การอัพเกรด Pectra ของ Ethereum ช่วยให้แฮกเกอร์ว่างเปล่าด้วยลายเซ็น!

by

อาเครือข่าย Ethereum มักจะยุ่งอยู่กับการอัพเกรดตัวเองเหมือนวัยรุ่นที่กระทำมากกว่าปก ล่าสุด “Pectra” สัญญาว่าจะมีคุณสมบัติใหม่มากมายที่มีจุดมุ่งหมายเพื่อสร้างความสามารถในการปรับขนาดและฟังก์ชั่นบัญชีอัจฉริยะในความฝัน แต่เช่นเดียวกับการพล็อตที่ดีการอัปเดตใหม่ที่เป็นประกายนี้ได้เปิดประตูระบายน้ำสำหรับแฮ็กเกอร์ซึ่งตอนนี้สามารถระบายกระเป๋าเงินของคุณได้เร็วกว่าพ่อบ้านในเวลา 17.00 น. – ทั้งหมดมีลายเซ็นออฟเชน

เปิดตัวเมื่อวันที่ 7 พฤษภาคมที่ EPOCH 364032 (ทำเครื่องหมายปฏิทินคนของคุณ) Pectra แนะนำประเภทการทำธุรกรรมใหม่ ตอนนี้ผู้โจมตีสามารถควบคุมกระเป๋าเงินของคุณได้โดยไม่จำเป็นต้องเกลี้ยกล่อมให้คุณลงนามในการทำธุรกรรม onchain มันเหมือนกับว่าพวกเขากำลังรูดกระเป๋าเงินของคุณในขณะที่คุณยุ่งกับการลูบคลำแมวของคุณ

เข้าสู่ Arda Usman ผู้ตรวจสอบบัญชีอัจฉริยะที่แข็งแกร่งซึ่งทำลายข่าวร้ายให้กับ Cryptomoon เห็นได้ชัดว่าผู้โจมตีต้องการข้อความที่ลงนามนอกเชนเท่านั้น ใช่คุณอ่านถูกต้อง

ผู้ร้าย? EIP-7702 คุณลักษณะใหม่ที่น่าตื่นตาของ Pectra ข้อเสนอการปรับปรุง Ethereum นี้แนะนำธุรกรรม SetCode (พิมพ์ 0x04) ช่วยให้ผู้ใช้สามารถควบคุมกระเป๋าเงินของพวกเขาไปยังสัญญาอื่นได้ และเดาว่าอะไร? พวกเขาเพียงแค่ต้องลงนามในข้อความ ไม่มีเรื่องใหญ่ใช่มั้ย จนกว่าแฮ็กเกอร์จะได้รับลายเซ็นนั้น

หากแฮ็กเกอร์จัดการเพื่อขัดขวางลายเซ็นนี้ – อาจผ่านไซต์ฟิชชิ่งหรือคำเชิญ Discord แบบร่าง – พวกเขาสามารถเขียนทับรหัสของกระเป๋าเงินของคุณด้วยพร็อกซีที่ส่งต่อการโทรไปยังสัญญาที่เป็นอันตรายของพวกเขาเอง มีเสน่ห์แค่ไหน!

“เมื่อตั้งรหัสแล้ว” Usman กล่าว “ผู้โจมตีสามารถเรียกใช้รหัสนั้นเพื่อส่ง ETH หรือโทเค็นของคุณที่บินเข้าไปในกระเป๋าของตัวเอง” ทั้งหมดนี้โดยที่ผู้ใช้ไม่เคยลงนามในธุรกรรมการถ่ายโอนปกติ น่ารัก.

ตอนนี้กระเป๋าเงินกลายเป็นสัญญาอัจฉริยะที่ตั้งโปรแกรมได้🖥

Yehor Rudytsia นักวิจัย onchain ที่ Hacken ชี้ให้เห็นว่าประเภทการทำธุรกรรมใหม่นี้เปลี่ยนกระเป๋าเงินของคุณให้เป็นสัญญาอัจฉริยะที่ตั้งโปรแกรมได้ มันเหมือนกับกระเป๋าเงินของคุณตัดสินใจที่จะก้าวกระโดดแห่งศรัทธาเข้าสู่โลกแห่งการพึ่งพาตนเอง-และผลลัพธ์ก็คือ … ก็น่ากลัว

“ประเภท TX นี้ช่วยให้ผู้ใช้สามารถตั้งรหัสโดยพลการเพื่อดำเนินการในนามของพวกเขา” Rudytsia อธิบายว่ามันไม่ใช่เรื่องใหญ่ ก่อนที่ Pectra จะไม่สามารถแก้ไขได้โดยไม่ต้องมีลายเซ็น ตอนนี้? ลายเซ็นออฟเชนแบบง่ายหนึ่งอันและบูมแฮ็กเกอร์มีการควบคุมอย่างเต็มที่ กะเทย! เช่นนั้น

Pre-pectra ผู้ใช้ต้องลงนามในการทำธุรกรรมเพื่อย้ายเงินทุนของพวกเขา Post-pectra เช่นเดียวกับ Rudytsia ดังนั้นจึงมีเสน่ห์“ การดำเนินการใด ๆ อาจถูกดำเนินการจากสัญญาที่ผู้ใช้อนุมัติผ่าน set_code” ตอนนี้ลายเซ็นการทำธุรกรรมไม่มีอะไรนอกจากความทรงจำที่ห่างไกล

