīdi — kad jūs noklikšķināt. Viens paraksts, un jūsu īpašumi pieder viņiem.
4. Kā UKey cīnās
Drošība nekad nedrīkst būt tikai lietotāja slogs. UKey mēs veidojam daudzslāņu aizsardzību, lai novērstu šīs slēptās nepilnības.
Lūk, ko esam paveikuši (un turpinām uzlabot):
(1) Hex datu brīdinājumi — pirmais garīgais šķērslis
Kad lietotājs darījumā iespējo opciju "rādīt Hex Data",UKey nekavējoties parāda skaidru brīdinājumu:
⚠️ Šis darījums ietver Hex datus un var ietvert viedo līgumu mijiedarbību vai pilnvaru apstiprināšanu. Esiet piesardzīgs.
Tā nav nožēla pēc parakstīšanas. Tā ir preventīva aizsardzība jau ar pirmo klikšķi.
Mēs vēlamies, lai lietotāji saglabātu modrību, jo Hex Data ir spēcīgs rīks, bet arī ierocis nepareizajās rokās.
(2) Hex datu parsēšana + augsta riska funkciju brīdinājumi
Visām EVM ķēdēm UKey tagad nodrošina reāllaika ABI dekodēšanu + funkciju riska analīzi:
· Skaidri parāda izsaukto metodi
· Izceļ augsta riska uzvedību pirms parakstīšanās, tostarp:
o 🧾 Mērķa adreses redzamība — vai tas ir zināms drošs līgums vai aizdomīga adrese?
o 🕵️ Vēsturiskā mijiedarbība — Vai esat iepriekš parakstījies ar šo adresi?
o 💰 Token & summa — ko tieši jūs apstiprināt vai nosūtāt?
Tādējādi lietotāji vairs neparaksta akli, bet gan ar reālu kontekstu un pilnīgu informētību.
(3) Aparatūras maka apstiprinājums
Izmantojot UKey Pro, jūs neredzat neapstrādātas Hex stīgas.
Jūs redzat reālu, cilvēkiem lasāmu informāciju tieši savas ierīces ekrānā:
· 🔍 Funkcijas nosaukums — ziniet, ko patiesībā parakstāt.
· 💵 Tokena veids un summa — Vai jūs autorizējat visu savu bilanci?
· 📍 Galamērķa adrese — vai šī ir pazīstama vai sarkans karogs?
Katrs lauks ir šeit, lai palīdzētu jums pieņemt informētu lēmumu, nav akls minējums.
5. Nobeiguma vārdi
Blokķēdē nav “atsauktu”. Katrs paraksts ir galīgs.
Mēs zinām, cik viegli ir domāt:
"Es domāju, ka es vienkārši pievienoju savu maku..."
Tāpēc mēs esam izveidojuši katru UKey slāni, paturot prātā reālu lietotāja aizsardzību.
Katrs paraksts ir uzticības jautājums. Un UKey ir šeit, lai būtu visuzticamākā aizsardzība, kāda jums ir.