Cobo Security Team：Bull Market Defi Interactive Guide

Defiはユーザーにかなりの利益をもたらすことができますが、資本セキュリティは安定した資産の成長の中核です。穂軸Oセキュリティチームは、ブルマーケットのDefiセキュリティインタラクションの全員を刺激し、支援することを望んで、Defiの相互作用における一般的な安全リスクと対応するセキュリティ上の注意事項を整理しました。

イーサリアムが率いる2019年のDefi Summerの開設以来、ますます創造的な分散型の金融協定が現れ、チェーン上の資産の利用可能性を大幅に豊かにしているため、ブロックチェーンユーザーはチェーン上の資産をより良く使用できます。より多くの金融活動を実施し、これに対して寛大な利益を生み出します。しかし、ますます多くのDefiプロトコルの増加に伴い、セキュリティの課題が続いています。不完全な統計によると、2023年、ブロックチェーン攻撃による資産の損失は26億億米ドルに達しました。Defiプロトコルに参加する過程で、対応する収入の期待を評価することに加えて、プロトコルセキュリティの評価は無視できないことがわかります。そうしないと、ユーザーに大きな損失をもたらします。

一般的に、プロトコルのセキュリティ評価の主流の定義は、この定義のセキュリティ評価として現在定義されています。、および評価そのもの、およびdefiの相互作用中、セキュリティは、アカウント管理、契約の相互作用の前の準備、資産管理、データ監視、資産の喪失後の自己救済などの複数の段階を含む、しばしば動的であることがよくあります。

Defi Novice Villageに入ろうとしているユーザーとして、どのようにして給付を獲得しながら資金のセキュリティを最大化できますか？Cobo Securityチームは、Bull MarketのDefiセキュリティ相互作用の全員を刺激し、支援できることを期待して、Defiの相互作用における一般的なセキュリティリスクと対応するセキュリティ防止措置を整理しました。

def私は相互作用に共通の安全リスクと予防措置を講じています

1。秘密キーリークをアカウント

アカウントの秘密の漏れは、初心者のユーザーの採用が発生しやすいものの1つです安全でないウォレットを使用して、秘密鍵を生成します。多くの上級ユーザーは、メインアカウントがある日、すべての資産に転送されたことを発見しました。すべての行動が半日で見つかったことがすべての行動が見つかったことを分析しました。独自のプライベートキーを生成するための財布とプライベートキーにプライベートキーにプライベートキーが自分の鍵に独自の鍵を引き起こさせ、独自のキーに自分の鍵に独自の鍵を引き起こさせます。独自のキーに独自のキーに独自のキーに独自のキーに独自のキーに自分のキーに自分の鍵が自分のキーに自分のキーに自分のキーに自分の鍵を与えてもらうために、独自のキーに独自の鍵が原因になります。独自のキーに独自のキーを引き起こす独自のキーが自分のキーを引き起こして自分の鍵を引き起こさせて、独自のキーに自分の鍵を引き起こさせて、自分の鍵を秘密鍵に引き起こさせます。独自のキーを引き起こすプライベートキーは、独自のキーに独自のキーを引き起こし、プライベートキーに漏れています。

同時に、ブロックチェーンの航空投資によって引き起こされる富の影響により、多くの初心者ユーザーは、このようなエアドロップWebサイトを非常に深刻なプロジェクトWebページとしてパッケージ化し、ユーザーが多数あることを盲目的にクリックします。未解決の通貨の。興味に駆られている多くの初心者ユーザーは、Webページの誘導の下でアカウントのプライベートキーに記入し、プライベートキーがリークします。

秘密キーの漏れを防ぐために、ユーザーは次のポイントを防ぐために次のように防ぐ必要があります。

よく知られているブロックチェーンウォレットを使用し、対応する公式ウェブサイトからウォレットをダウンロードします。ハードウェアウォレットを使用するには、コンディショナーをお勧めします。
ネットワーク環境に秘密鍵を公開しないでください。また、秘密鍵を自由にWebページに入力しないでください。

第二に、署名釣りのリスク

署名の釣りのリスクは、プライベートキーの漏れと同じように、初心者ユーザーにとって最も大きなヒットエリアです。ユーザーが秘密鍵を直接入力できるようにすることとは異なります。このような釣り攻撃は、ユーザーに関連する資産の承認を得るために、ユーザーにトランザクションまたは署名を開始するように誘導することです。そして、検出するのが難しい。

