Cobo Security Team: Bull Market Defi Guide interactif

Bien que DeFI puisse apporter des avantages considérables aux utilisateurs, la sécurité des capitaux est au cœur de la croissance constante des actifs.ÉPIL’équipe de sécurité O a réglé les risques de sécurité communs et les précautions de sécurité correspondantes dans l’interaction Defi, dans l’espoir d’inspirer et d’aider tout le monde dans l’interaction de sécurité Defi de Bull Market.

Depuis l’ouverture de DeFI Summer en 2019, dirigée par Ethereum, de plus en plus de créatives d’accords financiers décentralisés sont apparus, ce qui enrichit considérablement la disponibilité des actifs sur la chaîne, afin que les utilisateurs de blockchain puissent mieux utiliser les actifs sur la chaîne pour mener plus d’activités financières et créer des avantages généreux pour cela.Mais avec la montée de protocoles de plus en plus de défi, les défis de sécurité ont suivi.Selon des statistiques incomplètes, en 2023, les pertes d’actifs causées par les attaques de blockchain ont atteint 2,61 milliards de dollars américains.On peut voir que dans le processus de participation au protocole Defi, en plus d’évaluer les attentes de revenus correspondantes, l’évaluation de la sécurité du protocole ne peut être ignorée, sinon elle entraînera de grandes pertes aux utilisateurs.

D’une manière générale, la définition dominante de l’évaluation de la sécurité du protocole est actuellement définie comme l’évaluation de la sécurité du code. , et l’évaluation elle-même, et pendant l’interaction Defi, la sécurité est souvent dynamique, y compris plusieurs étapes telles que la gestion des comptes, la préparation avant l’interaction, la gestion des actifs, la surveillance des données et l’auto-résolution après la perte d’actifs.

En tant qu’utilisateur qui est sur le point d’entrer dans le village de Defi novice, comment pouvons-nous maximiser la sécurité des fonds tout en gagnant des avantages sociaux?L’équipe de sécurité COBO a réglé les risques de sécurité communs et les mesures de prévention de la sécurité correspondantes dans l’interaction Defi, en espérant qu’elle puisse inspirer et aider tout le monde dans l’interaction de sécurité Defi de Bull Market.

DefJ’ai des risques de sécurité communs et des mesures préventives d’interaction

1. Compte la fuite de clé privée

La fuite de clé privée du compte est l’une des plus sujettes au recrutement d’utilisateurs novices. portefeuilles dangereux et utilisez-les.De nombreux utilisateurs supérieurs ont constaté que leur compte principal avait été transféré à tous les actifs un jour, et analysant qu’il était normal que tous les comportements constatent que tous les comportements ont été trouvés dans une demi-journée. Des portefeuilles pour générer leurs propres clés privées et ont fait que leurs clés privées provoquent leurs clés privées pour que leurs clés privées provoquent à ce que leurs propres clés fassent Des clés privées pour faire en sorte que leurs propres clés provoquent leurs propres clés pour faire en sorte que leurs propres clés provoquent leurs propres clés pour faire en sorte que leurs propres clés provoquent à leurs propres clés de faire en sorte que leurs propres clés provoquent leurs propres clés les possessions de clés pour faire en sorte que leurs propres clés provoquent leur propre clé pour faire en sorte que leur propre clé faisait en sorte que leur propre clé de faire en sorte que leur propre clé provoque à leur propre clé de faire en sorte que leur propre clé de faire en sorte que leur clé privée entraîne leur propre clé pour provoquer leur Des clés privées pour faire en sorte que leur propre clé fasse en sorte que leur propre clé fasse en sorte que leur propre clé fasse en sorte que leur propre clé fasse en sorte que leur propre clé fasse la fuite de leurs clés privées.

Dans le même temps, en raison de l’effet de richesse causé par l’investissement aérien de la blockchain, de nombreux utilisateurs novices cliqueront aveuglément sur certains sites Web Airdrop, de ces sites Web Airdrop, de ces pages Web très sérieuses et disent aux utilisateurs qu’il existe un grand nombre de monnaie non résolue.Sous les intérêts, de nombreux utilisateurs novices rempliront leurs clés privées de compte dans le cadre de l’induction de pages Web, provoquant la fuite de clés privées.

