Щодо безпеки IPOR Fusion, ключовою проблемою є те, що проектна команда керувала EOA-рахунками через EIP-7702, а дизайн базового контракту, який делегував ці обов’язки, містив вразливість — відсутність належних обмежень зовнішніх викликів. В результаті зловмисник використав цю вразливість для створення зловмисного контракту для зупинки (Plasma Vault). Цей зловмисний контракт міг обійти звичайний механізм виведення і безпосередньо переказати кошти з сейфу. Простими словами, налаштування дозволів контракту були надто розпливчастими, і не було повністю закрито доступ до певних операцій. Ця подія знову нагадує нам: навіть інноваційні розширення (наприклад, EIP-7702) потрібно впроваджувати з особливою обережністю, а контроль доступу до базових контрактів має бути достатньо строгим.
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
11 лайків
Нагородити
11
8
Репост
Поділіться
Прокоментувати
0/400
ImpermanentSage
· 1год тому
Знову старі проблеми з управлінням правами, як у проекту ще залишаються такі грубі помилки
Навіть найновіші технології не допоможуть, якщо базова робота зроблена погано, вже не можу більше терпіти
EIP-7702 сам по собі не має проблем, питання в тому, що люди, які його використовують, мають дурні ідеї?
Аудит контрактів вже мертві? Такі низькосортні вразливості все ще проходять
Обіцяна багатофідна захист? А тут її просто зняли
Розробникам потрібно серйозно проаналізувати свої дії і не перекладати відповідальність на екосистему знову
Переглянути оригіналвідповісти на0
BlockchainNewbie
· 01-07 07:59
Якщо налаштування доступу розслабляються, гроші зникають, це пастка, в яку потрапляли багато проектів
---
Знову проблеми з недостатньою контролем доступу... інноваційні рішення можуть бути круті, але без належної базової роботи все марно
---
EIP-7702 — настільки новий стандарт, а базові контракти досі дозволяють таку халатність? Самі винні у тому, що їх обікрали
---
Пара Plasma Vault, яка дозволяє просто переводити гроші з бази, — наскільки безглузді повинні бути налаштування доступу, щоб хтось міг знайти лазівку
---
Правильно, розслаблені права — це запрошення для хакерів, чому ще є проекти, які не навчилися цього уроку
---
Щоразу таке трапляється, команда розробників справді не може знайти кошти на аудит?
---
Одне слово: суворо. Якщо не строго — тебе поріжуть, без обговорень
---
Інновації — це добре, але якщо не можеш захистити базові лінії оборони, навіщо тоді інновації?
---
Кошик прямо порожній — цей урок коштував дуже дорого
---
Це ж очевидно, що або не було аудиту, або він був формальністю
Переглянути оригіналвідповісти на0
ChainPoet
· 01-07 07:55
Ще одна уразливість у дозволах, EIP-7702 — це все? Перед впровадженням нових речей справді потрібно перевірити кілька разів
---
emm тож це означає, що не закріпили контроль доступу, і контракт для аварійного зупинення став мішенню? Добре, що виявили
---
Занадто м'які дозволи — і вже можна зламати, безпека контрактів — це не дрібниця
---
Перед запуском нових рішень стільки пасток, розробникам справді важко. Але навіть при цьому потрібно забезпечити базовий захист, чи не так?
---
Знову контроль доступу... коли в індустрії нарешті почнуть справді цінувати цю частину?
---
Обхід механізму зняття коштів і прямий переказ — ця операція досить жорстка. Навіть страшно подумати
---
Здається, EIP-7702 сам по собі не має проблем, головне — це те, як його використовують
---
Контракт для аварійного зупинення звучить страшно, але насправді це просто управління дозволами, яке не йде в ногу з часом
---
Ця справа ще раз довела, що чим новіше — тим обережніше. Не можна лише прагнути до інновацій і забувати про безпеку
Переглянути оригіналвідповісти на0
GweiWatcher
· 01-07 07:55
Знову проблеми з управлінням дозволами, чи справді контракт так легко зламати?
Переглянути оригіналвідповісти на0
HashBandit
· 01-07 07:49
ngl, ще один день, ще один момент "ми забули, що існує контроль доступу"... у мої дні майнінгу ми хоча б знали, як закрити наші майнери, лол. EIP-7702 звучав круто на папері, але саме тому я не довіряю новим модним стандартам до третього року роботи мережі... занадто розпущені дозволи = кошти зникають, досить просто.
Переглянути оригіналвідповісти на0
NFTBlackHole
· 01-07 07:41
Знову провал у налаштуванні прав доступу, цим розробникам справді потрібно навчитися правильно писати контроль доступу
EIP-7702 навіть нововведення не врятують від поганої архітектури, якщо базові речі не закладені правильно — все даремно
Plasma Vault прямо назвали "скарбницею", смішно, це називається "інновація"?
Чому кожного разу одна й та сама помилка, чи перевірка контрактів — це просто формальність?
Коли з’явиться новий механізм і його запустять — це гра в рулетку, брате?
Такий розмір прав доступу — і все одно запускаєш продукт, справді дивно
Ще одна помилка у контракті за шкільною підручником, коли ж ти навчишся робити висновки?
Переглянути оригіналвідповісти на0
ArbitrageBot
· 01-07 07:39
Знову старий трюк з поганим управлінням правами, EIP-7702 навіть не зможе врятувати поганий код
---
Дизайн контракту на такому рівні — сміливо можна запускати, контроль доступу фактично відсутній, заслужено отримуємо зловживання
---
Що б не казали про інноваційні рішення, все це — порожні слова, якщо не забезпечити базову безпеку, все марно
---
Підхід Plasma Vault дійсно був геніальним, він максимально використав вразливості, інженерам варто задуматися
---
Такі ситуації трапляються дуже часто, завжди винні у цьому — надмірно розширені права
---
EIP-7702 виглядає солідно, але на практиці стикається з тими ж старими проблемами
---
Гроші просто зникли, будь-які технічні інновації не зможуть компенсувати відсутність аудиту
Переглянути оригіналвідповісти на0
MidnightSnapHunter
· 01-07 07:38
Контроль доступу дійсно важка тема, EIP-7702 знову і знову доводить, що погана інфраструктура не витримує... Цього разу урок IPOR був дуже болючим
Ще одна історія "Ми й подумати не могли, що таке можливо", справжній безперервний процес забезпечення безпеки контрактів
Обхід механізму вилучення у контрактів з автоматичним зупиненням? Це означає, що з аудиторською перевіркою щось не так... інакше ніхто б не подумав про таку уразливість
Це називається — забули про захист, зосередившись лише на інноваціях, контроль доступу настільки розпорошений, що це вже смішно
Завжди так: з’являється новий продукт — і одразу намагаються його просунути, а безпека залишається як папір... коли ж нарешті навчимося спершу закріплювати основи, а потім розширюватися
Щодо безпеки IPOR Fusion, ключовою проблемою є те, що проектна команда керувала EOA-рахунками через EIP-7702, а дизайн базового контракту, який делегував ці обов’язки, містив вразливість — відсутність належних обмежень зовнішніх викликів. В результаті зловмисник використав цю вразливість для створення зловмисного контракту для зупинки (Plasma Vault). Цей зловмисний контракт міг обійти звичайний механізм виведення і безпосередньо переказати кошти з сейфу. Простими словами, налаштування дозволів контракту були надто розпливчастими, і не було повністю закрито доступ до певних операцій. Ця подія знову нагадує нам: навіть інноваційні розширення (наприклад, EIP-7702) потрібно впроваджувати з особливою обережністю, а контроль доступу до базових контрактів має бути достатньо строгим.