比特幣交易所 比特幣交易所
Ctrl+D 比特幣交易所
ads
首頁 > 狗狗幣 > Info

「不授權」到底安全嗎:Move背后的設計思想_NBS

Author:

Time:1900/1/1 0:00:00

最近關于用戶和 Move 智能合約交互,不需要授權 (Approve) 是更安全還是更不安全的爭論很多,這里嘗試用通俗的方式來解釋一下二者背后的區別以及 Move 這樣設計背后的思想。  

我們先理解一下用戶和智能合約交互的方式。當我們簽了一個交易,去調用一個鏈上的智能合約,就好比從物理世界進入了一個智能合約的數字世界,我們在這個數字世界有一個分身,而這個分身做什么,是智能合約定義的。  

在 EVM 中,每個合約都相當于一個獨立的小世界,分身進入這個世界后,只能操作用戶在當前合約世界中的狀態(資產)。  

比如進入 swap 世界,想用自己的 usdt 交換其他資產,而 usdt 存在定義 usdt 的那個合約世界,沒辦法直接在 swap 中以自己的身份從 usdt 合約里提取資產。于是用戶只能先去 usdt 的合約世界執行 approve,告訴 usdt 的合約,swap 可以代自己提取自己的資產,然后再進入 swap 世界進行操作。  

7月份有超過10,000名新質押者加入Lido:金色財經報道,據Liquid質押協議的最新報告,7月份有超過10,000名新質押者加入Lido,這表明盡管當前的市場形勢,Lido的采用和增長仍在繼續。7月,Lido的TVL自2022年5月以來首次短暫超過150億美元。[2023/8/8 21:30:50]

操作完成之后,再去 usdt 那邊取消授權(revoke)。但這里的 approve 和 revoke 操作都需要獨立的交易,用戶往往為了節省 gas 費用,不進行 revoke,結果如果 swap 合約出安全問題,用戶的資產就可能在不知情的情況下被盜取。  

而在 Move 中,所有的合約都在一個大的數字世界運行。用戶的數字分身可以自由的在合約間移動,執行任何操作,同時用戶的狀態(資產)存在用戶自己的存儲空間。  

國家地理將于美東時間1月17日推出首個NFT系列“早安:世界各地的黎明”:據官方推特,國家地理宣布將于明日(美東時間1月17日)推出首個NFT系列“早安:世界各地的黎明”。據悉,該系列將由十六位富有創意的攝影師將在全球范圍內捕捉黎明構成,并向web3社區和全世界發送他們對早安的問候。這16張圖片中的每一張都將只發行118版本,總共1888份。

購買需提前在Snowcrash上創建一個帳戶,并通過KYC身份驗證,賬戶需存入至少215枚Matic(約200美元)。[2023/1/17 11:16:05]

用戶從 swap 入口進入,從自己的余額提取 usdt,交換,存儲可以在同一個交易里原子化完成。這種模式給合約帶來更自由的組合模式,可以玩出很多 EVM 上很難實現的組合玩法,這也是 EVM 上的賬戶抽象方案想實現的模式。當然,這也帶來了新的安全挑戰。  

Opera瀏覽器已集成MetaMask等第三方錢包:9月13日消息,專注于 Web3 的加密瀏覽器 Opera 現已支持MetaMask等第三方錢包。Opera 通過名為 Wallet Selector 的功能集成第三方錢包意味著除了瀏覽器的原生非托管錢包外,用戶還可以選擇 Google Chrome 或 Opera 商店中可用的任何錢包擴展程序與特定的 dApp 或網站進行交互。(Decrypt)[2022/9/13 13:27:11]

那 EVM 中能否直接增加一個特性,讓合約間的調用可以把用戶身份直接帶過去?這個技術上是可以實現的,但 EVM 中支持動態調用,可以調用任意地址的合約,讓這種操作的風險變的很難度量,同時 EVM 的狀態變更對用戶和錢包都不友好,錢包很難通過狀態變化對用戶進行提示。  

魏鵬舉:金融化并非是數字藏品真正的問題,傳統的文化資產、藝術資產就可以金融化:金色財經消息,近日,新京報貝殼財經會客廳——建立數字藏品的正向發展標準和路徑,數字藏品行業如何“守正·創新”規范發展研討會在北京舉行,中國藝術科技研究所副所長庹祖海、北京政協委員、北京國際大數據交易所首席專家王臻、文化和旅游部“十四五”規劃專家委員會委員、中央財經大學文化經濟研究院院長魏鵬舉、國家文旅公共文化創新發展研究基地主任、中國傳媒大學文化發展研究院副院長卜希霆、中國信通院云計算與大數據研究所區塊鏈負責人張奕卉、金杜律師事務所北京辦公室參會代表齊菲參加研討會。

