对于开发者来说,AUTH/AUTHCALL机制非常具有吸引力。它可以让人们创建调用者来实现不同的批量处理策略、gas抽象模型和复杂的账户抽象方法等。这种灵活性源于这一机制赋予了开发者极大的自由。AUTH/AUTHCALL机制不要求开发者遵循特定的模式,而是要求用户签署一个commit哈希值,让开发者基于commit自行设置限制。然而,这种灵活性是以牺牲安全性为代价的。在本文中,我想要介绍一种更简单的替代方案。这个方案具备AUTH/AUTHCALL机制的绝大多数优点,但是风险远低于后者。为什么签署一个AUTHcommit所带来的风险高于签署一个与存在漏洞/恶意合约相关的事务?用户在签署与合约相关的事务时,所承担的风险是已知的,即,可能会损失在该合约控制范围内的资产。比方说,用户给一个ERC20合约签署了批准事务,授权恶意的DEX合约。这个恶意DEX合约就可以提走用户在ERC20合约中的全部余额。但是,它无法从该用户的其它ERC20合约中提走代币,除非得到该用户的批准。它也不能代表用户进行其它操作,因为这也需要专门获得用户的批准。相较之下,EIP3074不仅要求用户签署“空白支票”,而且假设调用者是诚实且没有漏洞的。一个恶意/存在漏洞的调用者可以代表用户执行任何操作——访问用户持有的资产,代表用户进行投票,控制用户所有的合约等。更糟糕的是,调用者随时都可以作恶,因为nonce实现是由调用者控制的。存在漏洞/恶意的nonce逻辑实现可以重放用户过去的事务。如果commit验证的其它部分的逻辑也存在漏洞,调用者就可以利用这个nonce逻辑实现来代表用户执行任何操作。即使漏洞被发现,用户也无法撤回空白支票。这个外部账户已经被永久入侵了。编写一个正确的调用者程序很难,而且我们几乎可以肯定,调用者会不定期出现错误,从EIP3074最后列出的调用者应该警惕的检查/漏洞/情况非详尽清单中可见一斑。这份清单势必会变得越来越长,很可能伴随着痛苦的发现过程。此外,恶意参与者可以编写一个看似无害的调用者程序,但是故意留下一个细微的漏洞,等到大量外部账户授权该调用者之后才会被攻击者利用。如果攻击者没有直接或立即利用这个漏洞从用户那里窃取资金,这个漏洞可能很长时间都不会被发现。治理劫持示例
区块链网络 Horizen 将于下周对 Yuma 测试网进行压力测试:3月5日消息,支持零知识的区块链网络 Horizen 宣布将于 3 月 6 日开始的一周对 Yuma Testnet 进行预定的压力测试,在测试期间可能会发生潜在的网络停机。测试的目的是通过增加超出正常情况限制的链上活动来检查 EON 平台的稳健性和错误处理能力。Yuma 区块浏览器可能会在区块中显示大量交易,可能会因流量异常高而出现临时中断。
此前,Horizen 的公共 EVM 兼容侧链和智能合约平台 HorizenEON 于 2 月 25 日上线 Yuma Testnet。[2023/3/5 12:43:18]
恶意去中心化交易所EveSwap为其用户编写了一个调用者程序。这个调用者程序通过空投EVE代币来为用户提供gas资助,并批量处理用户的批准和转账事务。EveSwap的调用者程序看似无害,而且永远不会窃取用户的代币,因为这样马上就会露馅。用户很开心。交易都成功了,交易费也很便宜。几个月来平安无事。然而,每当有人使用EveSwap交易AliceSwap的治理代币ALI时,会自动将用户的AliceSwap投票权委托给EveSwap。一旦授权人数达到某个阈值,EveSwap就会通过治理提案劫持AliceSwap。EveSwap用户不太可能注意到这个过程,因为交易总是成功的,但是最终会给AliceSwap带来毁灭性的打击。跨链重放示例
Midpoint 完成对 Blockchain World 的收购:金色财经报道,Midpoint宣布已完成对Blockchain World收购。BWL是一家专注于构建创新的、以消费者为中心的基于区块链的产品的公司。BWL拥有高级域名Blockchain.eu(欧洲)、Blockchain.com.au(澳大利亚)和Hivello.com;所有这些都预计将在 2022 年推出。
作为交易的对价,Midpoint已向BWL的现有股东发行了10,000,000 股普通股。对价股份的转售受到限制,解禁日为2022年9月14日。[2022/3/17 14:01:43]
EIP3074合理地建议commit应该包含chainid。但是,这是由调用者,而非协议执行的。在另一条链上有着相同地址的调用者可能会跳过该检查。EveSwap在兼容EVM的BobSpongeChain上运行,后者支持EIP3074。EveSwap在BobSpongeChain上部署了一个诚实的调用者。用户使用该调用者在BobSpongeChain上交易,然后使用桥将资产转移到以太坊上。EveSwap使用同一个部署密钥在以太坊上部署了另一个地址相同的调用者。这个在以太坊上的调用者不会检查commit,只会检查ownerOnly,并充当其所有者的通用AUTH/AUTHCALL代理。这样一来,EveSwap就可以劫持用户在以太坊上的外部账户并卷走他们的资产了。用户从未在以太坊上交易过,运行在BobSpongeChain上的调用者程序又经过了严格的安全审查。尽管如此,用户还是丢失了全部资产。以太坊通过EIP155的重放保护来防范这种情况。AUTHCALL没有重放保护。由于所有commit检查都交给调用者完成,我们失去了以太坊提供的一切交易保护。攻击是在所难免的,因为保护措施很随意。如果要接受EIP3074,AUTH消息必须明确包含chainid,而非将其作为commit的一部分。我们还能采取什么别的手段?
