Fireblocks、UniPass Wallet解决以太坊ERC-4337账户抽象漏洞

加密货币基础设施公司 Fireblocks 已发现并协助解决其所描述的以太坊生态系统中的**个帐户抽象漏洞。

10 月 26 日发布的公告揭示了智能合约钱包 UniPass 中发现的 ERC-4337 账户抽象漏洞。两家公司共同努力解决该漏洞，据报道，在一次白帽黑客攻击行动中，数百个主网钱包中发现了该漏洞。

据 Fireblocks 称，该漏洞将允许潜在的攻击者通过操纵以太坊的账户抽象过程来对 UniPass 钱包进行**账户接管。

根据以太坊关于 ERC-4337 的开发人员文档，账户抽象允许改变区块链处理交易和智能合约的方式，以提供灵活性和效率。

传统的以太坊交易涉及两种类型的账户：外部账户（EOA）和合约账户。EOA由私钥控制，可以发起交易，而合约账户由智能合约的代码控制。当 EOA 向合约账户发送交易时，它会触发合约代码的执行。

账户抽象引入了元交易或更广义的抽象账户的概念。抽象账户不绑定到特定的私钥，并且能够发起交易并与智能合约交互，就像 EOA 一样。

正如 Fireblocks 所解释的，当符合 ERC-4337 的账户执行操作时，它依赖入口点合约来确保只执行签名的交易。这些帐户通常信任经过审核的单个 EntryPoint 合约，以确保它在执行命令之前收到来自帐户的许可：

值得注意的是，从理论上讲，恶意或有错误的入口点可以跳过对“validateUserOp”的调用，而直接调用执行函数，因为它的**限制是它是从受信任的入口点调用的。

据 Fireblocks 称，该漏洞允许攻击者通过替换钱包的可信入口点来获得对 UniPass 钱包的控制。一旦账户接管完成，攻击者就能够访问钱包并耗尽其中的资金。

钱包中激活了 ERC-4337 模块的数百名用户很容易受到攻击，区块链上的**参与者都可以执行这种攻击。相关钱包仅持有少量资金，该问题已在早期得到缓解。

在确定该漏洞可能被利用后，Fireblocks 的研究团队设法执行白帽操作来修补现有漏洞。这涉及实际利用该漏洞：

我们与 UniPass 团队分享了这个想法，他们自己负责实施和运行白帽操作。

以太坊联合创始人 Vitalik Buterin此前概述了加速账户抽象功能扩散所面临的挑战，其中包括需要以太坊改进提案 (EIP) 将 EOA 升级为智能合约，并确保该协议适用于第 2 层解决方案。

本文 巴适财经 原创，转载保留链接！网址：/article/289011.html