Aydın imza: Cyfrin gizli sahələri aşkar edir

2026-cı ilin iyul ayının sonlarında, Cyfrin audit şirkəti 1inch-in aydın imzasında bir neçə yüksək səviyyəli qüsur aşkar etdi. Beləliklə, istifadəçinin yatırdığı vəsaitləri qəbul edən müqavilə də daxil olmaqla, bəzi sahələr cüzdan ekranında görünmür. Oktyabrın 12-nə olan məlumata görə, bu görüntü qaydaları hələ də ictimai reyestrdədir. Onlar Ethereum da daxil olmaqla, 13 şəbəkədə 1inch V6 yönləndiricisini əhatə edir.

Qısa məlumat

• 13 şəbəkə: bu, Ethereum da daxil olmaqla, 1inch V6 yönləndiricisinin audit edilmiş təsvirinin tətbiq olunduğu blockchain-lərin sayıdır.
• 2 yüksək qüsur: Cyfrin bu təsvir daxilində, sizin vəsaitlərinizi qəbul edən müqaviləni göstərən bir sahə də daxil olmaqla, iki yüksək qüsur aşkar edib.
• Heç bir təsdiq: V6 yönləndiricisinin təsvirləri reyestrdə heç bir audit təsdiqi almamışdır.
• 2026-cı ilin mayın 12-si: bu gün Ledger aydın imzanı Ethereum Fonduna həvalə etdi.

Aydın imza, Bybit-in hakerliyinə cavabdır

2025-ci ilin fevralında, Bybit-in rekord hakerliyi platformaya təxminən 1,5 milyard dollar ziyan vurdu, FBI-ya görə. FBI bu oğurluğu Şimali Koreyaya aid edir. CertiK-in analizinə görə, Safe{Wallet} interfeysi qanuni bir əməliyyatı göstərirdi. Lakin imzalanma üçün Ledger-ə göndərilən məlumatlar fərqli idi. Bybit-in CEO-su, hətta onları cihazın ekranında yoxlamadığını bildirdi. CertiK burada kor imzadan, yəni blind signing-dən danışır.

Aydın imza bu problemi həll edir. O, kripto cüzdanınızın ekranında bir əməliyyatın məlumatlarını aydın dilə çevirir. Ledger bunu 2023-cü ildə təqdim etdi və sonra ERC-7730 standart təklifində rəsmi şəkildə təsdiqlədi. Daha sonra, 2026-cı ilin mayın 12-də, şirkət bunu Ethereum Fonduna həvalə etdi. MetaMask, Trezor, WalletConnect və Cyfrin işçi qrupuna qatılır.

Sistem ictimai fayllara, yəni təsvirlərə əsaslanır. Hər biri cüzdanın hansı əməliyyat sahələrini göstərməli olduğunu və hansı etiket altında göstərməli olduğunu bildirir. "never" ilə işarələnmiş bir sahə ekranın üstündə heç vaxt görünmür.

Vəsaitlərinizi qəbul edən müqavilə görünməz qala bilər

1inch mərkəzləşdirilməmiş mübadilə agregatorudur. Cyfrin bir neçə təsvirini audit edib. 2688 nömrəli bilet V6 yönləndiricisinin əsas təsvirini hədəfləyir. O, auditorun təsnifatına görə, iki yüksək və üç orta səviyyəli qüsur ehtiva edir.

Birinci qüsur, ekranın üstündə gizlədilmiş clipperExchange parametridir. Lakin bu, istifadəçinin vəsaitlərini qəbul edən müqaviləni göstərir. Bu parametrin təmin edildiyi funksiyanın çağıranı budur. Cyfrin-ə görə, cüzdan normal mübadilə ekranı göstərir, lakin vəsaitləri qəbul edən müqaviləni göstərmir.

İkinci yüksək qüsur isə gizli olan args sahəsinə aiddir. Bəzi əmrin icra rejimlərində, o, satın alınan aktivin qəbul edildiyi ünvanı ehtiva edə bilər. Beləliklə, istifadəçi dəqiq məbləğləri görə bilər, lakin aktiv görünməyən bir ünvana gedir, auditorun dediyinə görə.

