ما بعد EIP-3074: يوضح المطورون المخاوف بشأن التوقيعات الضارة التي تستنزف أموال محفظة إيثريوم

بعد تقديم EIP-3074، من المحتمل أن يؤدي التوقيع الخاطئ إلى استنفاد رصيد حساب Ethereum الخاص بك. والواقع أن هذا القلق حقيقي. قبل أن تخرج الأمور عن نطاق السيطرة، دعونا نعالج هذا القلق مؤقتًا.

أولاً، لست على علم بأي محفظة تدعم حاليًا توقيع البيانات غير اللاحقة، مما يعني أنه لا توجد محفظة تدعم حاليًا EIP-3074. بغض النظر عن عدد لوحات المعلومات التي تتصفحها أو الميزات المتقدمة التي تقوم بتنشيطها، فإن توقيع الرسائل لـ EIP-3074 غير ممكن حاليًا.

تعتمد الرسائل التي تقوم بتسجيل الدخول إليها لتسجيل الدخول إلى dapps على EIP-191، وهو معيار مختلف تمامًا عن EIP-3074. يضيف هذا المعيار البيانات التالية إلى رسائلك الموقعة:

0x19 <0x45 (ه)>

ولهذا السبب، من المستحيل خداع شخص ما للتوقيع على معاملة إيثريوم صالحة أثناء تسجيل الدخول إلى التطبيق اللامركزي. تستخدم المعاملات قيم البايت التالية كبادئات:

0x01 – 2930 تكساس 0x02 – 1559 تكساس 0x03 – 4844 تكساس

لمزيد من المعلومات، راجع:مواصفات تنفيذ الإيثريوم

يخطط EIP-3074 لاستخدام البادئة 0x04. سيؤدي هذا إلى القضاء على غموضها مع جميع أنواع البيانات الأخرى القابلة للتوقيع في Ethereum. يجب أن تختار المحافظ السماح للمستخدمين بالتوقيع على هذه الرسائل بشكل نشط.

اعتمادًا على كيفية دمج المحافظ EIP-3074، قد يجعل ذلك المستخدمين أكثر عرضة للاستغلال. لفهم ذلك، نحتاج إلى التأكد من أننا نفهم طريقة عمل توقيعات EIP-3074.

تتضمن رسالة المصادقة لبناء التوقيعات عنوان المتصل. والأهم من ذلك، أن هذا هو العنوان الوحيد الذي تعتبر AUTH أن التوقيع صالحًا له.

بالنسبة للحسابات التي ستستنفد رصيدها، يجب استيفاء الشرطين التاليين في وقت واحد:

1. يجب أن تسمح المحفظة للمستخدم بالتوقيع على أي عنوان مستدعي.
2. يجب ألا يتحقق المستخدم مما إذا كان المستدعي جديرًا بالثقة أم لا. وهذا يعني أنه لن تكون هناك مشكلات إذا قام المستخدم بتنفيذ أي من هذه الإجراءات

وهذا يعني أن تنفيذ أي من هذه الإجراءات لن يسبب مشكلة في حد ذاته.

نأمل أن يفهم برنامج المحفظة أن المتصلين بـ EIP-3074 يشبهون امتدادات لرمز برنامج المحفظة وليس العقود. لا تسمح المحافظ للمستخدمين بتنفيذ تعليمات برمجية عشوائية بحرية والوصول إلى مفاتيحهم الخاصة (pk)؛ وبالمثل، لا ينبغي لهم السماح للمستخدمين بتفويض حسابات الإيثيريوم الخاصة بهم بشكل تعسفي.

لذلك، إذا قام برنامج المحفظة بدمج EIP-3074 بشكل غير آمن ولم يتحقق المستخدمون من المتصلين الذين يتفاعلون معهم، فقد يفوضون ذلك إلى متصل ضار. ومع ذلك، لا يزال من الممكن التراجع عن هذا عن طريق إرسال معاملة واحدة من EOA، مما سيؤدي إلى إلغاء أي توقيعات AUTH مستمرة.

كحد أدنى، ينبغي لبرنامج المحفظة أن يجعل توقيع رسائل EIP-3074 لا يقل أهمية عن تصدير مفتاحك الخاص. على افتراض أن المحفظة تدمج 3074 بشكل آمن، فلا يزال من الممكن اختراق الحسابات. هذه خاصية أساسية للمعاملات المجمعة. فهو يسمح لك بإرسال عمليات متعددة بسهولة، تمامًا كما يسمح للمهاجمين بخداعك لإرسال مجموعة من الأصول إلى عناوينهم الخاضعة للتحكم.

يجب أن يعرض برنامج المحفظة بوضوح كل عملية تقوم بالتوقيع عليها. بهذه الطريقة، من السهل ملاحظة "كنت أنوي إجراء معاملة واحدة، لكن طلب التوقيع هذا أدى إلى عدة معاملات." إذا تمت المعالجة من خلال التوقيع الأعمى، فلا يمكن اكتشاف ذلك.

نعم، يضع EIP-3074 ثقة كبيرة في المحافظ. ومع ذلك، فقد قمنا بالفعل بوضع ثقتنا بهم بشكل آمن بمفاتيحنا الخاصة، وليس هناك مستوى أعلى من الثقة.

يمكن دمج EIP-3074 واستخدامه بأمان. إذا كانت لدى أي محفظة أسئلة حول كيفية تنفيذ ذلك، فلا تتردد في الاتصال بنا. باعتبارنا مؤلفي EIP-3074، فإننا ندرس حاليًا أفضل السبل للمساعدة في المراحل التالية من تطوير المعيار.

على مدى السنوات القليلة الماضية، أمضينا وقتًا طويلاً في تطوير سيناريوهات حول كيفية استخدامه وإساءة استخدامه. نحن متحمسون لأن هذه الأفكار قد بدأ تنفيذها في الإنتاج. ولكننا ندرك أيضًا أن هذا هو الجزء الأكثر تحديًا.

باختصار، بعد EIP-3074، قد يؤدي توقيع واحد خاطئ إلى استنفاد رصيد حساب Ethereum الخاص بك:

• لا تدعم المحافظ الحالية نوع التوقيع المطلوب بواسطة EIP-3074، والذي يتبع التنسيق الجديد.
• يعد حقل المتصل في توقيع EIP-3074 أمرًا بالغ الأهمية. من المحتمل أن يقوم المتصل السيئ بسرقة أموالك.
• تحتاج المحافظ إلى التأكد من أن عنوان المتصل جدير بالثقة. وهذا مشابه لكيفية منع المحافظ حاليًا تنفيذ تعليمات برمجية عشوائية.
• لا تزال المعاملات المجمعة في EIP-3074 تفتح عالمًا حيث يمكن للجهات الفاعلة الضارة خداعك لتوقيع المعاملات لنقل الأصول. تحتاج المحافظ إلى عرض ما يحدث بوضوح عند توقيع رسائل EIP-3074.
• نعم، لدينا ثقة عالية في المحافظ، لكن المستخدمين قد عهدوا إليها بالفعل بمفاتيحهم الخاصة، وهو أعلى مستوى من الثقة.

EIP-3074 وEIP-4337: يعد EIP-3074 مفيدًا جدًا لموفري خدمات تجريد الحسابات، لأنه مفيد للغاية لعملائنا.

ERC-4337 هو أفضل طريقة لجلب مستخدمين جدد إلى مجال العملات المشفرة. EIP-3074 هي أفضل طريقة لتعريف المستخدمين الحاليين بالحسابات الذكية.