盲簽

ChainCatcher 消息，以太坊基金會牽頭的工作組發布全新 "清晰簽名" 開放標準 Clear Signing，目標是解決長期存在的 "盲簽" 問題，新標準基於 ERC-7730 規範構建，旨在推動 "WYSIWYS（What You See Is What You Sign）" 理念落地，使使用者在簽署交易前能夠以統一、可讀、結構化的方式理解交易實際執行內容，從而替代當前普遍存在的機器可讀但難以理解的低層級交易資訊展示方式，透過統一描述格式、登記表系統以及獨立驗證與審計機制，使交易意圖可被清晰表達並在錢包端標準化呈現。Clear Signing 不會改變鏈上交易結構，而是透過鏈下標準化描述增強可解釋性，從而在不影響現有協議相容性的前提下提升安全性。

ChainCatcher 消息，Safe 團隊對 Radiant Capital 的事後報告中提到的安全事件進行了審查，指出 Safe {Wallet} 前端功能正常，但外部設備在簽名流程中被破壞，導致黑客能夠替換交易數據並誘使簽名者簽署惡意交易。Safe 團隊認為這一事件突顯了盲簽名的風險，即用戶在完全查看交易細節的情況下批准交易，尤其是在使用硬體錢包時。為了解決這個問題，Safe 建議使用不同供應商的多個簽名設備（例如，Ledger 和 Trezor 的組合），並通過可信接口連接這些設備，以提高交易的可見性和安全性。此外，Safe 還探索了條件簽名等技術，以提供更多上下文信息而不犧牲安全性。Safe 團隊正在考慮在其界面中直接計算 Ledger 哈希，以便用戶可以核對硬體錢包和界面上顯示的哈希。Safe 團隊強調，生態系統中各方需要合作解決盲簽名問題，並承諾與硬體錢包提供商和社區合作，以改進交易和消息簽名流程。

ChainCatcher 消息，Cobo 聯合創始人兼 CEO 神魚在談及 Radiant Capital 被盜一事評論表示，針對這一複雜攻擊，業界目前能採取的措施是：專案方和安全公司應對高權限敏感合約進行詳細檢查，首先設置時間鎖（即便是短至 10 分鐘的時間鎖也能有效緩解攻擊），並加上自動化監控報警機制。首先通過 app 從硬體錢包上獲取待簽名信息並解析，對硬體錢包的盲簽問題進行臨時性緩解。在硬體錢包中集成複雜交易的解析功能，以提升交易的透明度和安全性。

ChainCatcher 消息，神魚在 X 平台發文表示，當前端存在安全風險時，硬體錢包作為最後一道防線，原本應確保資產安全。但現階段，盲簽問題普遍存在，給黑客帶來可乘之機，這個問題必須解決。

ChainCatcher 消息，Ledger 在社交媒體上發文表示，在上週的大規模安全事件中，大約 60 萬美元的資產受到影響，這些資產是從 EVM DApp 上盲簽名的用戶那裡被盜的。Ledger 將嘗試儘量於 2024 年 2 月底前幫助受影響的個人（包括非 Ledger 用戶）追回資金，並承諾與 DApp 生態系統合作以允許 Clear Signing，目前決定在 2024 年 6 月之前不再允許使用 Ledger 設備進行盲簽。