Afin d’empêcher la clé privée de fuites, les utilisateurs doivent empêcher les points suivants pour éviter:

Utilisez un portefeuille Blockchain bien connu et téléchargez le portefeuille à partir du site officiel correspondant.Les conditionneurs sont recommandés d’utiliser des portefeuilles matériels.
N’exposez jamais votre clé privée à l’environnement réseau et n’entrez pas votre clé privée dans une page Web à volonté.

Deuxièmement, risque de pêche signature

Les risques de pêche signature, tout comme la fuite des clés privés, sont également les zones les plus difficiles à succès pour les utilisateurs novices.Différente de permettre aux utilisateurs de remplir directement la clé privée, ces attaques de pêche consistent à induire les utilisateurs à initier une transaction ou une signature, afin d’obtenir l’autorisation des actifs liés à l’utilisateur. et difficile à détecter.

Généralement, l’attaquant induira d’abord les utilisateurs à la page Web de pêche pour permettre aux utilisateurs d’émettre des signatures dans le nom de la réception des connexions Airdrops et de la vérification.

Il peut y avoir de nombreux types de transactions de pêche:

Type de transfert direct.Transférer directement ETH ou effectuer un appel de transfert ERC20 pour transférer l’actif du portefeuille à l’adresse de l’attaquant.
Approuver le type.Appelez l’ERC20 Approuver la méthode pour autoriser le portefeuille de l’attaquant.Le transfert d’actifs ne se produira pas lorsque les signatures de l’utilisateur.Mais le portefeuille d’attaquant peut transférer les actifs des utilisateurs en appelant le transfrom.
Signature du message EIP712.Tels que la méthode du permis ERC20;De telles signatures sont généralement affichées dans le portefeuille comme des données JSON ou de meilleures données semblables à l’arborescence.Lorsque l’utilisateur signale, il n’initiera pas de transaction et il n’y aura pas de consommation de gaz.Cependant, les résultats de la signature seront enregistrés par le site Web de pêche et l’attaquant peut utiliser le résultat de la signature pour transférer les actifs ERC20 ou NFT de la victime.
Signature de hachage primitive.Les données de signature sont les données de hachage hexadécimal, qui ne peuvent pas déduire le contenu de signature spécifique des données de signature elle-même.Derrière le hachage peut être les 1 à 3 types de données susmentionnés.Les signatures sont susceptibles de provoquer une perte d’actifs.Cependant, le portefeuille grand public est actuellement interdit de ces méthodes de signature ou des invites de risque évidentes.

Récemment, certains cas ont également été constatés que certains sites Web de pêche obligeront les utilisateurs à effectuer plusieurs signatures d’affilée, et les premiers accidents vasculaires cérébraux sont des signatures normales qui sont inoffensives.Mélangez ensuite un contenu de signature malveillante.Utilisez l’inertie de l’opération de l’utilisateur pour inciter les utilisateurs à terminer l’opération de signature.

Afin d’empêcher la perte de fonds causés par la pêche,Le noyau est de refuser de signer aveuglément.Chaque signature est soigneusement examinée et la transaction de contenu incertain refuse de signer.Plus précisément, vous pouvez prêter attention aux éléments suivants dans le processus de signature:

Confirmez que le site Web interactif est le site officiel du projet Defi pour vérifier le nom de domaine complet.
Vérifiez la méthode des appels d’appel et vérifiez la méthode de transfert, approuvez-vous.
Vérifiez les transferts d’ETH attachés à la transaction.Certains sites de pêche tenteront de construire une méthode apparemment sûre (comme la revendication), mais ils apporteront en fait des transferts d’ETH pour provoquer des pertes dans la monnaie de génération d’origine telle que l’ETH lors de l’appel.
Pas de contenu de hachage primitif signatureEssence

Troisièmement, transférer l’adresse du poison

L’empoisonnement de l’adresse de transfert est une méthode d’attaque plus nouvelle. jeton.

