目錄
EIP提案回顧
EIP-6780
官方揭露的安全考量
智能合約相關風險
擴展閱讀
首頁 網路3.0 坎昆升級前的重要安全檢查

坎昆升級前的重要安全檢查

Mar 24, 2024 am 09:06 AM
加密貨幣 以太坊 安全檢查 標準函式庫 坎昆升級 以太幣 交易平台

坎昆升級前的重要安全檢查

長話短說:坎昆升級臨近,本升級主要包含六個EIP提出的執行層變更,EIP-1153、EIP-4788、EIP-4844、EIP-5656、EIP -6780和EIP-7516。 EIP-4844是這次升級的主角,旨在提升以太坊的可擴展性,為L2降低交易成本、提升交易速度。坎昆升級已分別於1月17日、1月30日、2月7日在以太坊Goerli、Sepolia和Holesky測試網完成升級,並計劃在3月13日在以太坊主網上啟動。在升級前,Salus整理了此次升級的重要安全注意事項,供開發者自行檢查。

EIP提案回顧

官方揭露的安全考量

智慧合約相關風險

延伸閱讀

EIP提案回顧

  1. EIP-1153

EIP-1153引入了臨時儲存操作碼,這些操作碼用於操作狀態,其行為與儲存幾乎相同,但每筆交易結束後暫時存放將被丟棄。這意味著,臨時存儲不會從存儲中反序列化值,也不會序列化值到存儲,因此,由於不需要磁碟訪問,臨時存儲成本更低。透過兩個新的操作碼TLOAD和TSTORE(其中「T」代表「臨時」),智慧合約可以存取臨時儲存。這項提議旨在為Ethereum的交易執行中的多個嵌套執行框架之間的通訊提供一個專用且高效的解決方案。

  1. EIP-4788

EIP-4788旨在將信標鏈區塊的哈希樹根暴露於EVM中,以允許在智能合約內部存取這些根。這樣做可以無需信任地存取共識層狀態,支援staking pools、restaking結構、智慧合約橋、MEV緩解等多種用例。該提案透過一個智慧合約儲存這些根,並使用環形緩衝區來限制儲存消耗,確保每個執行區塊只需常量空間即可表示這些資訊。

  1. EIP-4844

#EIP-4844介紹了一種新的事務格式,稱為"分片Blob事務",旨在以簡單、向前相容的方式擴展以太坊的數據可用性。這項提案透過引入包含大量資料的"blob-carrying transactions",這些資料不能被EVM執行訪問,但可以存取其承諾。這種格式與將來全分片使用的格式完全相容,為滾動式擴容提供了臨時但顯著的緩解。

  1. EIP-5656

EIP-5656引進了一個新的EVM指令MCOPY,用於高效複製記憶體區域。這項提案旨在降低在EVM上執行記憶體複製操作的開銷,透過MCOPY指令直接實現記憶體之間的資料複製。 MCOPY允許來源位址和目標位址重疊,其設計考慮到了向後相容性,並旨在提升包括資料結構建構、記憶體物件的高效存取和複製在內的多種場景的執行效率。

  1. EIP-6780

EIP-6780修改了SELFDESTRUCT操作碼的功能。在這個提案中,SELFDESTRUCT只會在與合約創建相同的交易中刪除帳戶和傳輸所有以太幣,除此之外,執行SELFDESTRUCT時,合約將不會被刪除,只是將所有以太幣轉移到指定目標。這項改變是為了適應未來Verkle樹的使用,旨在簡化EVM實現,減少狀態變化的複雜性,同時保留SELFDESTRUCT的部分常用場景。

  1. EIP-7516

EIP-7516引進了一個新的EVM指令BLOBBASEFEE,用於傳回目前區塊執行中的blob基礎費用值。這個指令與EIP-3198中的BASEFEE操作碼相似,不同之處在於它回傳的是根據EIP-4844定義的blob基礎費用。這個功能使得合約可以編程地考慮blob數據的氣體價格,例如,允許rollup合約無需信任地計算blob數據使用成本,或者基於此實現blob氣體期貨,以平滑blob數據成本。

官方揭露的安全考量

EIP-1153

智慧合約開發人員應在使用前了解瞬態儲存變數的生命週期。由於臨時儲存會在交易結束時自動清除,因此智慧合約開發人員可能會試圖避免在呼叫過程中清除插槽以節省 Gas。然而,這可能會阻止在同一事務中與合約進行進一步的交互(例如,在重入鎖的情況下)或導致其他錯誤,因此智能合約開發人員應小心,僅在臨時存儲槽被保留時保留非零值。旨在供同一事務中的未來呼叫使用。 SSTORE否則,這些操作碼的行為與和完全相同SLOAD,因此所有常見的安全注意事項都適用,特別是在重入風險方面。

