加密货币基础设施公司 Fireblocks 已发现并协助解决其所描述的以太坊生态系统中的第一个帐户抽象漏洞。
10 月 26 日发布的公告揭示了智能合约钱包 UniPass 中发现的 ERC-4337 账户抽象漏洞。两家公司共同努力解决该漏洞，据报道，在一次白帽黑客攻击行动中，数百个主网钱包中发现了该漏洞。
据 Fireblocks 称，该漏洞将允许潜在的攻击者通过操纵以太坊的账户抽象过程来对 UniPass 钱包进行完全账户接管。
根据以太坊关于 ERC-4337 的开发人员文档，账户抽象允许改变区块链处理交易和智能合约的方式，以提供灵活性和效率。
传统的以太坊交易涉及两种类型的账户：外部账户（EOA）和合约账户。EOA由私钥控制，可以发起交易，而合约账户由智能合约的代码控制。当 EOA 向合约账户发送交易时，它会触发合约代码的执行。
账户抽象引入了元交易或更广义的抽象账户的概念。抽象账户不绑定到特定的私钥，并且能够发起交易并与智能合约交互，就像 EOA 一样。
正如 Fireblocks 所解释的，当符合 ERC-4337 的账户执行操作时，它依赖入口点合约来确保只执行签名的交易。这些帐户通常信任经过审核的单个 EntryPoint 合约，以确保它在执行命令之前收到来自帐户的许可：
值得注意的是，从理论上讲，恶意或有错误的入口点可以跳过对“validateUserOp”的调用，而直接调用执行函数，因为它的唯一限制是它是从受信任的入口点调用的。
据 Fireblocks 称，该漏洞允许攻击者通过替换钱包的可信入口点来获得对 UniPass 钱包的控制。一旦账户接管完成，攻击者就能够访问钱包并耗尽其中的资金。
钱包中激活了 ERC-4337 模块的数百名用户很容易受到攻击，区块链上的任何参与者都可以执行这种攻击。相关钱包仅持有少量资金，该问题已在早期得到缓解。
在确定该漏洞可能被利用后，Fireblocks 的研究团队设法执行白帽操作来修补现有漏洞。这涉及实际利用该漏洞：
我们与 UniPass 团队分享了这个想法，他们自己负责实施和运行白帽操作。
以太坊联合创始人 Vitalik Buterin此前概述了加速账户抽象功能扩散所面临的挑战，其中包括需要以太坊改进提案 (EIP) 将 EOA 升级为智能合约，并确保该协议适用于第 2 层解决方案。
热门推荐
相关文章
