以太坊最新升级"Pectra"带来安全隐患
以太坊(Ethereum)的最新升级"Pectra"虽然以改进智能账户和增强扩展性为目标,但同时也暴露出新的安全风险。此次升级后,黑客可以通过简单的链下签名实施新型攻击,从而窃取钱包中的资金。
升级带来的安全漏洞
Pectra升级于5月7日在以太坊区块高度364032 epoch正式实施。然而,从这一刻起,攻击者可以利用网络中引入的新交易类型,无需实际链上签名即可操纵外部拥有账户(EOA)。Solidity安全审计专家Arda Usman警告称:"Pectra实施后,攻击者仅凭链下签名的消息就能窃取EOA钱包中的资金。"
EIP-7702提案的风险
这一风险源于EIP-7702提案。该改进方案提出了被归类为0x04类型交易的"SetCode"功能,允许用户通过简单签名将钱包权限委托给外部智能合约。问题在于,如果该签名通过钓鱼网站等恶意途径被窃取,攻击者可以修改受害者的钱包代码,将其连接到自制的恶意代理。
攻击过程分析
在此过程中,受害者并未在链上进行任何明确的授权,但其钱包已完全向攻击者开放。特别值得注意的是,钱包代码的修改并非通过交易方式完成,仅需简单签名即可实现,这大大增加了风险。
社区反应与建议
以太坊社区对Pectra升级带来的新安全风险表示担忧,这与原本旨在增强功能和便利性的初衷相悖。虽然EIP-7702的灵活性和强大功能显而易见,但社区普遍认为,建立相应的安全防护措施已迫在眉睫。