盲签

ChainCatcher 消息，以太坊基金会牵头的工作组发布全新 “清晰签名” 开放标准 Clear Signing，目标是解决长期存在的 “盲签” 问题，新标准基于 ERC-7730 规范构建，旨在推动 “WYSIWYS（What You See Is What You Sign）” 理念落地，使用户在签署交易前能够以统一、可读、结构化的方式理解交易实际执行内容，从而替代当前普遍存在的机器可读但难以理解的低层级交易信息展示方式，通过统一描述格式、注册表系统以及独立验证与审计机制，使交易意图可被清晰表达并在钱包端标准化呈现。Clear Signing 不会改变链上交易结构，而是通过链下标准化描述增强可解释性，从而在不影响现有协议兼容性的前提下提升安全性。

ChainCatcher 消息，Safe 团队对 Radiant Capital 的事后报告中提到的安全事件进行了审查，指出 Safe {Wallet} 前端功能正常，但外部设备在签名流程中被破坏，导致黑客能够替换交易数据并诱使签名者签署恶意交易。 Safe 团队认为这一事件突显了盲签名的风险，即用户在完全查看交易细节的情况下批准交易，尤其是在使用硬件钱包时。为了解决这个问题，Safe 建议使用不同供应商的多个签名设备（例如，Ledger 和 Trezor 的组合），并通过可信接口连接这些设备，以提高交易的可见性和安全性。 此外，Safe 还探索了条件签名等技术，以提供更多上下文信息而不牺牲安全性。Safe 团队正在考虑在其界面中直接计算 Ledger 哈希，以便用户可以核对硬件钱包和界面上显示的哈希。Safe 团队强调，生态系统中各方需要合作解决盲签名问题题，并承诺与硬件钱包提供商和社区合作，以改进交易和消息签名流程。

ChainCatcher 消息，Cobo 联合创始人兼 CEO 神鱼在谈及 Radiant Capital 被盗一事评论表示，针对这一复杂攻击，业界目前能采取的措施是： 项目方和安全公司应对高权限敏感合约进行详细检查，首先设置时间锁（即便是短至 10 分钟的时间锁也能有效缓解攻击），并加上自动化监控报警机制。 首先通过 app 从硬件钱包上获取待签名信息并解析，对硬件钱包的盲签问题进行临时性缓解。 在硬件钱包中集成复杂交易的解析功能，以提升交易的透明度和安全性。

ChainCatcher 消息，神鱼在 X 平台发文表示，当前端存在安全风险时，硬件钱包作为最后一道防线，原本应确保资产安全。但现阶段，盲签问题普遍存在，给黑客带来可乘之机，这个问题必须解决。

ChainCatcher 消息，Ledger 在社交媒体上发文表示，在上周的大规模安全事件中，大约 60 万美元的资产受到影响，这些资产是从 EVM DApp 上盲签名的用户那里被盗的。Ledger 将尝试尽量于 2024 年 2 月底前帮助受影响的个人（包括非 Ledger 用户）追回资金，并承诺与 DApp 生态系统合作以允许 Clear Signing，目前决定在 2024 年 6 月之前不再允许使用 Ledger 设备进行盲签。