一般に、攻撃者は最初にユーザーを釣りのウェブページに誘導して、ユーザーがエアドロップと検証ログインの名前で署名を発行できるようにします。

釣り取引には多くの種類があるかもしれません：

直接転送タイプ。ETHを直接転送するか、ERC20転送コールを実行して、ウォレットアセットを攻撃者アドレスに転送します。
承認タイプ。ERC20承認方法を呼び出して、攻撃者ウォレットを承認します。ユーザーの署名時に資産譲渡は発生しません。しかし、攻撃者のウォレットは、転送から電話をかけることでユーザー資産を転送できます。
EIP712メッセージ署名。ERC20許可法。このような署名は通常、ウォレットにJSONデータまたはより良いツリーのようなデータとして表示されます。ユーザーが署名すると、トランザクションが開始されず、ガス消費はありません。ただし、署名の結果は釣りのウェブサイトによって記録され、攻撃者は署名結果を使用して被害者のERC20またはNFT資産を転送できます。
プリミティブハッシュシグネチャ。署名データは16進のハッシュデータであり、署名データ自体から特定の署名コンテンツを推測できません。ハッシュの背後には、上記の1〜3種類のデータがあります。署名は資産の損失を引き起こす可能性があります。ただし、主流のウォレットは現在、このような署名方法または明らかなリスクプロンプトから禁止されています。

最近、一部のケースでは、一部の釣りWebサイトではユーザーが複数の署名を連続して実行する必要があることがわかりました。最初の数回のストロークは、無害な通常の署名です。次に、悪意のある署名コンテンツを混ぜます。ユーザーの操作慣性を使用して、ユーザーに署名操作を完了するように誘導します。

釣りによって引き起こされた資金の損失を防ぐために、コアは、盲目的に署名を拒否することです。各署名は慎重にレビューされ、不確実なコンテンツの取引は署名を拒否します。具体的には、署名の過程で以下に注意を払うことができます。

インタラクティブなWebサイトがDefiプロジェクトの公式Webサイトであることを確認して、完全なドメイン名を確認してください。
コールコールの方法を確認し、転送を確認し、メソッドを承認します。
トランザクションに添付されたETH転送を確認してください。一部の釣りのウェブサイトは、一見安全な方法（クレームなど）を構築しようとしますが、実際には、呼び出し時にETHなどの元の世代通貨に損失を引き起こすためにETH転送をもたらします。
署名のプリミティブハッシュコンテンツではありませんエッセンス

第三に、転送アドレス毒

転送アドレスの中毒は、最近のより新しい攻撃方法です。トークン。

例：

アリスは毎月固定されており、1 ETHを給与発行としてボブに移しました。チャーリーはこのトランザクションを監視し、ボブ（アドレスの最初の8桁と8桁）と同様のアドレスで0.001 ETHをアリスに送信します。この操作の後、アリスが次回ボブに転送されると、チャーリーの住所はトランザクションアドレスとして使用される可能性があります。この状況の理由は、ブロックチェーンアドレスの長さが長く、その結果、ユーザーが以前のトランザクションレコードから直接コピーしたいと考えています。チャーリーとボブの住所は非常に似ているため、アリスが区別することは困難であり、最終的には資産の損失につながります。

Zhongzhaoの住所の中毒を防ぐために、ユーザーは次の手段をとることができます。

各トランザクションは転送アドレスがチェックされており、フロントとリアの唯一のバイトではなく、完全なコンテンツをチェックする必要があります。
アドレスホワイトリスト（アドレス帳）に一般的に使用されているアドレスを設定し、譲渡のためにアドレス帳のアドレスを使用してみてください。
転送ターゲットとして、チェーンチャネル（ブロックチェーンブラウザ、ウォレットトランザクションレコードなどを含む）のレプリケーションアドレスを避けてください。

第4に、認可をめぐるトークン

トークンの承認は、defi相互作用のほぼ最初のステップです。defi操作を実行する場合、通常の状況ではなく、プロジェクトパーティーのWebページを介してトランザクションデータが構築されているため、繰り返し認定なしでユーザーの複数の対話を容易にします。ユーザーがユーザーが署名を許可できるようにします。出発点はユーザーのためのガスを節約することですが、これは後続の資金のために隠された危険を築きました。後続のプロジェクトコードが発生すると仮定すると、許可されていないインターフェイスまたは脆弱性がWELで呼び出された場合、ユーザーの契約の無制限の許可は攻撃者の使用につながり、ユーザー資産が転送されます。この攻撃シーンは、クロスチェーンブリッジとデックスプロトコルでより一般的です。

その後のプロジェクトがリスクコードまたはプロジェクトコード自体の導入を防ぐために、抜け穴を発見することはありません。ユーザーは、最低許可の原則を採用し、この取引で使用されている金額を可能な限り承認しようとする必要があります、その後のプロジェクトのリスクを防ぎ、資産の損失を引き起こします。

5。安全でないdefi操作

相互作用前の準備に加えて、相互作用中に無視できる多くのリスクもあります。これらのリスクは通常、プロジェクト自体に対するユーザーの不十分な理解によって引き起こされます。具体的な例は次のとおりです。

