今日,跨链DEX聚合器TransitSwap遭受攻击,导致大量用户的资金从钱包中被取出。截至目前,预计损失超2100万美元。
发现被盗后,TransitSwap技术团队紧急暂停服务,合约已完全暂停,无法进行任何操作。发稿前?TransitSwap官方发布公告称,此前黑客攻击事件原因系代码错误,目前已确定黑客IP、电子邮件地址,以及相关的链上地址。TransitSwap团队将尽力追踪黑客,并尝试与黑客沟通,帮助用户挽回损失。
与此前被盗项事件不同的是,TransitSwap是TokenPocket钱包的闪兑服务提供商。这让大量用户实现了“无感被盗”的丝滑体验,也再一次向我们明确了加密市场“黑暗森林”的恐怖法则,即使是钱包背书的便捷“闪兑”服务,依然存在被盗隐患。
TokenSoft客户将可在tZERO替代交易系统上交易数字证券:金色财经报道,TokenSoft已与tZERO集成。通过TokenSoft发行数字证券的公司现在可以在tZERO的替代交易系统(ATS)上交易这些数字证券。据悉,数字证券通常是公司股份或代币化的房地产投资。[2021/2/5 18:56:31]
什么是闪兑?
目前,几乎所有钱包都嵌入了DeFi功能,而一些钱包出于易用性的考量,更是创造了“闪兑”这一概念并加以应用。
所谓闪兑,即和钱包深度整合,在产品中拥有更明显的独立入口、更简化的操作流程,更便捷的操作。使用闪兑用户可以方便、快速的完成加密资产交易。例如,“Approve”操作通常被简单的一键式集成在交易流程中,用户几乎是无感的。
OKEx已于今日上线Tokenlon (LON):据官方公告,OKEx已于今日上线Tokenlon (LON),具体时间如下。1.LON充值:12月23日08:30;2.LON/USDT、LON/ETH的市场交易:平台在用户充值数量符合开通交易的情况下,第一时间上线交易;3.LON提现:12月24日17:00。[2020/12/23 16:12:11]
或是因钱包内置集成,用户对其天然更具信任,也一定程度降低了防范意识。但究其本质,无外乎是钱包app集成的一款DEX,与其他DEX并无差异。这也给本次安全事件留下了隐患。
投资者对区块链特性的一种广泛共识。链上资产一旦被钱包所有,没有任何强制手段将其转移。但当我们使用DEX进行链上交易之时,DEX是如何将一种资产拿走再转移给你另一种资产的?
长铗:创新区块链会加强比特币作为抵押型、储值型中心token的地位:6月23日16:00,比原链&巴比特创始人长铗做客“MXC抹茶周三见”,就《站在十字路口 行业将何去何从》进行主题分享。
长铗表示:“今天DeFi的发展,正在印证过去的一些设想。过去我们对一些山寨币、创新币的态度过于嗤之以鼻了,曾经我也是莱特币大户,但因为没看懂就退出了。但其实,这些创新区块链有其用武之地,哪怕是拷贝猫也因它的交易市场与社区基础而有其固有价值。创新区块链未必在价值存储赛道上竞争过比特币,但可能会在智能合约、支付、兑换、去中心化金融等领域施展手脚。而且这些赛道的创新并不会稀释比特币的价值,反而会加强它作为抵押型、储值型中心token的地位。因为多数链都会把比特币作为跨链资产、抵押型资产的首选。”[2020/6/23]
授权就成为了这一切的关键。用户于DEX出售资产之前,需先执行“Approve”操作,这一操作之后合约便拥有了动用用户某种代币的权限。
现场 | TokenX Group 创始人赵大伟:通证是资产证券化的高阶版本:金色财经现场报道,在”共识2018区块链大会·北京”上,TokenX Group 创始人赵大伟表示,信息互联网叠加价值互联网为个体赋能,区块链可以去掉基于“组织”进行链接的交易模式,建立基于人的链接的交易模式,最终形成自由人的自由联合。同时,现有的股份制公司也将转为区块链社群。其中实现价值流通的媒介就是通证。通证是资产证券化的高阶版本,流动能力越强就越有价值。[2018/7/27]
或者描述的更加直白一些:只要你做了授权,无需打开钱包、无需执行操作、无需私钥,该合约就可以不经你的许可,支配你授权的资产。这是由以太坊的机制和授权模型所决定的,与项目方的道德操守、安全规范、代码审计都并无审核关系。
Uniswap尽管拥有随时将用户钱包清空的能力,但并不会真的这么做一样。但动态来看,这一逻辑依然是危险的。
现代软件开发,升级是一项必不可缺的能力。智能合约也是如此。在Solidity智能合约中,拥有Transparent和UUPS两种升级方法,借助于这两个功能,合约代理和升级几乎是业界合约的标配。
项目方是如何进行合约升级的呢?通常,用户所访问的合约并非直接运行业务逻辑的核心合约,而是一个“代理合约”,代理合约接收到用户请求之后将其转发到核心的业务合约,再由业务合约进行处理。而合约升级即是更改简单来说,智能合约尽管不可修改,但用户所最终访问的、运行业务逻辑的合约是可以替换的。这也是业界的通用做法。
而即便是最安全的合约,只要进行“合约升级”,其业务合约就已发生变化,此前的审计报告也沦为了一张废纸。
简单来说,今天你所交互的合约是安全的,但明天访问同样的这个项目,可能他的安全性已经发生根本性改变。合约仍可能拥有转走你所有已授权资产的能力。
而对已经授权的用户来说,还可发起取消授权操作。
常用取消授权网站如下:
1.Dappstar:https://tac.dappstar.io/#/
2.Revoke:https://revoke.cash/
3.Approved.zone:https://approved.zone/
4.?RabbyWallet?
此外,一些区块链浏览器也支持用户查看并取消授权。
https://cn.etherscan.com/tokenapprovalchecker
https://bscscan.com/tokenapprovalchecker
DeFi被盗,责任全在用户吗?
“黑暗森林”是广为流传的对于链上秩序的叙述了,也提醒着用户这个世界的危险性和高风险。但诸如此类的安全事件一再发生,真的可以全部归责于用户的安全意识吗?
在此类事件中,DeFi项目对于用户授权毫无节制的索取是隐患的最初来源,几乎所有的项目,在索取授权之时其默认选项都是无限授权。尽管用户可以手动修改,但一个负责任的市场应承担投资者保护和用户教育的责任。
至今,仍有多少加密用户尚不清楚授权的危险?而在这种环境背景之下,项目方仍在索取危险极大的无限授权。
DeFi滥用授权的情况早已成为业界惯例,而这一高危情况几乎危及所有用户的田亮资产,其影响之深远、广泛、隐患之巨,恐怕尚未有一个安全隐患可以望其项背。该风险从根本上违背了“没有人可以拿走钱包里的币”这一朴素的直觉。这也是行业需要一直面临的风险和挑战。
被盗事件发生后,神鱼就已在推特做出呼吁,“呼吁一下项目方规范使用授权功能,用多少授权多少,不要无限授权,大家都放心。”
去中心化充满着机会与风险。还记得加密技术最初的愿景吗?“保护你的资产,没有人可以夺走你钱包里的加密货币。”而一个良性秩序的建立,需要的不是复杂的代码、晦涩的概念,确保每一个普通用户都能安全的使用加密技术,仍然需要行业里每一个参与者共同的努力。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。