Web3 Antivirus'ün — olayı kamuoyuna duyuran sözleşme tarama servisi — aktardığına göre, kullanıcı cüzdanından 316.000 USDC çekilmesi için tek bir kötü niyetli imza yetti. Bu olay, herhangi bir akıllı sözleşme kodunu kırmayı gerektirmeyen; kullanıcının yalnızca yanlış işlemi imzalamasını bekleyen cüzdan drainer istismarlarının son örneklerinden biri.
Neden önemli
Drainer sınıfı, başarıya ulaşmaya devam ediyor çünkü hata modu insana ait, protokol seviyesinde değil. İmzalanan bir permit ya da setApprovalForAll, cüzdan istemini geçip bakmayan kullanıcının farkında olmadığı hakları kötü niyetli bir sözleşme aktarabilir; imza bir kez zincire düştüğünde ise fonlar gider. Bunu denetim düzeltmez, protokol yaması düzeltmez, yükseltme düzeltmez — düzeltecek olan yalnızca kullanıcı tarafı hijyendir.
Piyasa etkisi
Kanalın paylaştığı pratik kontrol listesi, iki yıldır geçerli olan liste: sözleşmeyi tara, URL'yi doğrula, onayı imzalamadan önce oku, revoke.cash gibi araçlarla süresi geçmiş izinleri iptal et ve varlıkların büyük kısmını tıklamayı yapan dApp adresinden izole bir donanım ya da soğuk cüzdanda tut. Bunların hiçbiri yeni değil. 316.000 USDC'lik rakam, kayıpların büyük bölümünün hâlâ temel kontrollerde gizlendiğinin hatırlatıcısı.
Sıkça sorulan sorular
-
316.000 USDC'lik cüzdan drainer'ında ne oldu?
Web3 Antivirus'ün aktardığına göre, kullanıcı cüzdanından 316.000 USDC çekilmesi için tek bir kötü niyetli imza yetti. Bu olay, protokol seviyesinde bir açık gerektirmeyen; yalnızca kullanıcının yanlış işlemi imzalamasıyla tetiklenen drainer istismarlarının son örneklerinden biri.
-
Cüzdan drainer istismarları gerçekte nasıl çalışıyor?
Drainer kitleri, kullanıcıları permit veya setApprovalForAll mesajlarını imzalamaya ikna ederek cüzdan üzerindeki hakları kötü niyetli bir sözleşmeye devretmelerini sağlar. İmza bir kez zincire düştüğünde fonlar taşınabilir. Asıl açık kodda değil, kullanıcıdadır.
-
Bir protokol denetimi ya da yükseltmesi drainer kayıplarını engelleyebilir mi?
Hayır. Drainer istismarları sözleşme açıklarına dayanmaz, dolayısıyla denetimler, yamalar ve protokol yükseltmeleri bunları çözmez. Tek etkili önlemler kullanıcı tarafındadır: sözleşmeleri taramak, bağlantıları doğrulamak, onayları okumak ve süresi geçmiş izinleri iptal etmek.
-
Web3 Antivirus'in önerdiği temel cüzdan güvenliği kontrol listesi nedir?
Etkileşimden önce sözleşmeyi tara, URL'yi doğrula, imzalamadan önce onay istemini oku, eski izinleri revoke.cash gibi bir araçla düzenli olarak iptal et ve varlıkların büyük kısmını dApp adresinden izole bir donanım ya da soğuk cüzdanda tut.
-
Drainer istismarları neden başarıya ulaşmaya devam ediyor?
Çünkü hata modu protokol düzeyinde değil, insana ait. Drainer kitleri ucuz, kopyalanması kolay ve tek bir kullanıcının bir kez imza atması yeterli. İmzalama alışkanlıkları değişene kadar, kayıpların büyük bölümünü engelleyen yer bu temel hijyen kontrol listesi.
CryptoSlate
CoinDesk
TheBlock
WatcherGuru
WuBlockchain