Equipo de seguridad de Cobo: Guía interactiva del Market Market Defi

Aunque Defi puede aportar beneficios considerables a los usuarios, pero la seguridad de capital es el núcleo del crecimiento constante de los activos.MAZORCAEl equipo de seguridad O resolvió los riesgos de seguridad comunes y las precauciones de seguridad correspondientes en la interacción Defi, con la esperanza de inspirar y ayudar a todos en la interacción de seguridad del mercado alcista.

Desde la apertura de Defi Summer en 2019, liderado por Ethereum, han aparecido acuerdos financieros descentralizados más creativos, lo que enriquece enormemente la disponibilidad de los activos en la cadena, por lo que los usuarios de blockchain pueden usar mejor los activos en la cadena. Realice más actividades financieras y cree beneficios generosos para esto.Pero con el aumento de más y más protocolos Defi, los desafíos de seguridad han seguido.Según las estadísticas incompletas, en 2023, las pérdidas de activos causadas por los ataques de blockchain han alcanzado los US $ 2.61 mil millones.Se puede ver que en el proceso de participar en el protocolo Defi, además de evaluar las expectativas de ingresos correspondientes, la evaluación de la seguridad del protocolo no puede ignorarse, de lo contrario traerá grandes pérdidas a los usuarios.

En términos generales, la definición convencional de la evaluación de seguridad del protocolo se define actualmente como la evaluación de seguridad del código. , y la evaluación en sí, y durante la interacción Defi, la seguridad a menudo es dinámica, incluidas múltiples etapas, como la gestión de cuentas, la preparación antes de la interacción del acuerdo, la gestión de activos, el monitoreo de datos y el auto rescate después de la pérdida de activos.

Como usuario que está a punto de ingresar a la aldea de novatos de Defi, ¿cómo podemos maximizar la seguridad de los fondos mientras obtenemos beneficios?El equipo de seguridad de Cobo resolvió los riesgos de seguridad comunes y las medidas de prevención de seguridad correspondientes en la interacción Defi, con la esperanza de que pueda inspirar y ayudar a todos en la interacción de seguridad Defi del mercado alcista.

DefensorTengo riesgos de seguridad comunes y medidas preventivas en interacción

1. Fuga de clave privada de cuenta de cuenta

La filtración privada de la cuenta es una de las más propensas al reclutamiento de usuarios novatos. billeteras inseguras y úselas para generar una clave privada, lo que hace que la clave privada se transfiera mal al atacante, lo que hace que la clave privada se filtre.Muchos usuarios de alto rango descubrieron que su cuenta principal se transfirió a todos los activos un día, y analizando que era normal que todos los comportamientos descubrieran que todos los comportamientos se encontraron en medio día. Las billeteras para generar sus propias claves privadas y causaron que sus claves privadas hicieran que sus claves privadas causen que sus claves privadas causen que sus propias claves causen que sus propias claves causen que su propia clave haga que su propia clave haga que sus propias claves causen sus claves privadas para hacer que sus propias claves causen que sus propias claves causen que sus propias claves causen que sus propias claves causen que sus propias claves causen que sus propias claves causen que sus propias claves causen que sus propias claves causen sus propias claves para causar sus Las claves propias para hacer que sus propias claves causen su propia clave para que su propia clave haga que su propia clave haga que su propia clave haga que su propia clave haga que su propia clave haga que su clave privada haga que su propia clave cause su Las claves privadas para hacer que su propia clave cause su propia clave para que su propia clave cause su propia clave para que su propia clave haga que sus claves privadas conduzcan a sus propias claves.

Al mismo tiempo, debido al efecto de riqueza causado por Blockchain Air Investment, muchos usuarios novatos harán clic ciegamente en algunos sitios web de AirDrop. de moneda no resuelta.Impulsado por intereses, muchos usuarios novatos llenarán las claves privadas de su cuenta bajo la inducción de páginas web, lo que hace que las claves privadas se filtren.

