TP 钱包遭骇客窃取 2,300 万美元：如何在骇客攻击浪潮中自保

10 月 2 日，跨链聚合协议 Transit Swap 遭受骇客攻击，令无数用户资产从钱包被提走。 目前总损失估计已经超过 2300 万美元。归根究底是钱包签署「无限授权」所造成，以下会教各位读者如何检查钱包的授权以及如何降低被钓鱼网站盗币风险。

社群回报相关问题后，Transit Swap 技术团队紧急暂停服务，智能合约已完全暂停，拒绝任何操作请求。Transit Swap 官方在公告称，是次骇客攻击事件是因为程式码漏洞，目前已锁定骇客 IP、电邮地址，以及涉事链上钱包地址。慢雾分析，此次攻击的主要原因在于 Transit Swap 协议在进行代币兑换时并未对用户输入的资料进行严格检查，引致了任意外部调用的问题。

具体而言，路由合约本身没有对 transferFrom 参数进行任何限制、也并未对解析后的兑换合约地址与调用数据进行检查。攻击者利用路由代理合约、路由桥合约与权限管理合约均未对传入的数据进行检查的缺陷，通过路由代理合约传入构造后的数据调用路由桥合约的 callBytes 函数，实现了窃取所有对权限管理合约进行授权的用户的代币。

与此前被盗项事件不同的是，Transit Swap 是 TokenPocket 钱包的闪兑服务提供商。这让大量用户实现了 「无感被盗」 的丝滑体验，也再一次向我们明确了加密市场 「黑暗森林」 的恐怖法则，即使是钱包背书的便捷 「闪兑」 服务，依然存在被盗隐患。

有什麽方法降低资产被钓鱼网站盗取风险？

UD 最近推出了一款名为 BlockTracer 的 Web3 资产管理平台，它可以实时监控用户及团队的钱包授权及交易活动。用户可以根据自己的需求设置不同的 SMS 安全警告，例如当钱包将资产发送到未经授权的地址、签署「无限授权」指令、已授权的 DAPP 发生安全漏洞事故等，用户都可以在第一时间收到 SMS 安全警告，从而降低资产被盗的风险。

企业团队持有的 Web3 资产需要实时监测及保护。BlockTracer 就能为企业客户提供全方位防护方案，确保公司钱包免受未经授权的签署及交易。当公司钱包执行可疑交易或授权时，公司会立刻收到可疑交易活动的警告，可以即时应对并防止公司钱包被滥用的风险。

BlockTracer 还设有市场动向提醒功能，让用户可以随时了解市场上大户的最新动态。UD 专门精选追踪业界领袖 Web3 交易活动的热门地址，一旦他们发生重大动作，用户就可以透过 SMS 即时收到市场动向提醒，不需要通过新闻媒体或社交网络才能获知相关信息，快人一步制定未来的投资策略，避免资产损失扩大。

怎样有效管理 Web3 资产及提早发现可疑小额交易？

BlockTracer 提供了一个 Web3 资产报告一站式解决方案，帮助企业在合法和合规的情况下向公众或政府机构披露其 Web3 资产状态。UD 和相关合作伙伴会提供资产所有权和交易记录验证服务，使用户可以将资产报告直接用于税务报告、审计和资产负债表中。

UD 明白现时在区块链上的交易记录或资产馀额，并不是会计或审计人员可以理解，所以我们整合不同区块链上的交易记录，包括不同类型资产及多个银包地址，再以容易理解的月结单及资产报表形式展示。这让Web 3资产管理变得简单易用，不再是一项繁琐沉重的工作，这不但更容易管理及监察有问题交易，更重要是把 Web3 资产及交易融为日常营运部分，协助企业更容易拓展Web3业务。

用户如何取消「无限授权」？

没有授权就没有安全隐患。在执行链上操作之时，如需执行 Approve 操作，用户应遵循 「用多少、授多少」 的原则。如果我只需卖出 1000 TOKEN，那即应手动修改 Approve 金额为 1000。在计算合约转移金额时是累积的，即若只授权 1000、本次金额恰好交易了 1000，合约授权额度恰好已耗儘。即使日后合约出现安全风险，也已无法再从用户钱包中转移走任何资产。

而对已经授权的用户来说，还可发起取消授权操作。以太坊并不支援 「取消授权」，该操作本质是赋予合约「0」 金额的授权。

推荐取消授权网站：
－ Dappstar：https://tac.dappstar.io/
－ Revoke：https://revoke.cash/
－ Approved.zone：https://approved.zone/

此外，亦有些区块链浏览器支援用户检查及撒消授权。
－ https://cn.etherscan.com/tokenapprovalchecker
－ https://bscscan.com/tokenapprovalchecker