MSTR Cat

블록체인/레벨 X · 한 바퀴를 돌아/10.2 레시피/수업 1

1단계: 재고 점검

단 한 장의 벽돌도 옮기기 전의 집 지도

준비물체인, 자산 유형, 지갑 주소, 승인 상태, 보관 방법의 열이 있는 스프레드시트이더스캔 토큰 승인 체커 또는 각 활성화된 EVM 체인에 해당하는 도구프로그램 권한 감사를 위한 솔라나 월렛 문서 참고자료

호기심

  1. 잊혀진 퍼미션 서명이 비밀 키를 전혀 노출시키지 않고도 공격자에게 자산 접근 권한을 부여할 수 있을까?
  2. 실제로 토큰이 전송되지 않는 경우에도 사용되지 않는 토큰 승인을 취소하려면 왜 네트워크 수수료를 지불해야 하나요?
  3. 하나의 체인에 있는 래핑된 자산을 보유하는 것과 그 자산을 뒷받침하는 네이티브 코인을 보유하는 것의 차이점은 무엇인가요?

탐구

  1. 자산을 통합하기 전에, 가치가 존재하는 모든 위치에 대한 기록이 필요합니다. 여기에는 중앙 집중식 거래소 계정, 자체 관리형 지갑 앱, 다양한 체인에 있는 토큰, 활성화된 스테이킹 포지션, 리퀴디티 풀의 지분, 대기 중인 에어드롭 청구 건, 그리고 현재 사용 중인 모든 시드 프레이즈가 포함됩니다. 완전한 목록을 통해 단순히 잔액뿐만 아니라 자산 관리 구조도 파악할 수 있습니다. 즉, 어떤 키가 어떤 자산을 보유하고 있으며, 그 키들이 어디에 있는지를 알 수 있습니다. 이러한 목록이 없으면 후속 단계에서 가치가 유실되거나 불필요한 위험에 노출될 수 있습니다.
  2. 이더리움 스타일의 체인에서 토큰 승인은 매우 중요한 보안 요소입니다. 탈중앙화 애플리케이션과 상호작용할 때, 사용자들은 스마트 컨트랙트가 자신을 대신해 특정 토큰을 사용할 수 있도록 허가하는 ERC-20 승인 거래에 서명합니다. 이러한 권한은 명시적으로 취소될 때까지 유지됩니다. 만약 사용자가 초기 상호작용 시 컨트랙트에 승인을 해주고 그 후 다시 돌아와 취소하지 않는다면, 해당 컨트랙트는 그 자산들에 대해 무제한적이거나 막대한 지출 권한을 가지게 됩니다. 이때 해킹당하거나 악의적인 목적으로 만들어진 컨트랙트는 사용자의 추가적인 조치 없이도 잔액을 모두 소진시킬 수 있습니다.
  3. Etherscan의 토큰 승인 도구와 같은 승인 확인 도구를 사용하면 사용자는 자신의 지갑을 연결하여 현재 활성화된 모든 승인 내역을 확인할 수 있습니다. 사용되지 않는 승인을 취소하는 것은 가스 비용이 발생하는 작업이지만, 잠재적인 공격 경로를 제거해 줍니다. 그 대가는 명확합니다. 지금 약간의 비용을 지불하면 나중에 큰 손실을 입을 위험을 막을 수 있습니다. 아직 사용 중인 포지션을 뒷받침하는 승인들은 유용하지만, 버려진 애플리케이션이 남긴 오래된 승인들은 아무런 쓸모가 없습니다.
  4. 랩된 자산과 브리지된 자산은 기본 코인이 아닌 다른 사람의 보관 시스템이나 브리지 인프라에 대한 권리를 나타내기 때문에 추가적인 복잡성을 가져옵니다. 이더리움상의 랩된 토큰은 보관자가 보유하고 있는 비트코인에 대한 권리를 의미하며, 다른 체인상의 브리지된 자산은 계약 내에 잠겨 있는 원본 자산에 대한 권리를 나타냅니다. 이러한 랩핑 방식은 중개자의 건전성과 성실성에 의존합니다. 자산 목록을 작성할 때는 어떤 자산이 기본 코인인지, 어떤 자산이 파생된 권리인지를 반드시 명시해야 하는데, 그 이유는 이들의 보안 수준이 기본 코인을 직접 보유할 때와는 상당히 다르기 때문입니다.
  5. 솔라나에서는 SPL 토큰 계정이 정해진 금액까지 지출할 수 있도록 승인된 대리인을 지정할 수 있으며, 이 승인은 계정 소유자가 취소하기 전까지 유지됩니다. 일부 지갑과 탐색기는 대리인 정보를 표시하고 취소할 수도 있습니다. 솔라나의 사기 수법 중에는 사용자가 토큰을 이전하거나 토큰 계정의 권한을 완전히 넘겨주는 거래에 서명하도록 속이는 경우가 많으므로(7.1.3절), 어떤 지갑들이 어떤 애플리케이션에 대해 서명했는지를 아는 것도 중요합니다.
  6. 이 인벤토리 단계의 마지막 단계는 구체적인 확인 작업입니다. 활성 상태인 각 주소에 대해 승인 확인 도구를 열어 목록을 검토합니다. 현재 스테이킹, 대출 또는 활발한 거래에 사용되지 않는 계약들은 취소 대상으로 표시되어야 합니다. 이 과정을 통해 수동적인 보유 상태가 적극적으로 관리되는 보안 체계로 전환됩니다. 비용은 각 취소 건당 가스 요금이며, 그 혜택은 사용자의 추가 조작 없이도 악용될 수 있는 위험 요소들을 제거하는 것입니다.

핵심 사실

  • ERC-20 토큰 승인을 통해 스마트 컨트랙트는 명시적으로 취소될 때까지 사용자의 자산에 대한 지속적인 지출 권한을 갖습니다.
  • 토큰 승인을 취소하려면 트랜잭션에 서명하고 전파해야 하며, 이로 인해 네트워크에서 가스 요금이 발생합니다.
  • 랩된 토큰은 네이티브 자산 자체를 보유하는 것과는 달리, 캐스토디안이나 브리지가 보유한 네이티브 코인에 대한 청구권입니다.
  • Etherscan은 연결된 지갑 주소의 모든 활성 허가 목록을 제공하는 토큰 승인 확인 도구를 제공합니다.
  • 버려진 dApp의 기한이 지난 승인들은 여전히 유효하며, 계약이 손상되거나 악의적으로 조작될 경우 악용될 수 있습니다.
  • 솔라나에서는 SPL 토큰 계정의 딜리게이트가 소유자가 권한을 철회할 때까지 지출 권한을 유지합니다.

연습 아홉, 여섯, 셋, 하나

9모으기통합하기 전에 완전한 암호화폐 재고 목록에 포함되어야 하는 9가지 서로 다른 자산 또는 권한 상태를 나열하십시오.
6묶기9개 항목을 주요 위험 요소에 따라 네이티브 캐스터디, 랩드/브리지드 클레임, 액티브 DeFi 포지션, 만기된 권한, 거래소 보유 잔액, 수령되지 않은 에어드롭의 6개 카테고리로 분류합니다.
3추리기6가지 원인을 불완전한 재고가 보안 실패나 가치 손실을 초래하는 3가지 핵심 원인으로 줄입니다.
1결정화기한이 만료된 승인을 취소하기 위해 가스 수수료를 지불하는 것과 무단 토큰 전송의 위험을 그대로 감수하는 것 사이의 절충점에 대해 한 문장으로 써보세요.

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

인터랙티브 아카데미에서 열기 →

EN PT ES ZH JA RU DE FR MS