Ledger引爆DeFi危机后！宣布明年6月底前Dapp禁用盲签

时间：2023-12-21|浏览：168

欧易(OKX)

用戶喜愛的交易所

币安(Binance)

已有账号登陆后会弹出下载

趣币网(Qukaixin.cn)讯：加密货币冷钱包Ledger在12月14日因Connect Kit遭植入恶意代码，导致Web3领域多个项目受影响，一度要求所有用户暂时不要与任何Dapp(去中心化应用程序)互动。

事隔一周后，Ledger官网昨(20)日稍晚发布文章详细披露了此次攻击事件的过程及原因，并宣布在2024年6月底前，将暂停在Ledger设备上使用盲签(Blind Signing)，转而用清晰签名(Clear Signing)替代。

Ledger被黑原因及时间线整理

据Ledger官方文章说明，黑客于12月14日利用了Ledger Connect Kit漏洞，并通过在与其互动的Dapp(去中心化应用程序)中注入恶意代码，欺骗EVM Dapp用户签署交易，从而盗取钱包资产，具体时间线如下：

12月14日上午：一名Ledger前员工遭遇网络钓鱼攻击，盗取了该前员工对NPMJS(应用程序之间共享Javascript代码的管理器)的访问权限
12月14日上午9:49/10:44/11:37：黑客客在NPMJS上发布了携带恶意代码的Ledger Connect Kit版本(版本1.1.5、1.1.6和1.1.7)，并利用Wallet Connect将用户资产导向黑客钱包
12月14日下午1:45：各大相关项目方及Ledger发现攻击
12月14日下午2:18：Ledger在收到攻击警报40分钟后更新了Ledger Connect Kit版本，Wallet Connect也禁用了相关通道
12月14日下午2:55：经调解，美元稳定币USDT发行商Tether冻结黑客所盗资金

Ledger：明年6月底前禁用盲签

Ledger官方表示目前受损金额共计约60万美元，这些资产均是黑客从EVM DApp上盲签用户那里盗取的，官方承诺，将在2024年2月底之前，帮助用户追回被盗资金。

更重要的是，Ledger还表示在2024年6月底之前，将全面禁止在Ledger设备上进行盲签，转而以Clear Signing取代，以确保用户可以在签名之前验证Ledger设备上的所有交易：这将产生一个新的标准来保护用户并鼓励用户在使用Dapp时采用Clear Signing。前端攻击已经发生了很多次，且将继续困扰我们的生态系统，而针对此类攻击的万全之策则是始终验证用户在设备上的交易内容，而这只有Clear Signing才能实现：这意味着用户可以在设备上准确查看和验证自己所签署的内容，如果继续使用盲签，用户仍然面临着类似的风险。

盲签(Blind Signing)是什么？

据维基百科资料显示，「盲签」是密码学中一种数字签名方式，其中信息的内容在签名之前对签名者是不可见的(Blind)，盲签具有以下特征：