Щодо безпеки IPOR Fusion, ключовою проблемою є те, що проектна команда керувала EOA-рахунками через EIP-7702, а дизайн базового контракту, який делегував ці обов’язки, містив вразливість — відсутність належних обмежень зовнішніх викликів. В результаті зловмисник використав цю вразливість для створення зловмисного контракту для зупинки (Plasma Vault). Цей зловмисний контракт міг обійти звичайний механізм виведення і безпосередньо переказати кошти з сейфу. Простими словами, налаштування дозволів контракту були надто розпливчастими, і не було повністю закрито доступ до певних операцій. Ця подія знову нагадує нам: навіть інноваційні розширення (наприклад, EIP-7702) потрібно впроваджувати з особливою обережністю, а контроль доступу до базових контрактів має бути достатньо строгим.

Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
  • Нагородити
  • 8
  • Репост
  • Поділіться
Прокоментувати
0/400
ImpermanentSagevip
· 1год тому
Знову старі проблеми з управлінням правами, як у проекту ще залишаються такі грубі помилки Навіть найновіші технології не допоможуть, якщо базова робота зроблена погано, вже не можу більше терпіти EIP-7702 сам по собі не має проблем, питання в тому, що люди, які його використовують, мають дурні ідеї? Аудит контрактів вже мертві? Такі низькосортні вразливості все ще проходять Обіцяна багатофідна захист? А тут її просто зняли Розробникам потрібно серйозно проаналізувати свої дії і не перекладати відповідальність на екосистему знову
Переглянути оригіналвідповісти на0
BlockchainNewbievip
· 01-07 07:59
Якщо налаштування доступу розслабляються, гроші зникають, це пастка, в яку потрапляли багато проектів --- Знову проблеми з недостатньою контролем доступу... інноваційні рішення можуть бути круті, але без належної базової роботи все марно --- EIP-7702 — настільки новий стандарт, а базові контракти досі дозволяють таку халатність? Самі винні у тому, що їх обікрали --- Пара Plasma Vault, яка дозволяє просто переводити гроші з бази, — наскільки безглузді повинні бути налаштування доступу, щоб хтось міг знайти лазівку --- Правильно, розслаблені права — це запрошення для хакерів, чому ще є проекти, які не навчилися цього уроку --- Щоразу таке трапляється, команда розробників справді не може знайти кошти на аудит? --- Одне слово: суворо. Якщо не строго — тебе поріжуть, без обговорень --- Інновації — це добре, але якщо не можеш захистити базові лінії оборони, навіщо тоді інновації? --- Кошик прямо порожній — цей урок коштував дуже дорого --- Це ж очевидно, що або не було аудиту, або він був формальністю
Переглянути оригіналвідповісти на0
ChainPoetvip
· 01-07 07:55
Ще одна уразливість у дозволах, EIP-7702 — це все? Перед впровадженням нових речей справді потрібно перевірити кілька разів --- emm тож це означає, що не закріпили контроль доступу, і контракт для аварійного зупинення став мішенню? Добре, що виявили --- Занадто м'які дозволи — і вже можна зламати, безпека контрактів — це не дрібниця --- Перед запуском нових рішень стільки пасток, розробникам справді важко. Але навіть при цьому потрібно забезпечити базовий захист, чи не так? --- Знову контроль доступу... коли в індустрії нарешті почнуть справді цінувати цю частину? --- Обхід механізму зняття коштів і прямий переказ — ця операція досить жорстка. Навіть страшно подумати --- Здається, EIP-7702 сам по собі не має проблем, головне — це те, як його використовують --- Контракт для аварійного зупинення звучить страшно, але насправді це просто управління дозволами, яке не йде в ногу з часом --- Ця справа ще раз довела, що чим новіше — тим обережніше. Не можна лише прагнути до інновацій і забувати про безпеку
Переглянути оригіналвідповісти на0
GweiWatchervip
· 01-07 07:55
Знову проблеми з управлінням дозволами, чи справді контракт так легко зламати?
Переглянути оригіналвідповісти на0
HashBanditvip
· 01-07 07:49
ngl, ще один день, ще один момент "ми забули, що існує контроль доступу"... у мої дні майнінгу ми хоча б знали, як закрити наші майнери, лол. EIP-7702 звучав круто на папері, але саме тому я не довіряю новим модним стандартам до третього року роботи мережі... занадто розпущені дозволи = кошти зникають, досить просто.
Переглянути оригіналвідповісти на0
NFTBlackHolevip
· 01-07 07:41
Знову провал у налаштуванні прав доступу, цим розробникам справді потрібно навчитися правильно писати контроль доступу EIP-7702 навіть нововведення не врятують від поганої архітектури, якщо базові речі не закладені правильно — все даремно Plasma Vault прямо назвали "скарбницею", смішно, це називається "інновація"? Чому кожного разу одна й та сама помилка, чи перевірка контрактів — це просто формальність? Коли з’явиться новий механізм і його запустять — це гра в рулетку, брате? Такий розмір прав доступу — і все одно запускаєш продукт, справді дивно Ще одна помилка у контракті за шкільною підручником, коли ж ти навчишся робити висновки?
Переглянути оригіналвідповісти на0
ArbitrageBotvip
· 01-07 07:39
Знову старий трюк з поганим управлінням правами, EIP-7702 навіть не зможе врятувати поганий код --- Дизайн контракту на такому рівні — сміливо можна запускати, контроль доступу фактично відсутній, заслужено отримуємо зловживання --- Що б не казали про інноваційні рішення, все це — порожні слова, якщо не забезпечити базову безпеку, все марно --- Підхід Plasma Vault дійсно був геніальним, він максимально використав вразливості, інженерам варто задуматися --- Такі ситуації трапляються дуже часто, завжди винні у цьому — надмірно розширені права --- EIP-7702 виглядає солідно, але на практиці стикається з тими ж старими проблемами --- Гроші просто зникли, будь-які технічні інновації не зможуть компенсувати відсутність аудиту
Переглянути оригіналвідповісти на0
MidnightSnapHuntervip
· 01-07 07:38
Контроль доступу дійсно важка тема, EIP-7702 знову і знову доводить, що погана інфраструктура не витримує... Цього разу урок IPOR був дуже болючим Ще одна історія "Ми й подумати не могли, що таке можливо", справжній безперервний процес забезпечення безпеки контрактів Обхід механізму вилучення у контрактів з автоматичним зупиненням? Це означає, що з аудиторською перевіркою щось не так... інакше ніхто б не подумав про таку уразливість Це називається — забули про захист, зосередившись лише на інноваціях, контроль доступу настільки розпорошений, що це вже смішно Завжди так: з’являється новий продукт — і одразу намагаються його просунути, а безпека залишається як папір... коли ж нарешті навчимося спершу закріплювати основи, а потім розширюватися
Переглянути оригіналвідповісти на0
  • Закріпити