Exemple:

Alice est fixée chaque mois et transféré 1 ETH à Bob comme émission de salaire.Charlie a surveillé cette transaction et envoie 0,001 ETH à Alice avec l’adresse similaire à Bob (les 8 premiers chiffres et 8 chiffres de l’adresse).Après cette opération, lorsque Alice est transférée à Bob la prochaine fois, l’adresse de Charlie est susceptible d’être utilisée comme adresse de transaction.La raison de cette situation est que la durée de l’adresse de la blockchain est longue et irrégulière.Parce que l’adresse de Charlie et de Bob est extrêmement similaire, il est difficile pour Alice de distinguer, et finit par entraîner une perte d’actifs.

Afin d’empêcher l’empoisonnement de l’adresse de transfert de Zhongzhao, les utilisateurs peuvent prendre les moyens suivants pour empêcher:

Chaque transaction est vérifiée pour l’adresse de transfert, et il est nécessaire de vérifier le contenu complet plutôt que les seuls octets de l’avant et de l’arrière.
Définissez l’adresse couramment utilisée dans la liste blanche d’adresse (carnet d’adresses) et essayez d’utiliser l’adresse dans le carnet d’adresses pour le transfert.
Évitez l’adresse de réplication du canal de chaîne (y compris le navigateur de blockchain, les enregistrements de transaction de portefeuille, etc.) comme cible de transfert.

Quatrièmement, des jetons sur l’autorisation

L’autorisation des jetons est presque la première étape de l’interaction Defi.Lorsque vous effectuez une opération Defi, car les données de transaction sont construites via la page Web du projet plutôt que dans la structure de l’utilisateur. Les utilisateurs permettent aux utilisateurs de permettre aux utilisateurs de signer.Le point de départ consiste à économiser du gaz pour les utilisateurs, mais cela a également jeté des dangers cachés pour les fonds ultérieurs.En supposant que le code de projet ultérieur se produit, si une interface non autorisée ou la vulnérabilité est appelée à volonté, l’autorisation illimitée par l’utilisateur du contrat entraînera l’utilisation de l’attaquant et entraînera le transfert des actifs de l’utilisateur.Cette scène d’attaque est plus courante dans le pont croisé et le protocole Dex.

Afin d’empêcher les projets ultérieurs d’introduire le code de risque ou le code de projet lui-même, il n’y a pas d’échappatoires de découverte.Les utilisateurs doivent adopter le principe de l’autorisation minimale et essayer d’autoriser le montant utilisé dans cette transaction autant que possible, Empêcher le risque de projets ultérieurs, provoquez votre perte d’actifs.

5. Opération de défi dangereuse

En plus des préparations avant l’interaction, il existe également de nombreux risques faciles à ignorer pendant l’interaction.Ces risques sont généralement causés par la compréhension inadéquate de l’utilisateur du projet lui-même.L’exemple spécifique est:

Lorsque les jetons sont échangés via le protocole d’échange de chaînes, le point de glissement est réglé trop grand ou le script d’écriture pour Swap ne définit pas le nombre minimum de réception (il est pratique pour l’écriture à 0), ce qui fait attaquer la transaction par le « Sandwichs » du Robot Mev.
Lorsque l’opération de prêt a été effectuée par l’accord d’emprunt sur la chaîne, le degré de santé de la position n’a pas été géré en temps opportun, ce qui a entraîné la liquidation de la position sur le grand marché de fluctuation.
Lorsque vous interagissez avec certains projets, il n’y a pas de bon stockage des dispositions du projet, telles que le certificat NFT de l’UNISWAP V3 en tant que NFT ordinaire à l’OpenSEA à vendre.

Afin de prévenir ces risques, les utilisateurs doivent faire un bon travail de recherche de projet, clarifier le mécanisme du projet et les caractéristiques pertinentes et prévenir la perte d’actifs.

Nouveau paradigme de la transaction de sécurité Defi – Cobo Argus

Ce qui précède introduit les risques d’interaction communs pour les activités Defi dans la blockchain.Si l’utilisateur recrute accidentellement l’un d’eux, cela peut faire perdre des années de dur labeur, et c’est un peu négligent.Alors, existe-t-il une solution de contrôle des risques qui est sûre et efficace et facile à gérer?Un nouveau schéma de choix est Cobo Argus.

Cobo Argus est un produit de contrôle des risques de chaîne développé par l’équipe Cobo basée sur le coffre-fort Gnosis.Le rôle principal est d’analyser la transaction utilisateur en créant différentes stratégies de LCA, intercepter les transactions qui ne respectent pas les règles de contrôle des risques, garantissant ainsi la sécurité des fonds utilisateur.