ความเสี่ยง? โอ้พวกเขาเป็นจริงเหมือนใบเรียกเก็บเงินบัตรเครดิตของคุณ “Pectra เปิดใช้งานเมื่อวันที่ 7 พฤษภาคม 2025 จากช่วงเวลานั้นลายเซ็นการมอบหมายที่ถูกต้องใด ๆ สามารถดำเนินการได้” Usman เตือน สัญญาอัจฉริยะที่ยังคงพึ่งพาสมมติฐานเก่า ๆ เช่นการตรวจสอบ TX.origin หรือการตรวจสอบ EOA ขั้นพื้นฐานตอนนี้มีความเสี่ยงเหมือนบอลลูนในการประชุมเม่น

หากอินเทอร์เฟซกระเป๋าเงินของคุณไม่ได้จับสิ่งนี้คุณจะอยู่ในช่วงเวลาที่เลวร้าย Rudytsia กล่าวว่ากระเป๋าเงินนั้นมีความเสี่ยงเป็นพิเศษหากพวกเขาล้มเหลวในการวิเคราะห์ประเภทการทำธุรกรรมของ Ethereum โดยเฉพาะ 0x04 ซึ่งเป็นวิธีที่ยอดเยี่ยมในการพูดว่า “เงินของคุณจะหายไป”

ดังนั้นหากคุณได้รับหนึ่งในข้อความที่ร่างผ่านอีเมลความไม่ลงรอยกันหรือ dapp ปลอมให้คิดสองครั้งก่อนที่คุณจะลงนาม อาจเป็นสิ่งสุดท้ายที่คุณทำ

กระเป๋าเงินฮาร์ดแวร์? ไม่ปลอดภัยอีกต่อไป

แปลกใจประหลาดใจ! กระเป๋าเงินฮาร์ดแวร์เมื่อป้อมปราการของจักรวรรดิ crypto ของคุณไม่ได้เป็นสวรรค์ที่ปลอดภัยอีกต่อไปที่พวกเขาเคยเป็น Rudytsia ชี้ให้เห็นว่าอุปกรณ์เหล่านี้มีความเสี่ยงเช่นเดียวกับกระเป๋าเงินร้อนที่น่าเชื่อถือของคุณ “ ถ้าทำเสร็จแล้ว – เงินของคุณหายไปในทันที” เขาเตือน ใช่

ดังนั้นคุณจะทำอะไรได้บ้างเพื่อป้องกันตัวเองนอกเหนือจากการสวมหมวก Tinfoil และย้ายไปที่ห้องโดยสารระยะไกล? ก่อนอื่นอย่าเซ็นข้อความที่คุณไม่เข้าใจ ดูเหมือนง่ายพอใช่มั้ย Rudytsia แนะนำว่านักพัฒนากระเป๋าเงินให้คำเตือนที่ชัดเจนเมื่อมีการลงนามข้อความการมอบหมาย เนื่องจากเราทุกคนรู้ว่าครึ่งเวลาเราแค่คลิก ‘ยอมรับ’ โดยไม่ต้องอ่านสิ่งพิมพ์ที่ดี

ควรใช้ความระมัดระวังเป็นพิเศษกับรูปแบบลายเซ็นของคณะผู้แทนใหม่ที่แนะนำโดย EIP-7702 สิ่งเหล่านี้ไม่สามารถใช้งานได้กับมาตรฐานที่เก่ากว่าและพวกเขามักจะดูเหมือนแฮช 32 ไบต์ที่ไม่เป็นอันตราย การแจ้งเตือนสปอยเลอร์: พวกเขาไม่เป็นอันตราย

โอ้และถ้าข้อความรวมบัญชีของคุณไม่ได้อยู่? อาจจะยุ่งกับบัญชีของคุณโดยตรง เพราะใครไม่รักความวุ่นวายที่ไม่ได้เกิดขึ้นเล็กน้อย?

การเพิ่มการดูถูกการบาดเจ็บ EIP-7702 ช่วยให้ลายเซ็นที่มี chain_id = 0 ซึ่งหมายถึงข้อความที่เป็นอันตรายเหล่านี้สามารถเล่นซ้ำได้ในห่วงโซ่ที่เข้ากันได้กับ Ethereum ใช่มันแย่มาก

ในขณะที่กระเป๋าเงินหลายแบบยังคงแข็งแกร่งกระเป๋าเงินคีย์เดี่ยว-ไม่ว่าจะเป็นฮาร์ดแวร์หรืออย่างอื่น-ต้องการเวลา พวกเขาจะต้องมีการแยกวิเคราะห์ลายเซ็นใหม่และเครื่องมือที่มีการจับธงสีแดงเพื่อป้องกันการแสวงหาผลประโยชน์ที่อาจเกิดขึ้น

โอ้และอย่าลืมว่า Pectra ยังแนะนำ EIP-7251 ซึ่งเพิ่มขีด จำกัด การตรวจสอบความถูกต้องของ Ethereum จาก 32 เป็น 2,048 ETH ในขณะเดียวกัน EIP-7691 จะเพิ่มจำนวนข้อมูลต่อบล็อกต่อบล็อกปรับปรุงความสามารถในการปรับขนาดของเลเยอร์ 2 แต่จริงๆแล้วใครให้ความสนใจกับสิ่งนั้นเมื่อกระเป๋าเงินของคุณตกอยู่ในอันตราย

2025-05-11 16:37