ERC-20固有缺陷激发钓鱼诈骗

一键发币： SUI | SOL | BNB | ETH | BASE | ARB | OP | POLYGON | AVAX | FTM | OK

ERC-20 代币是加密行业中最常被盗的资产之一，甚至一些旨在解决问题的更新也在无意中助长了盗窃。

据 Scam Sniffer 称，3 月份因网络钓鱼诈骗而损失的价值 7150 万美元的加密货币中，以太坊网络几乎无处不在的代币标准占了 89.5%。

这些代币因受害者无意中被网络钓鱼并批准“许可”和“增加津贴”等功能而被盗。 旨在提高代币标准效率的功能引入了新的漏洞。

ERC-20 代币于 2015 年首次推出，充满了安全漏洞，短期内修复的可能性很小。

算法投资协议 Trading Strategy 的联合创始人 Mikko Ohtamaa 告诉杂志：“问题在于 ERC-20 和以太坊设计历史上的错误决定。”

他表示，与代币设计相关的问题主要是以太坊和（较小程度上）Solana 特有的问题。

Ohtamaa 表示：“该问题已在其他链上得到解决，例如 MultiversX、Radix、基于 Cosmos 的链等。”

但智能合约的不变性使得纠正 ERC-20 缺陷的工作变得更加复杂。

1、网络钓鱼攻击：Uniswap 的 Permit2

Uniswap 的“Permit2”是 2022 年推出的智能合约，旨在通过允许用户向 DApp 授予批量代币批准来改善交易。 这消除了每笔交易单独批准的需要，从而节省了过程中的燃料费。

Permit2 类似于其前身，以太坊改进提案 2612 中的“permit”，它引入了链下代币批准。 由于这些消息不在链上，因此签署这些消息不会产生燃料费。

EIP-2612 是 ERC-20 扩展，这意味着它是一项可选功能。 但市场上流通的大多数 ERC-20 代币都没有这个附加组件，这意味着用户在与 DApp 交互时并不总能获得好处。

这就是 Uniswap 的 Permit2 的用武之地。这个中介合约将 EIP-2612 扩展到其平台上的整个 ERC-20 代币。

但对于世界上最大的去中心化交易所之一的 DeFi 参与者来说，这似乎是一个有价值的更新，这促使一位研究人员敲响了警钟。

2022 年 11 月 Uniswap 新合约发布大约一周后，安全研究员 Roman Rakhlin 发表了一篇 Medium 文章，展示了非法行为者如何通过网络钓鱼计划获取许可签名，最终从毫无戒心的受害者那里窃取代币。点击这里查看相关视频。

“就像我发表文章一个月后，我看到一些排水者实际上开始使用许可证签名，就像我演示的那样，”Rakhlink说。

Uniswap 没有回应杂志的置评请求。

2、ERC-20 和加密货币诈骗

这并不是说 ERC-20 代币在八年多前推出时不是一个重大飞跃。 他们提供了一个通用框架，允许在以太坊上创建新的可替代代币，并在预定义的规则内顺利运行。

该标准的核心功能，如“批准”机制，使代币持有者能够在去中心化生态系统中管理其资产，并授予代表其转移资产的权限，从而促进 DeFi 的兴起。

以太坊的原生货币 Ether 和 ERC-20 代币之间存在差异，特别是在它们与智能合约的交互方式方面。

其一，将以太币发送到智能合约非常简单。 用户只需发送以太币，就像将其发送到另一个人的钱包时一样。

但 ERC-20 代币在与其他智能合约交互时需要获得批准。 恶意行为者可以针对此确认过程来欺骗用户签署虚假消息。

“该标准本身存在缺陷，”以太坊开发者兼智能合约审计师米哈伊尔·弗拉基米罗夫 (Mikhail Vladimirov) 告诉杂志。

2016 年，Vladimirov 撰写了一篇论文，描述了理论上的“批准”攻击向量，其中恶意实体可以利用批准代币数量的变化来转移比代币所有者最初允许的更多的资金。

例如，假设 Alice 拥有 1,000 个代币，并希望在 DEX 上进行交易。 Alice 使用“批准”功能允许 DEX 代表她花费 500 个代币。 但爱丽丝改变了主意，想要进行更多交易。

Alice 可以通过首先将限额设置为零然后批准 800 个代币来提高批准的代币数量。 在这个假设的场景中，恶意行为者可以在重置为零之前和新配额之前的短时间内发起交易，花费比爱丽丝预期更多的代币。

这种特殊的理论攻击可能很难实现，因为它依赖于爱丽丝修改批准时的短窗口。

该论文针对这种假设的攻击提出了一种解决方案，允许用户更改限额而不是设置新限额。

2017 年“increaseAllowance”和“decreaseAllowance”功能的采用开始解决“approve”攻击的风险，使代币持有者能够调整批准的代币数量，而无需完全重置它们。

有了这些功能，Alice 不再需要重置为零，而是可以直接将她的配额更改为 800 个代币。

审计公司 Oxorio 的安全研究员 Lev Menshikov 告诉杂志：“increaseAllowance 功能旨在解决这个问题，但最终，它更经常为最终用户创建额外的问题。”