Para evitar que la clave privada se fugas, los usuarios deben evitar los siguientes puntos para evitar:

Use una billetera blockchain bien conocida y descargue la billetera del sitio web oficial correspondiente.Se recomienda que los acondicionadores usen billeteras de hardware.
Nunca exponga su clave privada al entorno de red y no ingrese su clave privada en ninguna página web a voluntad.

Segundo, riesgo de pesca de firma

Los riesgos de pesca de firma, al igual que la fuga de claves privadas, también son las áreas más afectadas para los usuarios novatos.A diferencia de permitir que los usuarios llenen la clave privada directamente, tales ataques de pesca son inducir a los usuarios a iniciar una transacción o firma, para obtener la autorización de los activos relacionados con el usuario. y difícil de detectar.

En general, el atacante inducirá primero a los usuarios a la página web de pesca para permitir a los usuarios emitir firmas en nombre de recibir aviones de recepción e inicios de sesión de verificación.

Puede haber muchos tipos de transacciones de pesca:

Tipo de transferencia directa.Transfiera directamente ETH o realice una llamada de transferencia ERC20 para transferir el activo de la billetera a la dirección del atacante.
Aprobar el tipo.Llame al método ERC20 Apruebe para autorizar la billetera del atacante.La transferencia de activos no ocurrirá cuando el usuario firme.Pero la billetera del atacante puede transferir los activos del usuario llamando a la transferencia de la transferencia.
Firma de mensajes EIP712.Como el método de permiso ERC20;Dichas firmas generalmente se muestran en la billetera como datos JSON o mejores datos similares a los árboles.Cuando el usuario firme, no iniciará una transacción, y no habrá consumo de gas.Sin embargo, los resultados de la firma serán registrados por el sitio web de pesca, y el atacante puede usar el resultado de la firma para transferir los activos ERC20 o NFT de la víctima.
Firma de hash primitivo.Los datos de la firma son los datos hash hexadecimales, que no pueden inferir el contenido de firma específico de los datos de firma en sí.Detrás de hash puede haber 1-3 tipos de datos mencionados anteriormente.Es probable que las firmas causen pérdida de activos.Sin embargo, la billetera convencional está prohibida actualmente de tales métodos de firma o indicaciones de riesgo obvias.

Recientemente, también se han encontrado algunos casos que algunos sitios web de pesca requerirán que los usuarios realicen múltiples firmas seguidas, y los primeros golpes son firmas normales que son inofensivas.Luego mezcle un contenido de firma malicioso.Use la operación de inercia del usuario para inducir a los usuarios a completar la operación de firma.

Para evitar la pérdida de fondos causados por la pesca,El núcleo es negarse a firmar a ciegas.Cada firma se revisa cuidadosamente, y la transacción de contenido incierto se niega a firmar.Específicamente, puede prestar atención a lo siguiente en el proceso de firma:

Confirme que el sitio web interactivo es el sitio web oficial del proyecto Defi para verificar el nombre de dominio completo.
Verifique el método de llamadas de llamadas y verifique la transferencia, aprobar el método.
Verifique las transferencias ETH adjuntas a la transacción.Algunos sitios web de pesca intentarán construir un método aparentemente seguro (como el reclamo), pero en realidad traerán transferencias ETH para causar pérdidas en la moneda de generación original, como ETH al llamar.
No firma de contenido de hash primitivoEsencia

Tercero, transferencia de la dirección de veneno

El envenenamiento de la dirección de transferencia es un método de ataque más novedoso. simbólico.

Ejemplo:

Alice se fija cada mes y se transfiere 1 ETH a Bob como emisión salarial.Charlie monitoreó esta transacción y envía 0.001 ETH a Alice con la dirección similar a Bob (los primeros 8 dígitos y 8 dígitos de la dirección).Después de esta operación, cuando Alice se transfiere a Bob la próxima vez, es probable que la dirección de Charlie se use como dirección de transacción.La razón de esta situación es que la duración de la dirección de blockchain es larga e irregular.Debido a que la dirección de Charlie y Bob es extremadamente similar, es difícil para Alice distinguir y finalmente conduce a la pérdida de activos.

