.jpeg)
Недавнее обновление сети Ethereum, Pectra, непреднамеренно ввело значительную уязвимость, которая позволяет хакерам опустошать кошельки пользователей, используя только оффчейн-подписи. Этот недостаток, возникший из-за нового типа транзакции, введенного в обновлении, представляет серьезный риск для пользователей, которые могут неосознанно авторизовать злонамеренные действия.
Ключевые моменты
-
Обновление Pectra было запущено 7 мая 2025 года, введя новый тип транзакции, который может быть использован в атаке.
-
Злоумышленники могут опустошать средства из внешне управляемых аккаунтов (EOA), используя только оффчейн-подписанное сообщение.
-
Уязвимость связана с Предложением по улучшению Ethereum (EIP) 7702, которое позволяет делегировать контроль над кошельком.
-
Пользователям настоятельно рекомендуется быть осторожными и проверять любые сообщения, которые они подписывают, чтобы избежать эксплуатации.
Понимание обновления Pectra
Обновление Pectra было разработано для повышения масштабируемости Ethereum и функциональности смарт-аккаунтов. Однако оно также открыло новый вектор атаки, который может быть использован злонамеренными актерами. Суть этой уязвимости заключается в EIP-7702, который вводит новый тип транзакции (0x04), позволяющий пользователям делегировать контроль над своими кошельками, просто подписывая сообщение.
Это означает, что если злоумышленник получит доступ к оффчейн-подписи пользователя — потенциально через фишинговые схемы — он может перезаписать код кошелька прокси, который перенаправляет вызовы на их злонамеренный контракт. В результате злоумышленник может перевести средства с аккаунта пользователя, не требуя прямого одобрения транзакции на блокчейне от пользователя.
Механика атаки
-
Эксплуатация оффчейн-подписей: Злоумышленники могут использовать новый тип транзакции для опустошения средств из EOA без необходимости в ончейн-транзакции.
-
Риски фишинга: Распространенные тактики фишинга, такие как поддельные DApp или вводящие в заблуждение электронные письма, могут быть использованы для обмана пользователей, чтобы они подписали злонамеренные сообщения.
-
Уязвимость кошелька: Кошельки, которые не анализируют типы транзакций Ethereum, особенно тип 0x04, особенно подвержены риску.
-
Риски аппаратных кошельков: Даже аппаратные кошельки, традиционно считающиеся безопасными, теперь уязвимы, если они подписывают злонамеренные сообщения.
Предостережения для пользователей
Чтобы смягчить риски, связанные с уязвимостью Pectra, пользователи должны принять следующие меры предосторожности:
-
Проверяйте подписи: Всегда убедитесь, что вы понимаете сообщения, которые подписываете. Если сообщение включает ваш номер nonce аккаунта, это может напрямую повлиять на ваш аккаунт.
-
Будьте осторожны с новыми форматами: Новые форматы делегирования подписей, введенные EIP-7702, могут быть несовместимы с существующими стандартами, что делает их труднее обнаружить.
-
Используйте мультиподписные кошельки: Эти кошельки требуют нескольких подписей, что обеспечивает дополнительный уровень безопасности против несанкционированных транзакций.
-
Будьте в курсе: Следите за развитием Ethereum и будьте в курсе потенциальных уязвимостей, которые могут возникнуть из-за обновлений.
Заключение
Обновление Pectra принесло значительные достижения для Ethereum, но также ввело критическую уязвимость, с которой пользователям необходимо осторожно обращаться. Поскольку крипто-ландшафт продолжает развиваться, важно, чтобы пользователи оставались бдительными и информированными о безопасности своих кошельков. Понимая риски и принимая проактивные меры, пользователи могут лучше защитить свои активы в этой быстро меняющейся среде.
Источники
-
Вот что произошло в криптовалюте сегодня — Новости TradingView, tradingview.com.
-
Pectra позволяет хакерам опустошать кошельки только с помощью оффчейн-подписи, Cointelegraph.
Эта статья была написана с помощью ИИ для сбора информации из нескольких авторитетных источников. Содержание было проверено и отредактировано нашей редакционной командой для обеспечения точности и последовательности. Высказываемые мнения принадлежат автору и не обязательно отражают мнения BlockzHub. Оригинальные источники сообщений указаны, когда это необходимо и в соответствии с требованиями. Эта статья предназначена только для информационных целей и не является финансовым советом. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.