魏鵬舉表示,數字藏品屬于新生事物,必須給予一定的包容。金融化并非是數字藏品真正的問題,傳統的文化資產、藝術資產就可以金融化,藝術品質押也是金融化,國家還有文化金融的概念,這說明藝術品金融化本身并沒有問題,最大的問題是金融價值不能對應實體價值所發生的虛擬化。(新京報)[2022/7/4 1:48:53]

而 Move 中解決這個安全挑戰有兩個方法: 

1. 在預執行合約的時候把合約執行后的狀態變更提示給用戶,讓用戶可以知道這個交易操作了自己的哪些重要資產,以及執行后的結果。這個方法 StarMask 中已經實現,參看鏈接以及附圖 https://starcoin.medium.com/starmask-v4-6-

2. 可能有部分合約可以通過設置條件,讓一部分用戶預執行的時候無法發現狀態變更。@0xmetazen 的分析 https://twitter.com/0xmetazen/status/1582581013972414465 ,但 Move 中沒有動態調用,合約在部署時,它的執行邏輯就是確定的。可以通過靜態分析字節碼,得到合約所有可能路徑上操作的狀態,在區塊瀏覽器或錢包里提示給用戶。  

EVM 和 Move 的兩種方案,帶來的安全風險是不一樣的。Approve 方案的安全風險是把一個即時的授權變為長期授權,它的風險不是立刻發生的,比如合約漏洞未被發現或者惡意合約放長線釣大魚。而一旦發生,用戶往往很被動,很多用戶可能都忘記授權過哪些合約了。 

而 Move 的方案給了合約更大的自由權,遇到惡意合約會有較大風險,但這種風險是即刻發生的,是可以通過技術手段來檢測的。最壞的情況,至少前面沖的快到人趟坑了,可以給后面的人警示,惡意合約會快速暴露出來。

最后,世上沒有銀彈,不可能靠用了某種技術就解決了所有安全問題,需要鏈,工具,用戶一起努力。 

對 Move 用戶的安全建議: 

1. 選用狀態變更提示更完備的錢包,并嘗試理解錢包的提示。 

2. 不要隨意和來源未知或未開源的 DApp 交互。 

3. 如果做不到上面兩點,可以等別人先趟一下坑。

Move 在安全方面的挑戰以及改進方案不僅僅是這些,我會在《為什么是 Move》系列的安全篇里詳述,想了解的朋友可以關注一下。  

區塊律動BlockBeats

媒體專欄

閱讀更多

金色早8點

金色財經

1435Crypto

吳說區塊鏈

blockin

比推 Bitpush News

Block unicorn

Foresight News

Odaily星球日報

Bankless

DeFi之道

Tags:NBSBSPMOVMOVENBS價格BSPAY幣MOVEZmovez幣值得投資嗎

狗狗幣
通過治理超結構實現DAO永久運行_DAO

Aragon 核心團隊發布構建DAO治理的超結構策略,如果該協議可以實現,將會促使DAO規模化的進程.

1900/1/1 0:00:00
Arcane Research:比特幣挖礦“廢熱”如何重新利用_比特幣

作者:Jaran Mellerud,Anders Helesth編譯:TSE(擎速能源)Kate供熱領域是全球最大的能源終端消費領域.

1900/1/1 0:00:00
Web3產品的發展現狀與技術制約_WEB3

Web3被認為是改變人類數據存儲和處理方式的技術。那么,目前Web3領域所需的技術已經達到了什么采用水平?Web3是否會順利發展為人類未來幾年的技術趨勢?Web3 支持者與反對者對上述問題觀點不.

1900/1/1 0:00:00
近期Web3數據:Web2應用型創業者的春天已悄然來臨_OIN

美國紅點創投管理合伙人Tomasz Tunguz近日在DuneCon 2022分享的一組數據表明,在熊市周期,Web3領域的各項數據自高峰時普遍下跌40%到70%.

1900/1/1 0:00:00
馬斯克收購推特對于狗狗幣有何影響?_狗狗幣

作者:比推BitpushNews Derrick Chen狗狗幣(Dogecoin)的走勢繼伊隆·馬斯克(Elon Musk)收購Twitter一事塵埃落定,狗狗幣的價格順勢上漲.

1900/1/1 0:00:00
加密大空頭:比電影還精彩的商戰復盤_SAM

我不知道“CZ”的手法是否會載入商業史或金融史,但至少會載入加密史,一般人可能看不懂,但如果是trader,一定會大受震撼。十年后再看今天,不僅會發現是比電影還精彩的商戰,而且可能會意義非凡.

1900/1/1 0:00:00
ads