加密貨幣基礎設施公司Fireblocks 已發現並協助解決其所描述的以太坊生態系統中的第一個帳戶抽象漏洞。
10 月26 日發布的公告揭示了智慧合約錢包UniPass 中發現的ERC-4337 帳戶抽象漏洞。兩家公司共同努力解決該漏洞，據報道，在一次白帽駭客攻擊行動中，數百個主網錢包中發現了該漏洞。
據Fireblocks 稱，該漏洞將允許潛在的攻擊者透過操縱以太坊的帳戶抽象過程來對UniPass 錢包進行完全帳戶超越。
根據以太坊關於ERC-4337 的開發人員文檔，帳戶抽象化允許改變區塊鏈處理交易和智慧合約的方式，以提供靈活性和效率。
傳統的以太坊交易涉及兩種類型的帳戶：外部帳戶（EOA）和合約帳戶。 EOA由私鑰控制，可以發起交易，而合約帳戶則由智慧合約的程式碼控制。當EOA 向合約帳戶發送交易時，它會觸發合約代碼的執行。
帳戶抽象引入了元交易或更廣義的抽象帳戶的概念。抽象帳戶不會綁定到特定的私鑰，並且能夠發起交易並與智能合約交互，就像EOA 一樣。
正如Fireblocks 所解釋的，當符合ERC-4337 的帳戶執行操作時，它依賴入口點合約來確保只執行簽署的交易。這些帳戶通常信任經過審核的單一EntryPoint 合約，以確保它在執行命令之前收到來自帳戶的許可：
「值得注意的是，從理論上講，惡意或有錯誤的入口點可以跳過對「validateUserOp」的調用，而直接調用執行函數，因為它的唯一限制是它是從受信任的入口點調用的。”
據Fireblocks 稱，該漏洞允許攻擊者透過替換錢包的可信任入口點來獲得對UniPass 錢包的控制。一旦帳戶超越完成，攻擊者就能夠存取錢包並耗盡其中的資金。
錢包中啟動了ERC-4337 模組的數百名用戶很容易受到攻擊，區塊鏈上的任何參與者都可以執行這種攻擊。相關錢包僅持有少量資金，該問題已在早期緩解。
在確定漏洞可能被利用後，Fireblocks 的研究團隊設法執行白帽操作來修補現有漏洞。這涉及實際利用該漏洞：
“我們與UniPass 團隊分享了這個想法，他們自己負責實施和運行白帽操作。”
以太坊聯合創始人Vitalik Buterin 先前概述了加速帳戶抽像功能擴散所面臨的挑戰，其中包括需要以太坊改進提案(EIP) 將EOA 升級為智能合約，並確保該協議適用於第2 層解決方案。
雜誌：以太坊重奪：區塊鏈創新還是危險的紙牌屋？
資訊來源：由0x資訊編譯自COINTELEGRAPH。版權歸作者Gareth Jenkinson所有，未經許可，不得轉載