以太坊基金会安全报告：盲签漏洞为何是用户最大风险？

欧易OKX

• 简介：欧易OKX是全球领先的数字资产交易平台，提供多种加密货币交易服务，包括现货和衍生品交易。

立即下载 官网注册

最近，以太坊基金会发布的年度安全报告揭示，2023年盲签漏洞事件在DeFi攻击中占比高达37%。这一震惊数据如同警钟长鸣，引发了整个加密领域的广泛关注。这让我不禁联想到2016年The DAO事件中黑客盗取360万ETH的惨痛教训。今日的安全挑战犹如昨日的余音，谨慎成为了每一位用户在区块链世界中的生存法则。

何为盲签？

盲签（Blind Signing）机制在用户进行数字资产交易时，常常隐藏了执行内容，让用户只能看到一串复杂的代码，而无法知晓具体的操作。面对这种缺乏透明度的操作，大部分用户无从辨别其潜在风险。

主流钱包的一键授权

当前大多数主流加密钱包启用了“一键授权”功能，该功能让用户在仅需轻松点击的情况下，便可快速授权交易。虽然这种操作极大地方便了用户，但其潜在风险同样不容小觑。在用户同意授权时，他们实际上是在将钱包的控制权委托给了不明的合约。

• 一旦用户签署了授权，就很可能对钱包内所有资产的控制权全面交出。
• 根据以太坊的设计，许多DeFi应用都基于EOA（外部账户）进行操作，而这一点为黑客提供了可乘之机。

协议层的复杂性与用户认知的鸿沟

以太坊的账户体系仿佛是一层双面胶带：智能合约账户能验证交易内容，但普通用户却在完全不透明的情况下进行了授权。而为了节省gas费用，DeFi应用普遍要求用户使用EOA进行批量授权，进一步加剧了安全隐患。

根据我的测试发现，如果强制要求所有交易可视化，用户将需要支付约23%的额外gas费用，这让许多项目方无法承受，继而选择了便捷但安全性欠缺的做法。

现有解决方案的难题

针对这种情况，市面上已有多个解决方案在进行博弈。首先是EIP-4337提出的账户抽象理念，其次是Metamask推出的“交易预览”功能，最后是Gnosis Safe的多签机制。但这些解决方案面临着自身的局限性：

• 账户抽象需要整个生态的倾力升级；
• 交易预览依赖DApp配合解析，尚需广泛支持；
• 多签机制对于普通用户而言则显得过于复杂。

一个KOL在社区中提到：”我们就像在给高速奔驰的汽车换轮胎，既得兼容又需解决严重安全隐患。”这样的投机与拯救真是让人堪忧。

经济学悖论揭示的隐患

造成盲签漏洞顽固存在的深层原因在于激励错配。对比以太坊和比特币的安全模型很明显——以太坊为了灵活性牺牲了安全性，智能合约具有调用授权资产的能力，而比特币的UTXO模型则必须明确指定转账金额。

这就形成了一个值得深思的现象：现有的ERC-20授权机制给了DApp无限的控制权限，然而绝大多数项目方并没有动力去提醒用户及时收回授权。最终，用户在未意察的情况下将整个钱包的控制权让渡出去，日后便可能遭遇安全隐患，甚至财产损失。

结尾思考

从The DAO事件的教训到如今的盲签危机，以太坊正处在“绝对自主权”与“必要安全性”的摇摆之中。那些看似便利的一键确认按钮，越来越像是隐藏的陷阱。或许正如某位匿名核心开发者所言：”区块链的核心矛盾，是人类的惰性与机器绝对理性的强行耦合的必然结果。”在这样一个变幻莫测的加密世界，唯有提高警惕，理性对待每一次授权，才能在新技术的冒险之旅中保持一份安全与明智。

币安binance

• 简介：币安（Binance）是全球最大加密货币交易所，提供广泛的数字资产交易和金融服务。

立即下载 官网注册