Para evitar el envenenamiento de la dirección de transferencia de Zhongzhao, los usuarios pueden tomar los siguientes medios para prevenir:

Cada transacción se verifica para la dirección de transferencia, y es necesario verificar el contenido completo en lugar de los únicos bytes de la parte delantera y trasera.
Establezca la dirección comúnmente utilizada en la dirección blanca de la dirección (libreta de direcciones) e intente usar la dirección en la libreta de direcciones para la transferencia.
Evite la dirección de replicación del canal de cadena (incluido el navegador blockchain, los registros de transacciones de la billetera, etc.) como el objetivo de transferencia.

Cuarto, fichas sobre autorización

La autorización de tokens es casi el primer paso en la interacción Defi.Al realizar la operación Defi, debido a que los datos de la transacción se construyen a través de la página web del Partido del Proyecto en lugar de la estructura del usuario. Los usuarios permiten a los usuarios permitir que los usuarios firmen.El punto de partida es ahorrar gas para los usuarios, pero esto también puso peligros ocultos para los fondos posteriores.Suponiendo que se produce el código posterior del proyecto, si se llama a una interfaz no autorizada o la vulnerabilidad a voluntad, la autorización ilimitada del usuario del contrato conducirá al uso del atacante y provocará transferir activos del usuario.Esta escena de ataque es más común en el puente de la cadena cruzada y el protocolo DEX.

Para evitar que los proyectos posteriores introduzcan el código de riesgo o el código del proyecto en sí, no hay lagunas de descubrimiento.Los usuarios deben adoptar el principio de autorización mínima e intentar autorizar la cantidad utilizada en esta transacción tanto como sea posible., Prevenir el riesgo de proyectos posteriores, causar su pérdida de activos.

5. Operación Defi insegura

Además de los preparativos antes de la interacción, también hay muchos riesgos que son fáciles de ignorar durante la interacción.Estos riesgos generalmente son causados por la comprensión inadecuada del usuario del proyecto en sí.El ejemplo específico es:

Cuando los tokens se intercambian a través del protocolo de intercambio de cadena, el punto de deslizamiento se establece demasiado grande o el script de escritura para swap no establece el número mínimo de recepción (es conveniente para escribir a 0), lo que hace que la transacción sea atacada por el «Sándwiches» del robot MEV.
Cuando la operación de préstamo se realizó a través del acuerdo de endeudamiento sobre la cadena, el grado de salud de la posición no se gestionó de manera oportuna, lo que resultó en la liquidación de la posición en el mercado de fluctuación grande.
Al interactuar con ciertos proyectos, no hay un buen almacenamiento de las disposiciones del proyecto, como el certificado NFT del UNISWAP V3 como un NFT ordinario para la OpenSea para la venta.

Para prevenir estos riesgos, los usuarios deben hacer un buen trabajo de investigación de proyectos, aclarar el mecanismo del proyecto y las características relevantes, y prevenir la pérdida de activos.

Nuevo paradigma de la transacción de seguridad Defi – Cobo Argus

Lo anterior introduce los riesgos de interacción comunes para las actividades de Defi en blockchain.Si el usuario recluta accidentalmente uno de ellos, puede causar años de trabajo duro, y es un poco descuidado.Entonces, ¿existe una solución de control de riesgos que sea segura y efectiva y fácil de administrar?Un nuevo esquema de elección es Cobo Argus.

Cobo Argus es un producto de control de riesgos de cadena desarrollado por el equipo de Cobo basado en la seguridad de la gnosis.El rol principal es analizar la transacción del usuario creando diferentes estrategias de ACL, interceptan transacciones que no cumplen con las reglas de control de riesgos, asegurando así la seguridad de los fondos del usuario.