智慧合約開發人員也可能會嘗試使用瞬態儲存作為記憶體映射的替代方案。他們應該意識到,當呼叫返回或恢復時,臨時存儲不會像內存一樣被丟棄,並且應該在這些用例中優先選擇內存,以免在同一事務中的重入時產生意外的行為。記憶體上的瞬態儲存成本必然很高,這應該已經阻止了這種使用模式。記憶體中映射的大多數用法可以透過按鍵排序的條目列表來更好地實現,並且在智能合約中很少需要記憶體中映射(即作者知道生產中沒有已知的用例)。

EIP-4844

此 EIP 使每個信標區塊的頻寬要求最多增加約 0.75 MB。這比當今區塊的理論最大大小(30M Gas / 每個 calldata 位元組 16 Gas = 1.875M 位元組)大 40%,因此它不會大幅增加最壞情況下的頻寬。合併後,區塊時間是靜態的,而不是不可預測的泊松分佈,為大區塊的傳播提供了保證的時間段。

即使呼叫資料有限,此 EIP 的持續負載也比可降低呼叫資料成本的替代方案低得多,因為不需要將 Blob 儲存與執行負載一樣長的時間。這使得實現這些 blob 必須保留至少一段時間的策略成為可能。選擇的具體值是MIN_EPOCHS_FOR_BLOB_SIDECARS_REQUESTS紀元,約為 18 天,與建議的(但尚未實施)執行有效負載歷史的一年輪換時間相比,延遲要短得多。

EIP-5656

用戶端應注意其實作不使用中間緩衝區(例如 C stdlibmemmove函數不使用中間緩衝區),因為這是潛在的拒絕服務 (DoS) 向量。大多數用於移動位元組的語言內建函數/標準庫函數在這裡都具有正確的效能特徵。

除此之外,對拒絕服務 (DoS) 和記憶體耗盡攻擊的分析與其他接觸記憶體的操作碼相同,因為記憶體擴充遵循相同的定價規則。

EIP-6780

以下應用程式SELFDESTRUCT將被破壞,並且以這種方式使用它的應用程式不再安全:

WhereCREATE2用於在同一位置重新部署合約,以使合約可升級。不再支援此功能,應改用ERC-2535或其他類型的代理合約。

如果合約依賴於透過以SELFDESTRUCT合約作為受益人燃燒以太幣,則合約不是在同一交易中創建的。

智能合約相關風險

EIP1153

設想使用操作碼TLOAD和TSTORE的兩個場景:

  1. 被呼叫合約使用該操作碼
  2. 發起呼叫合約使用該操作碼

風險1:

比相比於傳統的SSTORE 和SLOAD ,新增的瞬態儲存主要改變了資料的儲存期限,tstore儲存的資料透過tload讀取,在一筆交易執行結束後該資料將會被釋放,而不是同sstore一樣寫入合約被永久性的記錄。開發者在使用該操作碼時應該認清該操作碼的特性,以免錯誤的使用導致資料不能正確的寫入到合約中而造成損失。另外,tstore的資料屬於私有變量,僅合約本身可以存取。如果想要外部使用該資料只能透過參數的形式進行傳遞或暫存到一個public stroage變數。

風險2:

另一個潛在風險是,如果智慧合約開發人員不正確管理瞬態儲存變數的生命週期,可能導致資料在不應該的時間被清除或錯誤地保留。如果合約期望在事務的後續調用中使用存儲在瞬態存儲中的數據,但未能適當地管理這些數據的生命週期,可能會在不同調用之間錯誤地共享或丟失數據,從而導致邏輯錯誤或安全漏洞。考慮到類似Token專案的balance或allowance資料未能正確的儲存將會導致合約邏輯的錯誤,造成損失。或在對owner位址進行設定時使用了該操作碼將會導致特權位址無法正確的被記錄從而遺失對合約重要參數的修改。

考慮一個智慧合約,該合約使用瞬態儲存來暫時記錄一個加密貨幣交易平台上的交易價格。該合約在每筆交易完成時更新價格,並允許用戶在短時間內查詢最新價格。然而,如果合約設計沒有考慮到瞬態儲存在交易結束時被自動清除的特性,那麼在一筆交易結束後到下一筆交易開始之前的這段時間內,用戶可能會得到一個錯誤或過時的價格。這不僅可能導致用戶做出基於錯誤訊息的決策,還可能被惡意利用,影響平台的信譽和用戶的資產安全。

