Стартап ZenGo предупредил об уязвимости некоторых децентрализованных кошельков

scamers_forklog_cover (2)
scamers_forklog_cover (2)

Разработчики кошелька ZenGo при помощи тестовой сети и специально созданного ими вредоносного приложения по обмену токенов baDAPProve продемонстрировали широко распространенный эксплойт децентрализованных кошельков. Подробности эксперимента в ZenGo раскрыли в своем блоге.

Согласно ZenGo, когда некоторые децентрализованные приложения (DApps) запрашивают одобрение для транзакции на определенную сумму, пользователь невольно дает доступ к токену на всю имеющиеся средства.

Если Dapp был вредоносен изначально или в нем оказалась подобная уязвимость, то пользователь может лишиться всех монет, даже если перестанет использовать децентрализованное приложение. В дальнейшем злоумышленники смогут получить доступ ко всем средствам в этом токене без необходимости получения авторизации.

«Почти в каждом децентрализованном приложении, при его запуске пользователь неосознанно предоставляет связанному с DApp смарт-контракту полный доступ ко всем своим средствам, независимо от их фактического использования», — поясняется в блоге.

Подобный эксплойт, названный в ZenGo baDAPProve, был обнаружен, в том числе в таких популярных кошельках, как Opera, imToken и Trust Wallet.

Для наглядного представления уязвимости в компании создали тестовую сеть и вредоносное приложение для обмена токенов. После авторизации транзакции с некоторым количеством виртуальных FRT-токенов baDAPProve выводит все монеты FRT из кошелька.

По словам представителей ZenGo, лишь в Trust Wallet запланировали апдейт, тогда как в других компаниях не решились на это, невзирая на осведомленность о наличии этой проблемы.

В итоге компания выпустила патч, который доступен для приложений различных децентрализованных-сервисов. Также решение интегрировано в недавно запущенной функции ZenGo Savings для DeFi-протокола Compound.

Разработчики обещают выпустить пост в блоге с подробной информацией о проблеме.

Напомним, 12 марта на фоне обвала рынка на крупнейших лендинговых Ethereum-сервисах MakerDAO и Compound произошло множество ликвидаций долговых позиций.

Подписывайтесь на канал ForkLog в YouTube!

Подписывайтесь на ForkLog в социальных сетях

Telegram (основной канал) Discord Instagram
Нашли ошибку в тексте? Выделите ее и нажмите CTRL+ENTER

Рассылки ForkLog: держите руку на пульсе биткоин-индустрии!

*Ежедневная рассылка — краткая сводка наиболее важных новостей предыдущего дня. Чтение занимает не больше двух минут. Выходит в рабочие дни в 06:00 (UTC)
*Еженедельная рассылка — объясняем, кто и как изменил индустрию за неделю. Идеально подходит для тех, кто не успевает за новостным потоком в течение дня. Выходит в пятницу в 16:00 (UTC).

Мы используем файлы cookie для улучшения качества работы.

Пользуясь сайтом, вы соглашаетесь с Политикой приватности.

OK