TokenPocket閃兌服務商被盜，快檢查你開通了多少“無限授權”_TOK

今日，跨鏈DEX聚合器TransitSwap遭受攻擊，導致大量用戶的資金從錢包中被取出。截至目前，預計損失超2300萬美元。發現被盜后，TransitSwap技術團隊緊急暫停服務，合約已完全暫停，無法進行任何操作。發稿前TransitSwap官方發布公告稱，此前黑客攻擊事件原因系代碼錯誤，目前已確定黑客IP、電子郵件地址，以及相關的鏈上地址。TransitSwap團隊表示將盡力追蹤黑客，并嘗試與黑客溝通，幫助用戶挽回損失。慢霧分析，此次攻擊的主要原因在于TransitSwap協議在進行代幣兌換時并未對用戶傳入的數據進行嚴格檢查，導致了任意外部調用的問題。具體而言，路由合約本身沒有對transferFrom參數進行任何限制、也并未對解析后的兌換合約地址與調用數據進行檢查。攻擊者利用路由代理合約、路由橋合約與權限管理合約均未對傳入的數據進行檢查的缺陷，通過路由代理合約傳入構造后的數據調用路由橋合約的callBytes函數，實現了竊取所有對權限管理合約進行授權的用戶的代幣。目前黑客已將2500BNB轉移到TornadoCash，剩余資金分散保留在黑客地址中。經過黑客痕跡分析發現，黑客存在從LATOKEN等平臺存提款的痕跡。此外，安全團隊PeckShield已確認黑客資金流向。

前1000以太坊巨鯨過去24小時加倉前10Token排名，SNX躍升至第三:金色財經報道，據whalestats.com數據，前1000以太坊巨鯨地址在過去24小時加倉前10Token中，ETH居首，SNX躍升至第三，FTX、AAVE、BNB分別位列第五、第六、第七。[2022/6/6 4:04:00]

與此前被盜項事件不同的是，TransitSwap是TokenPocket錢包的閃兌服務提供商。這讓大量用戶實現了“無感被盜”的絲滑體驗，也再一次向我們明確了加密市場“黑暗森林”的恐怖法則，即使是錢包背書的便捷“閃兌”服務，依然存在被盜隱患。什么是閃兌？

目前，幾乎所有錢包都嵌入了DeFi功能，而一些錢包出于易用性的考量，更是創造了“閃兌”這一概念并加以應用。所謂閃兌，即和錢包深度整合，在產品中擁有更明顯的獨立入口、更簡化的操作流程，更便捷的操作。使用閃兌用戶可以方便、快速的完成加密資產交易。例如，“Approve”操作通常被簡單的一鍵式集成在交易流程中，用戶幾乎是無感的。或是因錢包內置集成，用戶對其天然更具信任，也一定程度降低了防范意識。但究其本質，無外乎是錢包app集成的一款DEX，與其他DEX并無差異。這也給本次安全事件留下了隱患。

Filecoin去中心化金融平臺DeFIL已入駐TokenInsight:據官方消息，Filecoin去中心化金融平臺DeFIL已入駐區塊鏈數據服務平臺TokenInsight。DeFIL正式入駐TokenInsight后，將在TokenInsight公開透明的披露DeFIL項目信息。

據悉，TokenInsight是一家區塊鏈領域數據服務提供商，專注于通證市場領域的數據與評級服務。

DeFIL 是一個去中心化的Filecoin借貸和金融服務平臺，平臺FIL存幣量最高突破200萬枚，用戶參與存FIL可獲取利息收益以及獲取平臺治理通證DFL，且DFL可繼續進行Staking挖礦。DeFIL項目已獲得由IPFS生態基金、分布式資本、FBG資本、以及Gate Labs、ZB Capital等機構的陸續投資。[2021/6/28 0:10:58]

合約授權潛藏了多少風險？

“沒有人可以強行拿走你的加密資產”，是投資者對區塊鏈特性的一種廣泛共識。鏈上資產一旦被錢包所有，沒有任何強制手段將其轉移。但當我們使用DEX進行鏈上交易之時，DEX是如何將一種資產拿走再轉移給你另一種資產的？授權就成為了這一切的關鍵。用戶于DEX出售資產之前，需先執行“Approve”操作，這一操作之后合約便擁有了動用用戶某種代幣的權限。或者描述的更加直白一些：只要你做了授權，無需打開錢包、無需執行操作、無需私鑰，該合約就可以不經你的許可，支配你授權的資產。這是由以太坊的機制和授權模型所決定的，與項目方的道德操守、安全規范、代碼審計都并無任何關系。

ABD今日上線TokenBetter 最高漲幅逾44500%:據官方消息，ABD（Aubade）今日15:00上線TokenBetter TB交易區，并開放ABD/TB交易對。TokenBetter行情顯示，ABD的最高漲幅44500%，最高報價12.80USDT，現報價約2.51USDT。ABD為TokenBetter礦池的第三個挖礦幣種。

Aubade的使命是打造一個開放自由的去中心化金融系統，重塑加密市場。Aubade平臺的主打產品為去中心化永續合約，為用戶提供去中心化、最大20倍的鏈上杠桿。[2020/9/18]

