Обновление Ethereum — Pectra позволяет хакерам опустошать кошельки с помощью подписи!

от

Ах, сеть Эфириум, всегда занята обновлениями как гиперактивный подросток. Последняя версия, «Петра», обещает великолепный набор новых возможностей для достижения масштабируемости и функциональности умных аккаунтов мечты. Однако, как в любом хорошем повороте сюжета, этот блестящий новый апдейт также распахнул двери перед хакерами, которые теперь могут опустошать ваши кошельки быстрее, чем дворецкий после обеденного перерыва — всего лишь с помощью оффчейн подписи. 👀

🔥 Врывайся в тусовку! Криптоклуб – место, где обсуждают крипту с драйвом и весельем. Присоединяйся к компании зажигательных энтузиастов!

Присоединиться в Телеграм

Запущенный 7 мая в эпоху 364032 (отметьте свои календари, ребята), Pectra представила новый тип транзакций. Теперь злоумышленники могут получить контроль над вашим кошельком без необходимости убедить вас подписать транзакцию. Похоже на то, как они крадут ваш кошелек, пока вы гладите свою кошку.

Введите Арду Усман, аудитора смарт-контрактов Solidity, которая сообщила плохие новости CryptoMoon. Похоже, злоумышленнику нужна только подписанная внецепочечная (offchain) сообщение для того, чтобы опустошить ваши средства. Да, вы правильно прочитали. 🙄

Виновник? EIP-7702, новая блестящая функция Pectra. Этот Ethereum Improvement Proposal вводит транзакцию SetCode (тип 0x04), позволяя пользователям передавать контроль своих кошельков другому контракту. И угадайте что? Для этого нужно только подписать сообщение. Ничего особенного, правда? Ну до тех пор, пока хакеры не получат эту подпись.

Если хакеру удастся украсть эту подпись — возможно, через фишинговый сайт или сомнительное приглашение в Discord — он может переписать код вашего кошелька прокси-контрактом, который перенаправляет запросы на его вредоносный контракт. Как мило! ️‍♂️

«Как только код установлен», говорит Усман, «злоумышленник может вызвать этот код для того, чтобы отправить ваши ETH или токены прямо в свои карманы». Всё это происходит без подписи пользователя обычной транзакцией перевода. Прекрасно.»

Кошельки теперь превращены в программируемые смарт-контракты

Егор Рудицкий, исследователь в области онкологии из Hacken, отмечает, что этот новый тип транзакции фактически превращает ваш кошелек в программируемый смарт-контракт. Это словно ваш кошелек решил сделать прыжок веры в мир самостоятельности — и результаты… ну, ужасающие.

Этот тип транзакций позволяет пользователям задавать произвольный код для выполнения операций от их имени,» объясняет Rudytzia, словно в этом нет ничего особенного. До появления Pectra кошельки не могли быть изменены без подписи владельца. Теперь? Одна простая оффчейн-подпись, и вау! Хакер получает полный контроль. Пуф! Как по волшебству.

До появления Pectrа пользователям приходилось подписывать транзакцию для перемещения своих средств. После внедрения Pectrа, как так очаровательно выразился Rudytciya, ‘Любая операция может быть выполнена из контракта, который пользователь одобрил через SET_CODE.’ Теперь подпись транзакции — это всего лишь далекое воспоминание. ✌️

Риски? О, они такие же реальные, как счет за кредитную карту. ‘PectrA активирована 7 мая 2025 года. С этого момента любая действительная подпись делегирования имеет юридическую силу’, предупреждает Усман. Умные контракты, которые все еще полагаются на старые предположения, вроде tx.origin или базовых проверок EOA, теперь уязвимы как шарик на собрании дикобразов.

Если ваш интерфейс кошелька не распознает это, вам предстоит плохой опыт. Рудития утверждает, что кошельки особенно уязвимы при неудачном анализе типов транзакций Ethereum — в частности, 0x04, что означает «ваши деньги исчезнут». 😱

Так что если вам приходит одно из этих сомнительных сообщений по электронной почте, через Дискорд или фальшивый DAApp, дважды подумайте перед тем как подписывать его. Это может оказаться последним делом в вашей жизни.

Аппаратные кошельки? Больше не безопасны. 🙄

Сюрприз, сюрприз! Аппаратные кошельки, которые раньше казались неприступной крепостью вашей криптоимперии, теперь не являются безопасными убежищами. Рудиция указывает на то, что эти устройства находятся под таким же риском, как и ваши обычные горячие кошельки. ‘Если сделано неправильно — ваши средства исчезают мгновенно’, предупреждает он. Ого!

Так что же можно сделать для защиты себя помимо ношения шляп из фольги и переезда на удалённую хижину? Во-первых, не подписывайте сообщения, которые вы не понимаете. Кажется достаточно просто, верно? Rudytziia предлагает разработчикам кошельков давать чёткие предупреждения при подписании сообщений о делегировании, потому что все мы знаем, что часто просто нажимаем ‘Принять’, даже не прочитав мелкий шрифт. 🙈

Особую осторожность следует проявлять при работе с новыми форматами подписей делегирования, представленными в EIP-7702. Эти форматы несовместимы со старыми стандартами и часто выглядят как безвредные хеши длиной 32 байта. Внимание: они не безобидны.

О, и если сообщение содержит ваш nonce учетной записи? Вероятно, оно собирается напрямую вмешаться в работу вашей учетной записи. Потому что кто не любит немного беспорядка из-за nonce? 😈

Добавление оскорблений к ране, EIP-7702 позволяет подписи с chain_id = 0, что означает возможность повторного воспроизведения этих вредоносных сообщений на любой совместимой с Ethereum цепочке. Да, всё настолько плохо.

Хотя мультиподписные кошельки все еще сильны, одноключевые кошельки — будь то аппаратные или иные — должны идти в ногу со временем. Им потребуются новые инструменты разбора подписей и выявления красных флагов для предотвращения потенциальных злоупотреблений.

О, и не забудем также о том, что Pectrа представила EIP-7251, которая увеличила лимит стейкинга валидаторов Ethereuм с 32 до 2048 ETH. Между тем, EIP-7691 увеличивает количество блобов данных на блок, улучшая масштабируемость второго уровня (layer-2). Но кто действительно обращает внимание на это, когда ваш кошелек под угрозой? 🤷‍♂️

Смотрите также

2025-05-11 16:37