.jpeg)
L'aggiornamento recente della rete Ethereum, Pectra, ha involontariamente introdotto una vulnerabilità significativa che consente agli hacker di svuotare i portafogli degli utenti utilizzando solo firme offchain. Questo difetto, derivante dal nuovo tipo di transazione introdotto nell'aggiornamento, rappresenta un serio rischio per gli utenti che potrebbero autorizzare inconsapevolmente azioni dannose.
Punti Chiave
-
L'aggiornamento Pectra è stato attivato il 7 maggio 2025, introducendo un nuovo tipo di transazione che può essere sfruttato.
-
Gli attaccanti possono svuotare i fondi dai conti di proprietà esterna (EOA) utilizzando solo un messaggio firmato offchain.
-
La vulnerabilità è collegata alla Proposta di Miglioramento di Ethereum (EIP) 7702, che consente la delega del controllo del portafoglio.
-
Si invita gli utenti a prestare attenzione e a convalidare eventuali messaggi che firmano per evitare sfruttamenti.
Comprendere l'Aggiornamento Pectra
L'aggiornamento Pectra è stato progettato per migliorare la scalabilità di Ethereum e la funzionalità degli account intelligenti. Tuttavia, ha anche aperto un nuovo vettore di attacco che potrebbe essere sfruttato da attori malintenzionati. Il nucleo di questa vulnerabilità risiede nell'EIP-7702, che introduce un nuovo tipo di transazione (0x04) che consente agli utenti di delegare il controllo dei propri portafogli semplicemente firmando un messaggio.
Questo significa che se un attaccante ottiene accesso alla firma offchain di un utente—potenzialmente attraverso schemi di phishing—può sovrascrivere il codice del portafoglio con un proxy che reindirizza le chiamate al proprio contratto malevolo. Di conseguenza, l'attaccante può trasferire fondi dall'account dell'utente senza richiedere alcuna approvazione diretta della transazione onchain da parte dell'utente.
La Meccanica dell'Attacco
-
Sfruttamento della Firma Offchain: Gli attaccanti possono sfruttare il nuovo tipo di transazione per svuotare i fondi dagli EOA senza necessità di una transazione onchain.
-
Rischi di Phishing: Tattiche di phishing comuni, come DApp false o email fuorvianti, possono essere utilizzate per ingannare gli utenti a firmare messaggi dannosi.
-
Vulnerabilità del Portafoglio: I portafogli che non analizzano correttamente i tipi di transazione di Ethereum, specialmente il tipo 0x04, sono particolarmente a rischio.
-
Portafogli Hardware a Rischio: Anche i portafogli hardware, tradizionalmente considerati sicuri, sono ora vulnerabili se firmano messaggi dannosi.
Precauzioni per gli Utenti
Per mitigare i rischi associati alla vulnerabilità di Pectra, gli utenti dovrebbero adottare le seguenti precauzioni:
-
Convalidare le Firme: Assicurati sempre di comprendere i messaggi che stai firmando. Se un messaggio include il nonce del tuo account, potrebbe influenzare direttamente il tuo account.
-
Essere Prudenti con i Nuovi Formati: I nuovi formati di firma di delega introdotti dall'EIP-7702 potrebbero non essere compatibili con gli standard esistenti, rendendoli più difficili da rilevare.
-
Utilizzare Portafogli Multisignatura: Questi portafogli richiedono più firmatari, fornendo un ulteriore livello di sicurezza contro transazioni non autorizzate.
-
Rimanere Informati: Tieni il passo con gli sviluppi di Ethereum e sii consapevole delle potenziali vulnerabilità che potrebbero sorgere dagli aggiornamenti.
Conclusione
L'aggiornamento Pectra ha portato significativi progressi a Ethereum ma ha anche introdotto una vulnerabilità critica che gli utenti devono affrontare con attenzione. Man mano che il panorama delle criptovalute evolve, è essenziale che gli utenti rimangano vigili e informati sulla sicurezza dei propri portafogli. Comprendendo i rischi e adottando misure proattive, gli utenti possono meglio proteggere i propri beni in questo ambiente in rapida evoluzione.
Fonti
-
Ecco cosa è successo oggi nel mondo delle criptovalute — TradingView News, tradingview.com.
-
Pectra consente agli hacker di svuotare i portafogli con solo una firma offchain, Cointelegraph.
Questo articolo è stato scritto con l'assistenza dell'IA per raccogliere informazioni da più fonti affidabili. Il contenuto è stato esaminato e modificato dal nostro team editoriale per garantire accuratezza e coerenza. Le opinioni espresse sono quelle dell'autore e non riflettono necessariamente quelle di BlockzHub. Le fonti originali delle notizie sono accreditate ogni volta che è appropriato e come richiesto. Questo articolo è a scopo informativo e non costituisce consulenza finanziaria. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.