Comment Cobo Argus réagit-il aux risques de sécurité dans l’environnement Defi?

1. Signez plus sur la couche inférieure et l’autorisation de signature unique supérieure: Évitez la fuite des risques à point unique de clés privées, ralentissez le risque de pêche, tout en garantissant l’efficacité opérationnelle

Cobo Argus est un produit construit par Safe {Wallet}.Cobo Argus hérite donc naturellement de la sécurité de la sécurité {Wallet}.

En modifiant les fonds d’une seule clé privée à plusieurs clés privées à maintenir, le risque de fuite de perte / verrouillage des actifs d’une seule clé privée peut être éliminé.La signature de plus de portefeuille elle-même nécessite plusieurs signatures pour déclencher l’exécution de la transaction.De plus, vous pouvez lancer plusieurs transactions de signature pour remplacer l’adresse de signature unique ou risquée pour assurer la sécurité des plusieurs portefeuilles.

De plus, puisque l’adresse unique est passée à l’adresse multiple de la signature, lorsque la transaction est signée, chaque utilisateur doit signer une transaction, ce qui est propice au contenu de transaction croisée, ce qui réduit considérablement la possibilité d’être pêche .

En raison de la nécessité pour plusieurs personnes de revoir, il a un certain impact sur l’efficacité de l’opération.Cobo Argus permet aux utilisateurs de configurer des règles d’autorisation flexibles, permettant des opérations à faible fréquence (telles que les opérations de revenu de réclamation régulières) à une certaine adresse EOA.Cette adresse peut être remplacée par la signature de plusieurs portefeuilles pour améliorer l’efficacité du travail.Dans le même temps, car les autorisations d’adresse sont strictement limitées, la sécurité globale du portefeuille ne sera pas significativement affectée.

2. Robot personnalisé: 7 * 24 heures sur la surveillance et la réponse des risques automatiques

Par des robots de surveillance Cobo Argus configurés, les opérations qui doivent être surveillées et les opérations qui nécessitent des conditions de surveillance et de déclenchement peuvent être effectuées.

Prenant l’exemple de la gestion de l’effet de levier, les utilisateurs peuvent surveiller leur facteur de santé en configurant le robot Argus.

3. Stratégie ACL personnalisée

En plus des robots de surveillance personnalisés, les utilisateurs ayant certaines capacités de développement peuvent également réaliser une gestion des autorisations plus flexible en développant des contrats CUSTUST (Access Control List).C’est l’une des fonctions principales de Cobo Argus.Le charme de la fonction est de ressentir le charme de cette fonction à travers plusieurs exemples:

Attaque contre l’empoisonnement à l’adresseVous pouvez rédiger le contrat ACL. Paramètres de l’utilisateur L’adresse de la liste est comparée.
Viser les problèmes d’autorisation excessiveL’utilisateur peut analyser le quota autorisé dans la transaction d’approuver en écrivant le contrat stratégique de la LCA, et la limite d’autorisation d’approuver le jeton est limitée à la valeur prédéfinie de l’utilisateur.Ou 1 peut être configuré avec des robots personnalisés et autoriser régulièrement les jetons pertinents pour effacer le zéro.
Pour une opération Defi dangereuseSi la transaction d’échange sans vérification de point de glissement, vous pouvez rédiger le glissement minimum qui peut être accepté en échangeant les transactions en écrivant le contrat stratégique Argus ACL. Différentes transactions d’échange.

Résumer

Il existe de nombreux risques difficiles dans l’interaction DeFI.Les utilisateurs doivent gérer soigneusement chaque transaction.

Cobo Argus peut fournir aux utilisateurs des moyens fiables et faciles à configurer pour empêcher certains risques de sécurité courants.ACL peut compléter la gestion des autorisations flexibles et sécurisées et améliorer l’efficacité opérationnelle sous la prémisse de garantir la sécurité; les robots personnalisés peuvent réduire les opérations manuelles.

Bien que DeFI puisse apporter des avantages considérables aux utilisateurs, la sécurité des capitaux est au cœur de la croissance constante des actifs.Cobo Argus protégera chaque agriculteur Defi pour aider tout le monde à créer plus de valeur sur le marché haussier.