Помните как скамили на блокчейне раньше? Максимум могли украсть парочку токенов, прокинув фейк транзакцию, могли конечно и украсит вообще все, но для этого нужна была сид фраза. Теперь с некоторым обновлениям EVM все стало в разы интереснее.
😏 EIP-7702
EIP-7702 - относительно недавно вышедший протокол делегации управления кошельком другому кошельку. В целом вещь полезная, например с его помощью можно делегировать оплату газа другому кошельку (gasless).
Его безопасность обеспечивается тем что в него зашито время управления кошельком. То есть, в смарт-контракте прописана временная единица, после которой делегация отменяется.
💗 Скам
Наиболее интересное - протокол подписания со стороны юзера выглядит точно так же, как и обычная подпись. То есть, существует возможность прокинуть такой контракт на подписание без особых проблем.
В основном это реализуют через мультиапрув: прямо после того как вы отправляете запрос к какому-либо сайту, который потребует от вас подписи, мошенник отправляет вам на подпись смарт-контракт, который все так же подписывает исходный контракт, но вместе с ним запускает ещё один, вредоносный смарт-контракт, который активирует на вашем кошельке делегацию по EIP-7702.
🥱 Все до копейки
Ранее мошеннические смарт-контракты не могли взаимодействовать со всеми вашими токенами, стейкингами и тому подобным. Не потому что не имели физической возможности, а потому что с точки зрения хакера писать огромный смарт-контракт который покроет буквально все возможные сткйкинги - очень долго и муторно.
С делегацией все намного легче — хакер получает ручной контроль над вашими активами. Он может проанализировать ваш кошелек через блокчейн эксплорер и вручную написать код, который выведет все ваши деньги из всех пулов, всех стейкингов, ну, и понятное дело — все токены
💖 Вы - уже на прицеле
Ещё одна важная особенность - та самая зависимость от времени: вы могли апрувнуть вредный контракт несколько месяцев назад, а завтра лишиться всех денег.
🦵 Защита от кошельков
В большинство кошельков встроена автоматическая защита — огромными красными буквами кошельки помечают опасные транзакции, это обеспечивают некоторую иллюзию защиты.
Но работает система ровно так же, как и у обычных антивирусов — пока не начались массовые скамы и жалобы на отдельный тип смарт-контрактов, кошельки никак не пометят опасную транзакцию, просто потому что они даже не знают о существовании такого метода обмана.
🥹 Как бороться
Ранее я думал, что достаточно просто доверять кошельку, но теперь — этого не достаточно. Все кто пострадал от этого — за рефаундом средств можете обращаться к @cryptohoterr.
Сейчас ситуация совсем другая, и без потери эффективности использования кошелька есть только 1 путь — максимальная диверсификация средств по разным кошелькам. То есть, если вы заходите куда-то на значительную сумму — для этого лучше выделить отдельный кошелек.
Особенно бдительным стоит быть при взаимодействии с контрактами популярность которых в кошельках помечена как низкая. Есть 1 псевдометод — проверять первые цифры контракта: если контракт начинается с 0x04 или 0x05 стоит быть осторожным, но и это не обеспечит полной безопасности.
Единственный правильный метод - хранить большую часть средств на кошельке на котором ничего кроме отправки и приема средств вы не делаете.