¿Cómo responde Cobo Argus a los riesgos de seguridad en el entorno Defi?

1. Firme más en la capa inferior y la autorización superior de firma individual: evite la fuga de riesgos de punto único de las claves privadas, ralentice el riesgo de pesca, al tiempo que garantiza la eficiencia operativa

Cobo Argus es un producto construido por Safe {Wallet}.Entonces Cobo Argus hereda naturalmente la seguridad de SAFE {Wallet}.

Al cambiar los fondos de una sola clave privada a múltiples claves privadas para mantener, se puede eliminar el riesgo de pérdida de activos/bloqueo de fugas por una sola clave privada.La firma de más billetera requiere múltiples firmas para activar la ejecución de la transacción.Además, puede iniciar múltiples transacciones de firma para reemplazar la dirección de señalización única perdida o riesgo para garantizar la seguridad de las billeteras múltiples.

Además, dado que la dirección de señal único se cambia a la dirección de señal múltiple, cuando la transacción está firmada, cada usuario debe firmar una transacción, que es propicio para el contenido de la transacción de la transacción cruzada, lo que reduce en gran medida la posibilidad de estar pescando .

Debido a la necesidad de que varias personas revisen, tiene un cierto impacto en la eficiencia de la operación.Cobo Argus permite a los usuarios configurar reglas de autorización flexibles, lo que permite algunas operaciones de baja frecuencia (como operaciones de ingresos de reclamos regulares) en una determinada dirección EOA.Esta dirección se puede reemplazar firmando múltiples billeteras para mejorar la eficiencia laboral.Al mismo tiempo, debido a que los permisos de dirección son estrictamente limitados, la seguridad general de la billetera no se verá significativamente afectada.

2. Robot personalizado: 7*24 horas de monitoreo automático de riesgos y respuesta

Por robots de monitoreo COBO Argus configurado, se pueden monitorear las operaciones que deben ser monitoreadas y las operaciones que requieren monitoreo y condiciones de activación.

Tomando la gestión de apalancamiento del proyecto de préstamo como ejemplo, los usuarios pueden monitorear su factor de salud configurando el robot Argus.

3. Estrategia ACL personalizada

Además de los robots de monitoreo personalizados, los usuarios con ciertas capacidades de desarrollo también pueden lograr una gestión de permisos más flexible mediante el desarrollo de contratos de ACL personalizados (lista de control de acceso).Esta es una de las funciones centrales de Cobo Argus.El encanto de la función es sentir el encanto de esta función a través de varios ejemplos:

Ataque al envenenamiento por direcciónPuede escribir el contrato de ACL. Configuración del usuario La dirección de la lista se compara.
Apuntando a problemas de autorización excesivosEl usuario puede analizar la cuota autorizada en la transacción de aprobación escribiendo el contrato estratégico de ACL, y el límite de autorización de aprobación del token se limita al valor preestablecido del usuario.O 1 se puede configurar con robots personalizados y autorizar regularmente los tokens relevantes para borrar el cero.
Para operación Defi inseguraSi la transacción de intercambio sin una verificación de punto deslizante, puede escribir el deslizamiento mínimo que puede aceptarse redimiendo las transacciones escribiendo el contrato estratégico de ACL Argus. Diferentes transacciones de intercambio.

Resumir

Hay muchos riesgos difíciles en la interacción Defi.Los usuarios deben manejar cuidadosamente cada transacción.

Cobo Argus puede proporcionar a los usuarios medios confiables y fáciles de configurar para prevenir algunos riesgos de seguridad comunes.ACL puede completar la gestión de autorización flexible y segura, y mejorar la eficiencia operativa bajo la premisa de garantizar la seguridad de la seguridad.

Aunque Defi puede aportar beneficios considerables a los usuarios, pero la seguridad de capital es el núcleo del crecimiento constante de los activos.Cobo Argus protegerá a cada agricultor Defi para ayudar a todos a crear más valor en el mercado alcista.