審計=安全？

即使授權之后合約擁有轉移加密資產的能力，但這種能力只在合理的范圍內使用，這依然是安全的。而如果經過可信安全機構審計，是否即表示這種能力不會被濫用，只在用戶進行交易時轉走交易額的必要資產？靜態來看，這一邏輯是成立的。就如同Uniswap盡管擁有隨時將用戶錢包清空的能力，但并不會真的這么做一樣。但動態來看，這一邏輯依然是危險的。現代軟件開發，升級是一項必不可缺的能力。智能合約也是如此。在Solidity智能合約中，擁有Transparent和UUPS兩種升級方法，借助于這兩個功能，合約代理和升級幾乎是業界合約的標配。項目方是如何進行合約升級的呢？通常，用戶所訪問的合約并非直接運行業務邏輯的核心合約，而是一個“代理合約”，代理合約接收到用戶請求之后將其轉發到核心的業務合約，再由業務合約進行處理。而合約升級即是更換掉最終轉發至的業務合約。簡單來說，智能合約盡管不可修改，但用戶所最終訪問的、運行業務邏輯的合約是可以替換的。這也是業界的通用做法。而即便是最安全的合約，只要進行“合約升級”，其業務合約就已發生變化，此前的審計報告也淪為了一張廢紙。簡單來說，今天你所交互的合約是安全的，但明天訪問同樣的這個項目，可能他的安全性已經發生根本性改變。合約仍可能擁有轉走你所有已授權資產的能力。

TokenBetter主流幣行情數據：BTC24小時跌0.59%:TokenBetter官方行情數據，截至5月9日9:35，BTC24小時跌0.59%，現報9882.4USDT；ETH24小時漲1.05%，報213.64USDT；EOS24小時漲2.02%，報2.7854USDT；BCH24小時漲5.65%，報268.54USDT；BSV24小時漲2.39%，報214USDT；LTC24小時漲1.44%，報47.75USDT；XRP24小時漲1.3%，報0.22006USDT；ETC24小時漲2.03%，報7.168USDT。

本周六，美股三大指數收漲。DJIA24小時漲1.91%，報24331.32點；NDX24小時漲1.58%，報9121.32點；SPX24小時漲1.69%，報2929.8點。[2020/5/9]

無限授權有多危險？

所幸的是，授權并不代表用戶隨時暴露于錢包清空的危險中下。授權機制還有一個重要規則即是授權是含有數量的。用戶“Approve”合約一定數量的代幣，合約最多只能動用這些數量，即使是錢包里該代幣數量再多，合約也已無法動用。但危險的是，大多數DeFi合約都在無所顧忌索取用戶的“無限授權”，即在默認情況下，用戶所Approve的代幣數量為無限。

金色財經現場報道：imToken創始人何斌：以太坊是現在區塊鏈領域做得最好的生態平臺之一:金色財經6月3日現場報道，在今天的以太坊技術及應用大會上，imToken創始人何斌做了《The User, The Trader, The Developer》主題演講，何斌說，兩年來，以太坊是現在區塊鏈領域做得最好的一個生態平臺之一。從數據可以就可以看出。第一，從2016年3月正式上線，以太坊的市值現在已經接近600億美元，差不多是比特幣的一半；第二，以太坊網絡已經擁有3500萬個錢包，ERC標準的通證現在已經超過8萬個，其中65個已經超過1億美元的市值，imToken沒有發幣，如果算上imToken應該是66個；第三，關于DApps，以太坊已經擁有龐大的社區，已經上線的或者正在開發的DApps1500個，超過25萬開發者，有30多萬訂閱者，有非常多活躍開發者。第四，還有區塊鏈每天80萬筆，對比一下比特幣，它大概在四五十萬比。這組數據印證了以太坊是目前區塊鏈生態最早最大的開發者平臺。[2018/6/3]

用戶如何防范？

沒有授權就沒有安全隱患。在執行鏈上操作之時，如需執行Approve操作，用戶應遵循“用多少、授多少”的原則。如果我只需賣出1000TOKEN，那即應手動修改Approve金額為1000。在計算合約轉移金額時是累積的，即若只授權1000、本次金額恰好交易了1000，合約授權額度恰好已耗盡。即使日后合約出現安全風險，也已無法再從用戶錢包中轉移走任何資產。

而對已經授權的用戶來說，還可發起取消授權操作。常用取消授權網站如下：1.Dappstar：https://tac.dappstar.io/#/2.Revoke：https://revoke.cash/3.Approved.zone：https://approved.zone/4.RabbyWallet此外，一些區塊鏈瀏覽器也支持用戶查看并取消授權。https://cn.etherscan.com/tokenapprovalcheckerhttps://bscscan.com/tokenapprovalchecker

DeFi被盜，誰的責任？

“黑暗森林”是廣為流傳的對于鏈上秩序的敘述了，也提醒著用戶這個世界的危險性和高風險。但諸如此類的安全事件一再發生，真的可以全部歸責于用戶的安全意識嗎？在此類事件中，DeFi項目對于用戶授權毫無節制的索取是隱患的最初來源，幾乎所有的項目，在索取授權之時其默認選項都是無限授權。盡管用戶可以手動修改，但一個負責任的市場應承擔投資者保護和用戶教育的責任。至今，仍有多少加密用戶尚不清楚授權的危險？而在這種環境背景之下，項目方仍在索取危險極大的無限授權。DeFi濫用授權的情況早已成為業界慣例，而這一高危情況幾乎危及所有用戶的天量資產，其影響之深遠、廣泛、隱患之巨，恐怕尚未有一個安全隱患可以望其項背。該風險從根本上違背了“沒有人可以拿走錢包里的幣”這一樸素的直覺。這也是行業需要一直面臨的風險和挑戰。被盜事件發生后，神魚就已在推特做出呼吁，“呼吁一下項目方規范使用授權功能，用多少授權多少，不要無限授權，大家都放心。”去中心化充滿著機會與風險。還記得加密技術最初的愿景嗎？“保護你的資產，沒有人可以奪走你錢包里的加密貨幣。”而一個良性秩序的建立，需要的不是復雜的代碼、晦澀的概念，確保每一個普通用戶都能安全的使用加密技術，仍然需要行業里每一個參與者共同的努力。

Tags：TOKETOKENKENTOKShibance TokenLympo Market TokenMyTV TokenMesse Token

幣贏