EIP-6780

該提案改變了先前selfdestruct操作碼的行為,不銷毀合約,僅轉移token,僅與自毀同一交易中創建的合約才會被銷毀。這個EIP的影響相對較大。

用create2在同一地址重新部署合約,以使合約升級。不再支援此功能,應改用 ERC-2535 或其他類型的代理合約。 (這可能會影響到使用create2實現可升級合約的鏈上合約的安全性)

智能合約中的SELFDESTRUCT操作允許合約銷毀,並將合約餘額發送給指定的目標位址。在這種情況下,合約使用SELFDESTRUCT銷毀以太幣,並將銷毀的以太幣發送給了合約。但是該合約僅能是在同一筆交易中創建的合約(同一筆交易中由本合約或其他合約創建的合約)。否則將僅轉帳以太而不銷毀合約(例如自毀且受益者為自毀合約,這將會不產生任何改變)。這將會影響一切依賴於selfdestruct進行提款或其他操作的合約。

一種類似 1inch CHI Token的Gas Token的工作原理:保持一個偏移量,始終在此偏移量處執行 CREATE2 或 SELFDESTRUCT。在此更新之後,如果目前偏移量的合約尚未正確自毀,則之後的CREATE2 將無法成功的部署合約。

該提案實施並不能導致直接對合約進行攻擊,但會損害原有已部署的依賴selfdestruct操作的合約的正常邏輯(僅依賴自毀進行資金轉移的合約不受到影響,如果後續操作必須要求自毀的合約被刪除,則受到影響),導致合約非預期工作,僅對合約以及用戶而言,可能導致合約的罷工,損失資金等危害(例如原本利用create2在原地址部署新合約,自毀原合約進行升級的合約,不再能夠成功部署)。長遠來看,修改某項操作碼的功能可能會帶來中心化的問題。

例如現有一個金庫合約vault進行更新:

  • create2暫時儲存合約用來暫時保留vault的資金

  • 自毀vault合約,資金轉帳到臨時合約(僅轉移了資金而沒有銷毀合約)

  • 在原地址create2新的vault合約(失敗,因為原有vault合約沒有被銷毀)

  • 自毀臨時合約將資金還給vault(資金損失,vault合約沒有被創建)

擴展閱讀

坎昆升級將進一步增強以太坊的競爭優勢。但此次升級對核心智慧合約層的改動帶來了風險,這會影響現有的DApps的安全運作。在進行智能合約開發的過程中,這些改變以及可能引發的風險同樣需要被高度關注。您可以與Salus聯繫以獲得風險檢查或審計支持,也可以透過進一步閱讀相關內容以了解變更。

以上是坎昆升級前的重要安全檢查的詳細內容。更多資訊請關注PHP中文網其他相關文章!

本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn

熱AI工具

Undresser.AI Undress

Undresser.AI Undress

人工智慧驅動的應用程序,用於創建逼真的裸體照片

AI Clothes Remover

AI Clothes Remover

用於從照片中去除衣服的線上人工智慧工具。

Undress AI Tool

Undress AI Tool

免費脫衣圖片

Clothoff.io

Clothoff.io

AI脫衣器

Video Face Swap

Video Face Swap

使用我們完全免費的人工智慧換臉工具,輕鬆在任何影片中換臉!

熱門文章

<🎜>:泡泡膠模擬器無窮大 - 如何獲取和使用皇家鑰匙
3 週前 By 尊渡假赌尊渡假赌尊渡假赌
北端:融合系統,解釋
4 週前 By 尊渡假赌尊渡假赌尊渡假赌
Mandragora:巫婆樹的耳語 - 如何解鎖抓鉤
3 週前 By 尊渡假赌尊渡假赌尊渡假赌

熱工具

記事本++7.3.1

記事本++7.3.1

好用且免費的程式碼編輯器

SublimeText3漢化版

SublimeText3漢化版

中文版,非常好用

禪工作室 13.0.1

禪工作室 13.0.1

強大的PHP整合開發環境

Dreamweaver CS6

Dreamweaver CS6

視覺化網頁開發工具

SublimeText3 Mac版

SublimeText3 Mac版

神級程式碼編輯軟體(SublimeText3)

熱門話題

Java教學
1670
14
CakePHP 教程
1428
52
Laravel 教程
1329
25
PHP教程
1273
29
C# 教程
1256
24
ok交易所國內如何註冊? ok交易平台大陸新手註冊使用指南 ok交易所國內如何註冊? ok交易平台大陸新手註冊使用指南 May 08, 2025 pm 10:51 PM

在加密貨幣市場中,選擇一個可靠的交易平台是至關重要的。 OK交易平台作為全球知名的數字資產交易所,吸引了大量大陸新手用戶。本指南將詳細介紹如何在OK交易平台上進行註冊和使用,幫助新手用戶快速上手。

