بدت الشاشة طبيعية عند التوقيع، لكن الأموال اختفت رغم ذلك. في 10/5، اقترحت مؤسسة إيثيريوم توجّهًا لمنع ذلك على مستوى البروتوكول.
أين تكمن المشكلة: توقيعك يقيّد «ما الذي ستفعله» (أي عقد ستستدعي، وما المعاملات التي سترسلها)، لكنه لا يقيّد «ما الذي ستؤول إليه النتيجة». فقد يتغير تنفيذ العقد بعد توقيعك، وقد تتحرك الأسعار بسبب هجوم استباقي قبل تنفيذ صفقتك. ومن الأمثلة التي ذكرتها مؤسسة إيثيريوم: في حالتي Bybit وBadgerDAO، تم التلاعب بالواجهة الأمامية، فوقع المستخدمون على شيء آخر؛ أما صفقة Aave／CoW، فقد عرضت الواجهة تحذيرًا من تأثير سعري بنسبة 99.9%، ومع ذلك أكّد المستخدمون العملية، فاستُبدلت عملات aEthUSDT بقيمة تقارب 50.4 مليون دولار بنحو 36 ألف دولار فقط.
توجّه مؤسسة إيثيريوم (EIP-7906): إضافة فحص للقراءة فقط في نهاية المعاملة، للتحقق من صافي التغييرات بعد انتهاء المعاملة بأكملها (الأرصدة، ومخازن العقود، والعقود المنشأة حديثًا، والأحداث). إذا خالفت المعاملة قواعد وقّعت عليها مسبقًا، مثل «استلام مبلغ لا يقل عن كذا» أو «عدم إضافة أي تفويض» أو «عدم تغيير تنفيذ العقد متعدد التوقيعات»، فسيتم التراجع عن المعاملة بأكملها. ستظل المعاملة تُسجّل على السلسلة، وستُدفع رسوم الغاز كالمعتاد.
من المهم توضيح القيود:
・لا يزال هذا مقترحًا. وهو يعتمد على EIP-8141، المدرج ضمن ترقية Hegotá؛ أما EIP-7906 فلم يصل حاليًا إلا إلى مرحلة «النظر في إدراجه»، ولم يُؤكَّد بعد.
・ليس إلزاميًا. إذا لم تشترط المحفظة أو البروتوكول إرفاق فحص بالمعاملة، فكأن الفحص غير موجود.
・المهم هو مصدر القواعد. فإذا أنشأتها واجهة أمامية مخترقة، فلن تمنع المشكلة أيضًا. وينص نص EIP صراحةً على أن التأكيدات غير المكتملة تعادل عدم وجود تأكيدات.
ما يمكنك فعله الآن: حدّد الحد الأدنى للمبلغ الذي تريد استلامه عند المبادلة؛ ويمكن لمستخدمي التوقيعات المتعددة الاطلاع على guard من Safe (للفحص بعد التنفيذ)؛ وإذا رأيت تحذيرًا مثل «قد تخسر كامل القيمة»، فتوقف أولًا. تساعد المحاكاة وفهم محتوى التوقيع، لكن في حالة Radiant كانت الواجهة والمحاكاة طبيعيتين؛ إذ استبدل برنامج خبيث المحتوى لحظة التوقيع.
تقييمي (استنتاج): هذا توجّه طويل الأمد لأمان المحافظ، ولن يغيّر طريقة استخدامك لـ ETH على المدى القصير، كما أنه ليس عاملًا مؤثرًا في سعر العملة. هناك أمران يجدر متابعتهما لاحقًا: أي المحافظ ستتعهد بدعم هذا التوجه أولًا، وهل سيُؤكَّد إدراج EIP-7906 ضمن Hegotá.
$ETH｜المصدر: مدونة مؤسسة إيثيريوم (10/5)، EIP-7906｜ليس نصيحة استثمارية
أين تكمن المشكلة: توقيعك يقيّد «ما الذي ستفعله» (أي عقد ستستدعي، وما المعاملات التي سترسلها)، لكنه لا يقيّد «ما الذي ستؤول إليه النتيجة». فقد يتغير تنفيذ العقد بعد توقيعك، وقد تتحرك الأسعار بسبب هجوم استباقي قبل تنفيذ صفقتك. ومن الأمثلة التي ذكرتها مؤسسة إيثيريوم: في حالتي Bybit وBadgerDAO، تم التلاعب بالواجهة الأمامية، فوقع المستخدمون على شيء آخر؛ أما صفقة Aave／CoW، فقد عرضت الواجهة تحذيرًا من تأثير سعري بنسبة 99.9%، ومع ذلك أكّد المستخدمون العملية، فاستُبدلت عملات aEthUSDT بقيمة تقارب 50.4 مليون دولار بنحو 36 ألف دولار فقط.
توجّه مؤسسة إيثيريوم (EIP-7906): إضافة فحص للقراءة فقط في نهاية المعاملة، للتحقق من صافي التغييرات بعد انتهاء المعاملة بأكملها (الأرصدة، ومخازن العقود، والعقود المنشأة حديثًا، والأحداث). إذا خالفت المعاملة قواعد وقّعت عليها مسبقًا، مثل «استلام مبلغ لا يقل عن كذا» أو «عدم إضافة أي تفويض» أو «عدم تغيير تنفيذ العقد متعدد التوقيعات»، فسيتم التراجع عن المعاملة بأكملها. ستظل المعاملة تُسجّل على السلسلة، وستُدفع رسوم الغاز كالمعتاد.
من المهم توضيح القيود:
・لا يزال هذا مقترحًا. وهو يعتمد على EIP-8141، المدرج ضمن ترقية Hegotá؛ أما EIP-7906 فلم يصل حاليًا إلا إلى مرحلة «النظر في إدراجه»، ولم يُؤكَّد بعد.
・ليس إلزاميًا. إذا لم تشترط المحفظة أو البروتوكول إرفاق فحص بالمعاملة، فكأن الفحص غير موجود.
・المهم هو مصدر القواعد. فإذا أنشأتها واجهة أمامية مخترقة، فلن تمنع المشكلة أيضًا. وينص نص EIP صراحةً على أن التأكيدات غير المكتملة تعادل عدم وجود تأكيدات.
ما يمكنك فعله الآن: حدّد الحد الأدنى للمبلغ الذي تريد استلامه عند المبادلة؛ ويمكن لمستخدمي التوقيعات المتعددة الاطلاع على guard من Safe (للفحص بعد التنفيذ)؛ وإذا رأيت تحذيرًا مثل «قد تخسر كامل القيمة»، فتوقف أولًا. تساعد المحاكاة وفهم محتوى التوقيع، لكن في حالة Radiant كانت الواجهة والمحاكاة طبيعيتين؛ إذ استبدل برنامج خبيث المحتوى لحظة التوقيع.
تقييمي (استنتاج): هذا توجّه طويل الأمد لأمان المحافظ، ولن يغيّر طريقة استخدامك لـ ETH على المدى القصير، كما أنه ليس عاملًا مؤثرًا في سعر العملة. هناك أمران يجدر متابعتهما لاحقًا: أي المحافظ ستتعهد بدعم هذا التوجه أولًا، وهل سيُؤكَّد إدراج EIP-7906 ضمن Hegotá.
$ETH｜المصدر: مدونة مؤسسة إيثيريوم (10/5)، EIP-7906｜ليس نصيحة استثمارية