MSTR Cat

Блокчейн/Уровень X · Круг замкнулся/10.2 Рецепт/Урок 1

Шаг 1: провести инвентаризацию

Карта дома до того, как был перемещен хотя бы один кирпич

МатериалыТаблица с колонками для цепи, типа актива, адреса кошелька, статуса одобрения и метода хранения.Etherscan Token Approval Checker или эквивалентный инструмент для каждой активной цепи EVMСправочник по кошельку Solana для аудита полномочий программы

Любопытство

  1. Как забытая подпись разрешения может дать злоумышленнику доступ к ресурсам, не раскрывая при этом приватного ключа?
  2. Почему для отзыва разрешений на использование неиспользуемых токенов требуется уплатить сетевой сбор, если в процессе фактически не происходит передачи токенов?
  3. В чем разница между хранением актива в обертке на одной сети и хранением нативной криптовалюты, которая его подкрепляет?

Исследование

  1. Перед консолидацией активов каждое место хранения ценностей требует документального оформления. Это касается счетов на централизованных биржах, приложений для самостоятельного хранения кошельков, токенов на разных блокчейнах, активных позиций по стейкингу, долей в пулах ликвидности, заявок на получение айрдропов, а также всех используемых фраз-секретов. Полный список позволяет определить не только остатки активов, но и структуру контроля: какие ключи хранят какие активы и где находятся эти ключи. Без такой информации последующие действия могут привести к потере ценностей или их чрезмерной подверженности рискам.
  2. На сетях в стиле Ethereum одобрение использования токенов представляет собой важный фактор безопасности. При взаимодействии с децентрализованными приложениями пользователи подписывают транзакции одобрения по стандарту ERC-20, которые предоставляют умным контрактам право тратить определенные токены от их имени. Эти разрешения действуют до тех пор, пока они не будут явно аннулированы. Если пользователь одобрил использование контракта для первоначального взаимодействия и так и не вернулся, чтобы отменить это разрешение, контракт сохраняет неограниченную или значительную возможность тратить эти активы. В этом случае скомпрометированный или злонамеренный контракт может исчерпать баланс пользователя без дальнейшего его вмешательства.
  3. Инструменты проверки разрешений, такие как утилита для проверки разрешений токенов на Etherscan, позволяют пользователям подключить свои кошельки и просмотреть все действующие разрешения. Отзыв невостребованных разрешений — это операция, за которую взимается комиссия, но она устраняет потенциальный вектор атаки. Компромисс очевиден: уплата небольшой комиссии сейчас предотвращает риск потери значительной суммы позже. Разрешения, связанные с активно используемыми позициями, выполняют свою функцию; устаревшие разрешения от заброшенных приложений не имеют никакой пользы.
  4. Активы в формате «wrapped» и «bridged» добавляют дополнительную сложность, поскольку представляют собой права на активы, находящиеся под присмотром другого лица или в инфраструктуре мостов, а не сами криптовалюты. Токен в формате «wrapped» на Ethereum представляет собой право на биткоин, находящийся у посредника; актив в формате «bridged» на другой цепи — это право на исходный актив, заблокированный в контракте. Эти механизмы зависят от платежеспособности и честности посредников. При описании активов критически важно указывать, какие из них являются собственными криптовалютами, а какие — производными правами, поскольку их уровень безопасности значительно отличается от случая прямого владения основной криптовалютой.
  5. В Solana учетная запись токена SPL позволяет указать депутата, уполномоченного тратить определенную сумму средств; это разрешение действует до тех пор, пока владелец не отменит его. Некоторые кошельки и инструменты для анализа отображают информацию о депутатах и позволяют отменить их уполномочивание. Мошенники, использующие технику «исчерпания средств» в Solana, часто заставляют пользователей подписывать транзакции, которые переводят токены или полностью передают права управления учетной записью токена (учебный материал 7.1.3). Поэтому важно знать, какие кошельки подписали документы для каких приложений.
  6. Последним шагом на этом этапе инвентаризации является конкретная проверка: необходимо открыть инструмент проверки для каждого действующего адреса и просмотреть соответствующий список. Любые контракты, которые в настоящее время не используются для стейкинга, кредитования или активной торговли, должны быть отмечены для аннулирования. Этот процесс превращает пассивное владение активами в стратегию их активного управления. Затраты связаны с комиссиями за каждое аннулирование; преимущество заключается в закрытии «открытых дверей», которые могут быть использованы злоумышленниками без дальнейших действий со стороны пользователя.

Ключевые факты

  • Утверждение токенов ERC-20 предоставляет умным контрактам постоянную возможность тратить средства пользователя до их явного отзыва.
  • Отмена одобрения токена требует подписи и передачи транзакции, что влечет за собой оплату комиссий сети.
  • Защищенные токены представляют собой права на нативные монеты, находящиеся у казначеев или мостов, что отличается от владения самим нативным активом.
  • Etherscan предоставляет инструмент проверки разрешений на токены, который перечисляет все действующие разрешения для привязанного адреса кошелька.
  • Устаревшие одобрения от заброшенных децентрализованных приложений остаются действительными и могут быть использованы злоумышленниками в случае компрометации контракта.
  • В Solana деплойнт учетной записи токена SPL сохраняет право на расходование средств до тех пор, пока владелец не отзовет его.

Упражнение девять, шесть, три, один

9СобратьПеречислите 9 различных типов активов или состояний разрешений, которые должны присутствовать в полном криптовалютном инвентаре перед консолидацией.
6СгруппироватьСгруппируйте 9 элементов в 6 категорий в зависимости от их основного риска: хранение у оператора биржи, заявки с использованием механизмов обертки/мостирования, активные позиции в DeFi, устаревшие разрешения, остатки на счетах биржи и неполученные айдропы.
3Выделить главноеСократите 6 групп до 3 основных причин, по которым неполный инвентарь приводит к нарушениям безопасности или потере стоимости активов.
1КристаллизоватьНеобходимо совершить оплату комиссий за газ, чтобы аннулировать устаревшие разрешения, при этом сохраняется риск незаконных переводов токенов.

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

Открыть в интерактивной академии →

EN PT ES ZH JA KO DE FR MS