Durante o ano passado, vimos muitos usuários perderem seus ativos de carteira instantaneamente, sem aviso aparente.

O que é ainda mais surpreendente é que o invasor nem precisa iniciar primeiro uma transferência normal.

O que eles precisam pode ser apenas uma assinatura de transação com "dados hexadecimais".

Pode parecer uma operação simples: reivindicar um NFT, participar de um airdrop, conectar-se a um DApp ou ao site entrar.

Parece inofensivo: 0 ETH, enviado para o endereço do contrato inteligente.

Mas a verdadeira ameaça está escondida nos "dados hexadecimais".

Um invasor codificaria chamadas de função maliciosas aqui, por exemplo:

· approve()

· increaseAllowance()

· transferFrom()

· setApprovalForAll()

· sweepToken()(Função de contrato malicioso personalizada)

Uma vez que essas funções sejam perdidas, o controle dos ativos poderá ser entregue aos invasores.

Assim que a assinatura for concluída, a outra parte poderá transferir seu ERC-20 ficha ou NFT sem confirmar novamente.

Muitas transações na rede podem ser transações únicas por natureza, mesmo que não transfiram ativos Chamada de contrato inteligente.

Os chamados "dados hexadecimais" geralmente são "método + parâmetros" codificados pela ABI.

Exemplo:

0xa9059cbb00000000000000000000000008e8...000000000000000000000000000000000000000000000000000000005f5e100

· Primeiros 4 bytes 0xa9059cbb: seletor de função, neste caso transfer(address,uint256)

· O resto: parâmetros codificados, como endereço ficha, endereço de recebimento, valor numérico, etc.

Para um invasor, pode se tornar um ponto de entrada para executar lógica maliciosa.

Para um usuário que não entende os detalhes técnicos, parece apenas uma sequência de caracteres sem sentido.

É aqui que reside a armadilha: assinatura cega.

Aos olhos dos usuários, pode ser apenas uma transação de valor 0; no contrato desenhado pelo invasor, pode ser um grupo de aprovação de alto risco.

Tais transações arriscadas tendem a ter algumas características comuns:

· 💸 0 ETH ou pequenas transações: Abaixe a guarda.

· 🧬 Dados hexadecimais ocultando chamadas de alto risco: Disfarçado como uma operação simples.

· 🧠 O receptor é um contrato inteligente: Não é um endereço pessoal comum, pode ser um contrato malicioso.

· ⚠️ Assinatura = Executar: Uma única confirmação pode acionar o aprovação ou a transferência de ativos.

Ainda mais problemático é: Esses tipos de ataques podem ser altamente automatizados.

Os invasores usarão scripts para implantar contratos maliciosos em grande escala, lançar o site phishing, gerar links de alto risco e promover através dos seguintes métodos:

· Publicidade em mecanismos de pesquisa

· Grupo de discórdia

· Twitter/X Resposta

· Brindes falsos e lançamentos aéreos NFT

Quando o usuário clica para confirmar, uma única assinatura pode colocar os ativos sob o controle da outra parte.

A segurança não deve ser responsabilidade exclusiva do usuário. UKey está sendo construído Múltiplas camadas de defesa, para ajudar a identificar esses riscos ocultos.

Atualmente, continuaremos a reforçar a proteção nos seguintes aspectos:

Quando o usuário seleciona a opção "Mostrar dados hexadecimais" na transação Habilitado, UKey exibirá imediatamente um lembrete claro:

⚠️ Esta transação contém dados hexadecimais e pode envolver interação de contrato inteligente ou fichaaprovação. Por favor confirme com atenção.

Esta não é uma reflexão tardia, mas antes de assinar. Proteção ativa.

Pedimos aos usuários que façam uma pausa e confirmem antes de assinar: os dados hexadecimais são uma ferramenta poderosa por si só, mas também podem ser um ponto de entrada para riscos em cenários maliciosos.

Para cadeias EVM, UKey fornece Decodificação ABI em tempo real + análise de risco de função:

· Mostrar claramente o método que está sendo chamado

· antes de assinar Sinalize comportamentos de alto risco, incluindo:

ó 🧾 Identificação do endereço de destino: Este é um contrato de segurança conhecido ou um endereço suspeito?

o 🕵️ interação histórica:Você já interagiu com este endereço antes?

ó 💰 ficha e valor: O que você realmente deseja aprovação ou enviar?

Dessa forma, os usuários podem ver o contexto real antes de assinar, em vez de apenas enfrentar uma sequência de dados hexadecimais indecifráveis.

Usar UKey Pro Você não precisa apenas olhar para a string hexadecimal bruta.

Você pode ver na tela do seu dispositivo Informações reais e legíveis:

· 🔍 nome da função - Saiba o que você está realmente assinando.

· 💵 Tipo e quantidade ficha: Você está deduzindo todo o seu saldo do aprovação?

· 📍 endereço de destino: Este é um endereço familiar ou um sinal de risco?

Cada informação pode ajudá-lo a fazer julgamento mais claro, Reduza a rotulagem incorreta e o julgamento incorreto.

As transações na rede geralmente não podem ser "desfeitas". Cada assinatura precisa ser cuidadosamente confirmada.

Também entendemos que é fácil para os usuários pensarem assim:

"Achei que estava apenas conectando minha carteira..."

Portanto, projetamos cada camada do UKey Verdadeira proteção do usuário Coloque-o em uma posição importante.

Cada assinatura é um julgamento de confiança. UKey ajudará você a ver mais informações de risco antes de confirmar.