okx

Ledger引爆DeFi危机后!宣布明年6月底前Dapp禁用盲签

时间:2023-12-21|浏览:175

欧易

欧易(OKX)

用戶喜愛的交易所

币安

币安(Binance)

已有账号登陆后会弹出下载

趣币网(Qukaixin.cn)讯:加密货币钱包Ledger在12月14日因Connect Kit遭植入恶意代码,导致Web3领域多个项目受影响,一度要求所有用户暂时不要与任何Dapp(去中心化应用程序)互动。

事隔一周后,Ledger官网昨(20)日稍晚发布文章详细披露了此次攻击事件的过程及原因,并宣布在2024年6月底前,将暂停在Ledger设备上使用盲签(Blind Signing),转而用清晰签名(Clear Signing)替代。

Ledger被黑原因及时间线整理

据Ledger官方文章说明,黑客于12月14日利用了Ledger Connect Kit漏洞,并通过在与其互动的Dapp(去中心化应用程序)中注入恶意代码,欺骗EVM Dapp用户签署交易,从而盗取钱包资产,具体时间线如下:

  • 12月14日上午:一名Ledger前员工遭遇网络钓鱼攻击,盗取了该前员工对NPMJS(应用程序之间共享Javascript代码的管理器)的访问权限

  • 12月14日上午9:49/10:44/11:37:黑客客在NPMJS上发布了携带恶意代码的Ledger Connect Kit版本(版本1.1.5、1.1.6和1.1.7),并利用Wallet Connect将用户资产导向黑客钱包

  • 12月14日下午1:45:各大相关项目方及Ledger发现攻击

  • 12月14日下午2:18:Ledger在收到攻击警报40分钟后更新了Ledger Connect Kit版本,Wallet Connect也禁用了相关通道

  • 12月14日下午2:55:经调解,美元稳定币USDT发行商Tether冻结黑客所盗资金

Ledger:明年6月底前禁用盲签

Ledger官方表示目前受损金额共计约60万美元,这些资产均是黑客从EVM DApp上盲签用户那里盗取的,官方承诺,将在2024年2月底之前,帮助用户追回被盗资金。

更重要的是,Ledger还表示在2024年6月底之前,将全面禁止在Ledger设备上进行盲签,转而以Clear Signing取代,以确保用户可以在签名之前验证Ledger设备上的所有交易:这将产生一个新的标准来保护用户并鼓励用户在使用Dapp时采用Clear Signing。前端攻击已经发生了很多次,且将继续困扰我们的生态系统,而针对此类攻击的万全之策则是始终验证用户在设备上的交易内容,而这只有Clear Signing才能实现:这意味着用户可以在设备上准确查看和验证自己所签署的内容,如果继续使用盲签,用户仍然面临着类似的风险。

盲签(Blind Signing)是什么?

据维基百科资料显示,「盲签」是密码学中一种数字签名方式,其中信息的内容在签名之前对签名者是不可见的(Blind),盲签具有以下特征:

  • 签名者对其签名的信息内容不可见

  • 签名信息不可追踪,即当签名信息被公布后,签名者无法知道这是他何时签署的

盲签的风险

据Ledger官方资料显示,由于NFT、DeFi以及Dapp的飞速发展,用户与智能合约之间的互动方式也变得更加复杂。当用户在进行盲签时,由于不了解完整签名内容就向智能合约授权,让黑客有了可乘之机,窃取用户资产。

热点:NFT引爆 引爆币圈 月底币圈 比特币禁用 年月元宇宙

« 上一条| 下一条 »
区块链交流群
数藏交流群
区块链币圈-全球区块链数字货币行情、比特币虚拟货币资讯,狗狗币以太坊环保币柚子币莱特币瑞波币等加密数字货币价格非交易行情查询,金色财经巴比特范非小号快讯平台。
趣开心资讯 Qukaixin.cn ©2020-2024版权所有 桂ICP备19010284号-1