После худшего года для взломов и эксплойтов криптовалюты криптовалютное сообщество дало несколько советов начинающим инвесторам в 2023 году — проверяйте одобрение своих смарт-контрактов и регулярно отзывайте доступ.
Пользователь Reddit 4cademy опубликовал свой совет в сабреддите r/CryptoCurrency 1 января, отметив, что они одобрили множество смарт-контрактов за двухлетний период и «думают, что пришло время проверить мои одобренные смарт-контракты».
Они обнаружили, что «почти все» их одобрения были на «неограниченные суммы», что побудило их отозвать одобрения для всех смарт-контрактов в их кошельке, поскольку это было «лучше перестраховаться, чем сожалеть», и посоветовали:
«Вы должны хотя бы проверить свои разрешения и, возможно, отозвать их».
Причина этого, по словам пользователя, заключается в том, что некоторые пользователи протоколов децентрализованных финансов (DeFi) или невзаимозаменяемых токенов (NFT) могли по ошибке утвердить вредоносные смарт-контракты из-за попыток фишинга, которые могли поджидать, чтобы украсть пользовательские средства.
Подобные ледяные фишинговые аферы были успешными в прошлом: одна такая тщательно продуманная месячная афера включала предложение от поддельной киностудии, в результате которого из одного кошелька было украдено 14 NFT Bored Ape Yacht Club (BAYC).
Даже известные «хорошие» контракты должны быть отозваны, поскольку хакеры могут найти эксплойты для кражи средств из подключенных кошельков.
В результате 10 крупнейших эксплойтов в 2022 году было украдено около 2,1 миллиарда долларов, в основном из протоколов DeFi и межсетевых мостов, где злоумышленники нашли уязвимости в существующих смарт-контрактах для осуществления своих ограблений.
Связанный: Разработчики должны остановить хакеров криптовалюты или столкнуться с регулированием в 2023 году
Пользователь дал дополнительный совет, сказав, что «используйте разные кошельки для разных целей», например, иметь кошелек, который взаимодействует только со смарт-контрактами, и другой, который не используется для единственной цели хранения средств.
Пользователи, комментирующие сообщение, также предположили, что можно запланировать повторяющийся интервал для отзыва всех утверждений смарт-контрактов, например, 1-го числа каждого месяца или даже в начале каждой недели.
Другие предположили, что существуют сторонние сервисы, которые могут проверять и отзывать утверждения смарт-контрактов в ряде цепочек, включая Binance Smart Chain (BSC), Ethereum и Polygon.
Один пользователь ответил, что «лучшим» советом было взаимодействовать с как можно меньшим числом смарт-контрактов, заявив, что «отзыв разрешений — это хорошая практика, но в первую очередь лучше не давать разрешения».
Термины в новости
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- Смарт-контракт
- Программа в блокчейне, которая автоматически выполняет заданные условия: переводит средства, выпускает токены, выдаёт займы. Её код нельзя тайно изменить.
- DeFi
- Децентрализованные финансы: обмен, кредиты, депозиты и другие финансовые сервисы на смарт-контрактах, без банков и брокеров.
- Фишинг
- Мошенничество через поддельные сайты, письма и сообщения, цель которого — выманить seed-фразу, пароль или подпись транзакции.
