.jpeg)
以太坊最近的网络升级Pectra无意中引入了一个重大漏洞，允许黑客仅通过离线签名就能抽取用户钱包中的资金。这个缺陷源于升级中引入的新交易类型，对那些可能在不知情的情况下授权恶意行为的用户构成了严重风险。
关键要点
-
Pectra升级于2025年5月7日上线，引入了一种可被利用的新交易类型。
-
攻击者可以仅通过离线签名消息从外部拥有账户（EOA）中抽取资金。
-
该漏洞与以太坊改进提案（EIP）7702有关，该提案允许钱包控制的委托。
-
用户被敦促保持警惕，验证他们签署的任何消息，以避免被利用。
了解Pectra升级
Pectra升级旨在增强以太坊的可扩展性和智能账户功能。然而，它也打开了一个新的攻击向量，可能被恶意行为者利用。这个漏洞的核心在于EIP-7702，它引入了一种新交易类型（0x04），使用户仅通过签署消息就能委托对其钱包的控制。
这意味着，如果攻击者获得了用户的离线签名——可能通过网络钓鱼方案——他们可以用一个代理覆盖钱包的代码，将调用重定向到他们的恶意合约。因此，攻击者可以在不需要用户直接的链上交易批准的情况下，从用户的账户中转移资金。
攻击机制
-
离线签名利用：攻击者可以利用新交易类型在不需要链上交易的情况下抽取EOA中的资金。
-
网络钓鱼风险：常见的网络钓鱼策略，如假DApp或误导性电子邮件，可以用来欺骗用户签署恶意消息。
-
钱包漏洞：未能正确分析以太坊交易类型（特别是类型0x04）的钱包特别容易受到攻击。
-
硬件钱包风险：即使是传统上被认为安全的硬件钱包，如果签署恶意消息，也会变得脆弱。
用户预防措施
为了减轻与Pectra漏洞相关的风险，用户应采取以下预防措施：
-
验证签名：始终确保您理解您正在签署的消息。如果消息包含您的账户nonce，它可能会直接影响您的账户。
-
警惕新格式：EIP-7702引入的新委托签名格式可能与现有标准不兼容，使其更难以检测。
-
保持信息更新：关注以太坊的发展，了解可能因升级而出现的潜在漏洞。
结论
Pectra升级为以太坊带来了显著的进步，但也引入了一个用户必须小心应对的关键漏洞。随着加密领域的发展，用户必须保持警惕，了解他们钱包的安全性。通过理解风险并采取主动措施，用户可以更好地保护他们在这个快速变化的环境中的资产。
来源
-
今天加密货币发生了什么 — TradingView新闻, tradingview.com.
-
Pectra让黑客仅凭离线签名就能抽取钱包资金, Cointelegraph.
这篇文章是在人工智能的协助下撰写的，通过多个可信的来源收集信息。内容已由我们的编辑团队审阅和编辑，以确保准确性和连贯性。文章中表达的观点仅代表作者个人意见，不一定反映BlockzHub的观点。原始报道来源已在适当时注明，并按照要求提供。本文章仅供参考，并不构成财务建议。投资涉及风险，您在做出任何投资决策之前，应咨询合格的财务顾问。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。