新罕布什爾州成為第一個建立戰略比特幣BTC/USD儲備金的州 新罕布什爾州成為第一個建立戰略比特幣BTC/USD儲備金的州 May 08, 2025 pm 11:18 PM

SA基金的創始人丹尼斯·波特(DennisPorter)在社交媒體上透露,新罕布什爾州州長凱利·艾約特(KellyAyotte)已將第302號法案簽署成為法律。新罕布什爾州因此成為了美國首個設立戰略比特幣(BTC/USD)儲備的州,允許公共資金投資於Apex加密貨幣及其他符合特定標準的數字資產。具體情況:州長凱利·艾約特(KellyAyotte)簽署的第302號法案不僅允許投資於比特幣,還包括其他符合特定標準的數字資產,SatoshiActionFund的創始人丹尼斯·波特(DennisPor

幣圈交易平台app排名前十 炒幣平台app最新排行榜 幣圈交易平台app排名前十 炒幣平台app最新排行榜 May 08, 2025 pm 11:00 PM

2025年全球十大加密貨幣交易平台APP依次為:1. Binance(幣安),全球交易量第一,支持600 加密貨幣,冷錢包存儲98%資產;2. OKX(歐易),合約交易量全球第三,推出元宇宙交易大廳;3. Coinbase,美國最大合規交易所,支持美元直接交易,用戶超1億;4. Bybit,衍生品交易量全球第二,推出現貨流動性配對計劃;5. Bitget,複製交易功能行業領先,聚焦亞洲市場;6. MEXC Global,主打山寨幣交易,支持2276種加密貨幣;7. Gate.io(芝麻開門),老

幣安Binance交易所安裝、註冊詳細指南(2025最新步驟) 幣安Binance交易所安裝、註冊詳細指南(2025最新步驟) May 08, 2025 pm 11:06 PM

幣安(Binance)是全球領先的加密貨幣交易平台之一,提供多種數字資產的交易服務。如果你正在考慮使用幣安進行加密貨幣交易,本文將為你提供詳細的安裝和註冊指南。

歐易ios官方網站入口 okx歐易官方網站蘋果手機註冊入口 歐易ios官方網站入口 okx歐易官方網站蘋果手機註冊入口 May 08, 2025 pm 11:09 PM

如果你是一位蘋果手機用戶,並且對加密貨幣交易感興趣,那麼你一定不能錯過OKX歐易這個平台。 OKX歐易作為全球領先的加密貨幣交易所之一,提供了多種數字資產的交易服務,涵蓋了比特幣、以太坊、萊特幣等主流幣種,同時還支持多種山寨幣和新興代幣的交易。無論你是剛入門的投資者,還是經驗豐富的交易者,OKX歐易都能夠滿足你的需求。下面我們將詳細介紹如何通過蘋果手機在OKX歐易官方網站上進行注

幣安binance網頁版入口 幣安binance交易所網頁版直接進 幣安binance網頁版入口 幣安binance交易所網頁版直接進 May 08, 2025 pm 11:03 PM

全球領先的加密貨幣交易平台,以其高效、安全和多樣化的交易服務聞名於世。無論你是經驗豐富的交易者還是初入加密貨幣市場的新手,幣安Binance都能提供你所需的工具和資源。通過幣安Binance網頁版,用戶可以輕鬆訪問交易平台,無需下載任何應用程序,直接通過瀏覽器進行交易操作。本文將詳細介紹如何進入幣安Binance交易所網頁版,並提供一些實用的交易技巧和注意事項。

易歐官方網站入口 易歐交易所蘋果入口官方進入 易歐官方網站入口 易歐交易所蘋果入口官方進入 May 08, 2025 pm 11:12 PM

全球知名的數字貨幣交易平台,成立於2014年,致力於為用戶提供安全、便捷的數字資產交易服務。作為一家國際化的交易所,易歐支持多種主流和小眾數字貨幣的交易,吸引了來自世界各地的用戶。無論是新手還是經驗豐富的交易者,都可以在易歐平台上找到適合自己的交易工具和服務。

okx交易所入口 okx交易平台官網登錄入口 okx交易所入口 okx交易平台官網登錄入口 May 08, 2025 pm 11:15 PM

OKX 作為全球領先的加密貨幣交易平台,為用戶提供了多樣化的交易服務和安全的交易環境。自成立以來,OKX 憑藉其強大的技術支持和豐富的交易產品,吸引了大量的用戶和投資者。無論你是新手還是專業交易者,OKX 都能滿足你的交易需求。