اختراق Binance الذي وقع أمس مرتبط بـ EIP-7702، وهي ميزة خطيرة جدًا لم أحبها منذ زمن، ووجدتها فرصة مناسبة لتحذيركم منها.
يظن كثيرون عادةً أن إخفاء المفتاح الخاص وعدم تسريبه كافٍ، وخصوصًا عند استخدام محفظة باردة، لأن كل عملية تحويل تتطلب توصيل الجهاز والضغط على زر تأكيد فعلي. فيعتقدون أن الهاكر، مهما بلغت مهارته، لن يستطيع الضغط على الزر نيابةً عنهم.
لكن في الواقع، حتى المحافظ الباردة لا تسلم من هذا الـ EIP-7702. إليكم ما يحدث تقريبًا: تدخلون إلى تطبيق لامركزي، فيطلب منكم التوقيع لترقية المحفظة أو تفعيل ميزة ما. توصلون المحفظة، وقد لا تعرض الشاشة سوى سيل من رموز hex غير المفهومة، فتضغطون على التأكيد بسرعة من دون تفكير. لكن هذا التوقيع التفويضي قد يسمح لعنوان محفظتكم بتنفيذ شيفرة العقد الذكي.
إذا كان العقد خبيثًا، يستطيع الهاكر استخدام محفظتكم نفسها لإجراء التحويلات، من دون الحاجة إلى توقيعكم على أي معاملة أخرى.
أي إنكم تضعون محفظتكم الباردة في الخزنة، وتحفظون عبارة الاسترداد بأمان لدرجة أنكم لا تعرفونها حتى، لكن أموالكم ترحل بهدوء. الأمر أشبه بإغلاق الباب بمئة قفل، ثم توقيع توكيل يمنح شخصًا آخر كامل الصلاحية لنقل ملكية المنزل.
والأخطر أن هذا قد يستمر مدة طويلة. في السابق، إذا وقّعتم بالخطأ، تخسرون رمزًا واحدًا، وتدخلون إلى أحد مواقع إلغاء الصلاحيات وتلغونه، وتنتهي المشكلة. أما هنا، فالصلاحية على مستوى الحساب، ويمكنها نقل أي شيء في المحفظة، ولا تستطيع مواقع إلغاء الصلاحيات المعتادة معالجة الأمر. ولإلغائها، عليكم توقيع تفويض EIP-7702 جديد يشير إلى العنوان 0 ثم إرساله إلى البلوك تشين. باختصار، معظم الناس لا يعرفون كيف يفعلون ذلك.
لهذا السبب لا أحب هذا التصميم.
$NEAR $BTC $ETH
يظن كثيرون عادةً أن إخفاء المفتاح الخاص وعدم تسريبه كافٍ، وخصوصًا عند استخدام محفظة باردة، لأن كل عملية تحويل تتطلب توصيل الجهاز والضغط على زر تأكيد فعلي. فيعتقدون أن الهاكر، مهما بلغت مهارته، لن يستطيع الضغط على الزر نيابةً عنهم.
لكن في الواقع، حتى المحافظ الباردة لا تسلم من هذا الـ EIP-7702. إليكم ما يحدث تقريبًا: تدخلون إلى تطبيق لامركزي، فيطلب منكم التوقيع لترقية المحفظة أو تفعيل ميزة ما. توصلون المحفظة، وقد لا تعرض الشاشة سوى سيل من رموز hex غير المفهومة، فتضغطون على التأكيد بسرعة من دون تفكير. لكن هذا التوقيع التفويضي قد يسمح لعنوان محفظتكم بتنفيذ شيفرة العقد الذكي.
إذا كان العقد خبيثًا، يستطيع الهاكر استخدام محفظتكم نفسها لإجراء التحويلات، من دون الحاجة إلى توقيعكم على أي معاملة أخرى.
أي إنكم تضعون محفظتكم الباردة في الخزنة، وتحفظون عبارة الاسترداد بأمان لدرجة أنكم لا تعرفونها حتى، لكن أموالكم ترحل بهدوء. الأمر أشبه بإغلاق الباب بمئة قفل، ثم توقيع توكيل يمنح شخصًا آخر كامل الصلاحية لنقل ملكية المنزل.
والأخطر أن هذا قد يستمر مدة طويلة. في السابق، إذا وقّعتم بالخطأ، تخسرون رمزًا واحدًا، وتدخلون إلى أحد مواقع إلغاء الصلاحيات وتلغونه، وتنتهي المشكلة. أما هنا، فالصلاحية على مستوى الحساب، ويمكنها نقل أي شيء في المحفظة، ولا تستطيع مواقع إلغاء الصلاحيات المعتادة معالجة الأمر. ولإلغائها، عليكم توقيع تفويض EIP-7702 جديد يشير إلى العنوان 0 ثم إرساله إلى البلوك تشين. باختصار، معظم الناس لا يعرفون كيف يفعلون ذلك.
لهذا السبب لا أحب هذا التصميم.
$NEAR $BTC $ETH
