Posteo
陈副业
又一次，出事的地方不是私钥，而是授权。
Pennysia 的以太坊 Settlement 合约被人打了。路径是任意外部调用：合约留了一个可以外接任意逻辑的入口，攻击者顺着它，把"替你花钱"变成"替他花钱"。不用撬开任何人的钱包，只要用户以前点过那一次授权，剩下的代币额度就成了他的。
最容易被忽略的是：授权是一次性动作，风险却是长期的。几个月前点下的 approve，今天依然有效。团队跑了、代码被掏空了，那条授权还挂在链上等你。这次被利用的正是"用户剩余的代币授权"——他不是来偷的，是来收的。
受害者常想不通：没点链接、钱包没离身，怎么就没了？因为你的钱不是被偷走的，是被你自己提前允许拿走的。结算合约本来就要握着用户额度，权限给得越大，被利用时波及越宽。
这不是孤立个案，是结构性风险：链上到处是没人管的旧授权，攻击者只要找到一条能放大它的入口。这次叫 Pennysia，下次换个名字，剧本一样。
动作只有一个：用 revoke 工具查一遍历史授权，不认识的、不用的全撤，0x3aad…795e 优先。
值得想的是：我们拼命保护私钥，却几乎不管授权，而绝大多数损失恰恰出在这里。
Deslinde de responsabilidades: el contenido de OKX Orbit se brinda únicamente con fines informativos. Más información
Respuestas
Aún no hay comentarios. ¡Envía la primera respuesta!
Criptos en tendencia
BTC/USDTBitcoin
$64.831,2-0,01%
ETH/USDTEthereum
$1818,01-0,01%
OKB/USDTOKB
$87,01-0,02%
El pulso del mercado hoy
1#NVIDIA se reúne con el CEO de Arm, Haas; predicciones internas sobre el nuevo candidato a CEO
2#El PPI de EE. UU. en octubre aumentó un 6.5% interanual, por debajo de lo esperado
3#Anthropic inicia la gira de presentación para la OPI, con una valoración que vuelve a subir a 1.8 billones de dólares