OpenZeppelin 针对 Solidity 0.8 正式发布 OpenZeppelin Contracts 4.0 版:以太坊技术服务商 OpenZeppelin 针对智能合约编程语言 Solidity 0.8 版本 正式发布 OpenZeppelin Contracts 4.0 版本,更新内容包括重组存储库、存储优化、删除了存储变量和内部函数并涵盖decimals函数可实现设置保留小数的位数、在基本合约中删除了对 ERC721 代币的可枚举性并将其作为可选扩展、取消与 GSNv1 集成,并开始增加对 GSNv2 (元交易,模块化的系统)的支持。在未来几日内,OpenZeppelin 将提供一个可使用 OpenZeppelin Contracts 快速启动项目的工具。[2021/3/25 19:16:33]
我的提议是实现一个更明确的机制,在协议层面强制规定commit的含义。commit结构将是类型化的,钱包会以用户可读的形式将commit呈现出来。用户可以确切地知道事务是什么样子的,并确信这个事务不会在任何链上重放,无需依赖于调用者程序开发者的品行和能力。一个可能的实现:AUTH将使用包含授权调用列表的类型化结构代替commit哈希值。每个调用都将指定{nonce,to,gas,calldata,value,chainid}。签名将被验证,整个授权调用列表将保存为authorized_transactions而非authorized地址变量。AUTHCALL将得到一个新的参数index,该参数指向最后一个AUTH创建的列表中的地址。用户地址的nonce将随AUTHCALL递增。nonce并非由调用者存储,而是实际的账户nonce。利:用户可以清楚地了解情况。安全性由协议保障。依然支持批处理和账户抽象。弊:nonce实现,不支持并行。复杂调用者程序的事务处理起来很繁琐,因为用户必须查看并接受整个调用列表。不同的实现可能支持不同的nonce方案。但是,无论我们使用什么机制,该机制必须由协议而非调用者执行。无论如何都应该避免让复杂调用者执行大量用户调用。复杂操作应该作为普通的智能合约实现,而非尝试实现使用多个外部账户调用的算法。替代方案:完全避免硬分叉
Gate.io上线MTR/USDT交易对 4小时涨幅最高达71.69%:据官方消息,Gate.io新交易对MTR/USDT上线4小时内持续上涨,据Gate.io行情显示, MTR今日涨幅最高达71.69%,当前涨幅63.69%,4小时最高价1.627美元,
据悉,MTR是Gate.io7月推出的Startup首发项目Meter系统的低波动代币 ,已于今日下午2:00开通MTR/USDT交易,随后将开通提现服务。[2020/8/8]
还有一个选择是完全避免AUTH机制,并通过vbuterin建议的另一种交易池来解决账户抽象和批量处理问题。利:无需硬分叉,可由智能合约和可以感知这些智能合约的节点支持。可用于一切支持EIP3074的实现,而不会引入额外的风险。弊:不向后兼容已有的外部账户。用户需要部署一个合约钱包并将资产转移到该钱包内。除非要求在不迁移的情况下支持已有的外部账户,否则这个选择看起来更安全。原地址:https://blog.mycrypto.com/eip-3074/作者:MaartenZuidhoorn翻译&校对:闵敏&阿剑
分析 | Coinbase BTC/USD 对 Bitfinex 仍处负溢价 主流交易所BTC交易量存在下滑:据TokenGazer数据分析显示,截止至6月14日17点整,BTC价格为$8297.3,市值为147,274.3MM,主流交易所24H BTC交易量约为$731.2MM,环比昨日下滑3.3%,BTC价格今日继续攀升,目前在$8200-8300区间范围内波动,BTCUSD/Coinbase对BTCUSDT/Bitfinex仍处一定负溢价状态,投资人需警惕市场反转风险;算力方面,BTC目前算力为53.21E,对比前几天表现,有所下降;活跃地址数呈现上升趋势;期货方面,多空开单量都有相对提升。[2019/6/14]
法国央行行长维勒鲁瓦·德加洛(FrancoisVilleroydeGalhau)表示,欧洲应将加密货币监管作为优先事项,否则数字资产将面临挑战其货币主权的风险.
1900/1/1 0:00:00当以太坊团队正式对外宣布Swarm项目启动时,或许所有圈内人都感受到,另一款天王级项目即将来临.
1900/1/1 0:00:00作者:凯尔;编辑:文刀2010年5月22日,美国程序员LaszloHanyecz花费1万枚比特币购买了两张披萨劵,使BTC第一次有了价格和购买力.
1900/1/1 0:00:00Ropsten测试网已于6月24日上线,区块高度为10,499,401。自部署以来,约有88,500个测试网以太坊被烧毁,价值1.776亿美元.
1900/1/1 0:00:00自4月14日比特币价格冲上64840美元的历史高位之后,此后便掉头向下,目前价格跌至32000美元,跌幅超过50%。比特币的总市值也从1.18万亿美元跌至6100亿美元.
1900/1/1 0:00:00从默默无闻的"穷小子",到行业内板块的"扛把子",DeFi仅仅用了2年的时间.
1900/1/1 0:00:00