トークンがチェーンエクスチェンジプロトコルを介して交換されると、スライディングポイントが大きすぎるか、スワップのライティングスクリプトが受信の最小数を設定しない（0に書き込むのに便利です）、トランザクションが攻撃されます。 MEVロボットの「サンドイッチ」。
チェーンでの借入契約を通じて融資操作が実行された場合、位置の健康程度はタイムリーに管理されず、その結果、大規模な変動市場でのポジションが清算されました。
特定のプロジェクトと対話する場合、UNISWAP V3のNFT証明書など、販売のためのOpenSeaの通常のNFTとしてのプロジェクト規定の適切な保存はありません。

これらのリスクを防ぐために、ユーザーはプロジェクト研究の良い仕事をし、プロジェクトメカニズムと関連する特性を明確にし、資産の損失を防ぐ必要があります。

Defi Security Transactionの新しいパラダイム-Cobo Argus

上記は、ブロックチェーンでのDefiアクティビティの一般的な相互作用リスクを導入します。ユーザーが誤ってそれらの1つを募集した場合、それは長年の努力を失う可能性があり、それは少し不注意です。それで、安全で効果的で管理が簡単なリスク制御ソリューションはありますか？新しい選択スキームはコボアガスです。

Cobo Argusは、Gnosis Safeに基づいてCoboチームによって開発されたチェーンリスク制御製品です。主な役割は、さまざまなACL戦略を構築し、リスク制御ルールを満たしていないインターセプトトランザクションを構築し、ユーザーファンドのセキュリティを確保することにより、ユーザートランザクションを分析することです。

Cobo Argusは、Defi環境のセキュリティリスクにどのように対応しますか？

1.下層の詳細、および上部のシングル署名承認：プライベートキーの単一ポイントリスクの漏れを避け、釣りのリスクを遅くしながら、運用効率を確保します

Cobo Argusは、Safe {Wallet}によって構築された製品です。したがって、Cobo Argusは自然にSafe {Wallet}のセキュリティを継承します。

資金を単一の秘密鍵から複数のプライベートキーに維持するために変更することにより、単一の秘密鍵による漏れの資産損失/ロックリスクを排除できます。より多くのウォレット自体に署名するには、単一のアドレスの秘密キーの漏れをトリガーするために複数の署名が必要です。さらに、複数の署名トランザクションを開始して、紛失またはリスク単一のアドレスを置き換えて、複数のウォレットのセキュリティを確保することができます。

さらに、単一の署名アドレスがマルチサインアドレスに切り替えられるため、トランザクションが署名されたとき、各ユーザーはトランザクションに署名する必要があります。。

複数の人がレビューする必要があるため、運用の効率に特定の影響を与えます。Cobo Argusを使用すると、ユーザーは柔軟な承認ルールを構成し、特定のEOAアドレスに対していくつかの低周波操作（通常の請求所得運用など）を許可します。このアドレスは、作業効率を向上させるために複数のウォレットに署名することで置き換えることができます。同時に、アドレス許可が厳密に制限されているため、ウォレットの全体的なセキュリティは大きな影響を受けません。

2。カスタムロボット：7*24時間自動リスクの監視と応答

構成されたCobo Argus監視ロボットにより、監視する必要がある操作と監視とトリガー条件を必要とする操作を実行できます。

貸付プロジェクトのレバレッジ管理を例にとると、ユーザーはアーガスロボットを構成することで健康要因を監視できます。

3.カスタムACL戦略

カスタム監視ロボットに加えて、特定の開発機能を備えたユーザーは、カスタムACL（アクセス制御リスト）契約を開発することにより、より柔軟なアクセス許可管理を実現できます。これは、Cobo Argusのコア機能の1つです。関数の魅力は、いくつかの例を通してこの関数の魅力を感じることです。

アドレス中毒への攻撃ACL契約は、ACL契約で一般的に使用されているアドレスをホワイトリストとして指定できます。ユーザー設定リストアドレスが比較されます。
過度の承認の問題を目指していますユーザーは、ACL戦略的契約を書くことにより、承認取引の承認されたクォータを分析でき、トークンの承認承認制限はユーザーのプリセット値に限定されます。または1をカスタムロボットで構成し、関連するトークンを定期的にゼロをクリアすることを許可することができます。
安全でないdefi操作用スライディングポイントチェックなしのスワップトランザクションは、Argus ACL戦略契約を記述した後、トランザクションを引き換えることで受け入れることができる最小スリップを記述できます。交換ポイントが満たされていない場合、さまざまなスワップトランザクションを実行します。

要約します

Defiの相互作用には多くの困難なリスクがあります。ユーザーは各トランザクションを慎重に処理する必要があります。

Cobo Argusは、ユーザーに信頼できる簡単な – コンフィギュアから、いくつかの一般的なセキュリティリスクを防ぐための手段を提供できます。ACLは、セキュリティを確保するという前提で、柔軟で安全な承認管理を完了し、同時に使用できます。

Defiはユーザーにかなりの利益をもたらすことができますが、資本セキュリティは安定した資産の成長の中核です。Cobo Argusは、各Defi Farmerを保護して、全員が強気市場でより多くの価値を生み出すのを支援します。