在骗局中，非法行为者可能会发送网络钓鱼消息，要求用户以看似正当的理由增加其代币限额，例如虚假更新要求用户获得更高的限额才能继续享受服务而不会中断，或者虚假的安全措施要求用户增加批准的代币 。

这允许黑客将批准的代币从用户的钱包转移到他们的钱包中，在某些情况下耗尽全部金额。

3、ERC-20 代币：不可变的诅咒

去年，IncreaseAllowance 被从 ERC-20 合约中删除，并在独立安全研究人员 pcaversaccio 对该功能引发的诈骗可能性表示担忧后，进行了延期。

“由于合同是不可变的，所以你无法更改它们，”pcaversaccio 告诉杂志。

对于已经流通的现有代币（数量不计其数），由于区块链的不可变性质，修改是不可行的。

然而，通过利用可升级的代理或中介合约，项目有能力增强或减少功能，例如消除“increaseAllowance”和“permit”等非核心功能，类似于Uniswap的Permit2如何将“permit”功能引入ERC- 20 个代币本身缺乏这种能力。

但 pcaversaccio 补充说，“approve”功能必须保留，因为它属于原始 ERC-20 规范。

这意味着攻击向量将几乎永远存在。

“不变性是一个特性，而不是执行层的错误。”

他说，问题出在应用程序层，比如 DApp 和钱包。

Vladimirov 承认 ERC-20 设计存在缺陷，但将诈骗的增加主要归因于社会工程——欺骗与安全系统交互的人类的操纵策略，而不是技术本身。

他认为钱包应该提供更简单或人类可读的格式，而不是经常让用户感到困惑并使他们更容易受到诈骗的技术术语或代码。

“不幸的是，我们不能要求所有[钱包]以正确的方式做事，特别是如果社区不能就正确的方式达成一致，”弗拉基米罗夫说。

Ohtamaa 建议安全社区不认为诈骗是一个高度优先的问题，因为它们主要影响知识水平较低的用户或由有缺陷的前端引起。

Ohtamaa 表示：“一些安全研究人员甚至更傲慢地称这是‘愚蠢的用户问题’或‘钱包和前端开发人员应该修复’的问题，并将他们造成的问题推给其他人。”

4、网络钓鱼攻击让加密货币 OG 陷入困境

然而，越来越多在以太坊生态系统中定期进行交易的任何人和每个人都开始成为无处不在的骗局的受害者。

即使是加密货币本地人，例如加密货币矿工和取证平台 Intelligence On Chain 的合作者 Necksus，也成为了复杂的社会工程策略的受害者。

“损失很严重，但我正在慢慢努力挽回损失，”Necksus 说道，他声称自己因网络钓鱼诈骗损失了约 20,000 美元。

Necksus 表示，他被一名 NFT 艺术家的受损帐户所欺骗，并访问了一个虚假的 Web3 社交媒体项目的网站。

“我不知道，直到为时已晚，”他补充道。

化名“Larry the Cucumber”和“Beary the Cucumber”的 DeFi 平台 Pickle Finance 联合创始人最近也成为了涉及“permit”功能的网络钓鱼骗局的受害者。

与大多数受害者不同，Larry the Cucumber使用了额外的预防措施，例如使用交易模拟器，允许用户在完成交易之前查看场景。

Oxorio 的 Menshikov 警告投资者，创造性的新网络钓鱼趋势不断出现。

“我可以强调的网络钓鱼领域的一个非常重要的趋势是针对 ENS 域名所有者的攻击明显流行，”Meshikov 说。

在这种网络钓鱼计划中，攻击者向 ENS 域名所有者发送虚假电子邮件警报，引诱他们访问虚假续订网站，并在其中勒索他们的资金。

Vladimirov 声称，智能合约的不变性和不断增长的代币数量使得任何链上解决方案都难以防止攻击，并指出社会工程策略早在加密货币之前就已经存在。

相反，他表示，真正的解决方案将来自安全工具的发展，这些工具可以警告用户已知的攻击媒介。

Larry the Cucumber 告诉杂志，加密货币用户可以通过使用 WalletGuard 和 Pocket Universe 等安全工具来保护自己免受许多攻击，用户可以在这些工具中扫描 URL 以检测钱包资产流失等风险。

Pcaversaccio 避免网络钓鱼诈骗的一般规则是对每个人、每件事都保持怀疑：“对你签署的所有内容都保持偏执。”

但Ohtamaa持一种有些愤世嫉俗的观点，认为“不解决问题”可以赚更多钱。

“销售阿司匹林总是比治愈病人更有利可图，”Ohtamaa说。

原文链接：Ethereum’s ERC-20 design flaws are a crypto scammer’s best friend

DefiPlot翻译整理，转载请标明出处

免责声明：本站资源仅用于学习目的，也不应被视为投资建议，读者在采取任何行动之前应自行研究并对自己的决定承担全部责任。