İki orta səviyyəli qüsur da görüntü ilə bağlıdır. İlk olaraq, bir əmrin məbləği həmişə "satılacaq məbləğ" kimi görünür. Lakin yönləndiricinin bir rejimi bunu satın alınacaq məbləğ kimi emal edir. Sonra, permitAndCall funksiyası, token, xərcləməyə icazə verilmiş ünvan, məbləğ və müddətini dəqiqləşdirə biləcək bir xərcləmə icazəsini gizlədir. Nəhayət, son orta səviyyəli qüsur, Sourcify tərəfindən hələ yoxlanılmamış yerləşdirmələrə aiddir.

1inch-in aydın imzası 13 şəbəkədə dəyişməzdir

Bir qonşu bilet, № 2690, zkSync router versiyasını hədəfləyirdi. Bu doqquz sətirlik təsvir əsas versiya ilə eyni ümumi fayla istinad edirdi. Saxlayıcılar bunu 22 sentyabrda reyestrdən çıxardılar. Səbəb, əslində, yoxlamadır. Reyestr tərəfindən istifadə olunan kodun yoxlama aləti olan Sourcify hələ də zkSync üçün tərtib edilmiş kodu yoxlamağı bilmir. Bu çıxarış, beləliklə, görüntü qaydalarını düzəltmir.

Lakin reyestrin əsas bölməsi, 12 oktyabrda yoxlanıldığında, hələ də bu qaydaları ehtiva edir. Ümumi fayl və əsas təsvirin cari versiyası 10 aprel 2026 tarixindədir. Onlar Ethereum, Arbitrum, Base, BNB Chain və Polygon daxil olmaqla 13 şəbəkədə V6 router üçün tətbiq edilir. Əvvəlki versiya, V5, altı şəbəkədə clipperExchange-i də gizlədir.

Üçüncü audit, № 2689, EIP-712 formatında off-chain imzalanmış əmrlərlə bağlıdır. Təsvir burada makerTraits sahəsini gizlədir. Bu, əmrin son tarixini və onu icra etməyə icazə verilən ünvanla bağlı bir məhdudiyyəti ehtiva edə bilər. Cyfrin bu müşahidəni də yüksək təhlükə dərəcəsi ilə qiymətləndirir.

Təsdiq göstərilən mənanı təmin etmir

Reyestr bir qoruyucu tədbir, təsdiqi nəzərdə tutur. ERC-8176 standart layihəsi bu mexanizmi müəyyən edir. Bu, bir auditorun yoxladığı bir təsviri imzalamasına imkan tanıyır. 17 avqustda reyestr Cyfrin tərəfindən 181 təsvir üçün təsdiqləri daxil etdi.

1inch dosyasında yalnız köhnə V3 və V4 router versiyaları bunu daşıyır. Əksinə, V6 təsvirləri bunu daşımır. Audit № 2689-da Cyfrin beş şəbəkədə kodun yoxlanılmaması halını qeyd edir: <<təsdiq şərti yerinə yetirilmir>> (redaksiyanın tərcüməsi). ERC-8176 daha sonra hər bir cüzdanın etibar etdiyi auditorları seçmək hüququnu saxlayır.

Bununla belə, təsdiqlənmiş olsa da, bir təsvir yanıltıcı ola bilər. ERC-8176 layihəsi bunu mexanizmin məhdudiyyətlərinə həsr olunmuş bölməsində yazır.

İmzaların yoxlanılması semantik dəqiqliyi təsdiq etmir. ERC-8176, ERC-7730 üçün Təsvir Təsdiqləri, standart layihəsi

Başqa bir məhdudiyyət, inkişaf edən müqavilələr və ya proksilərlə bağlıdır. Bir proksi öz ünvanını saxlayır, lakin kodu dəyişə bilər. Sentyabrda dərc edilmiş bir analiz 5 sentyabr tarixinə qədər 382-dən 80 proksi ilə bağlı təsviri qeyd etdi. Saxlayıcılar bunu saxlamağı və problemi standartın özündə həll etməyi seçdilər.

Aydın imzanın göstərdiyi və gizlətdiyi

Reyestr də qüsurları düzəldir. 25 sentyabrda, bir düzəliş 1inch-in Limit Order Protocol v2 üçün limit əmrləri ilə bağlı başqa bir təsviri hədəflədi. Mesajına görə, imzalanmış tip ilə təsvirləri tanıyan cüzdanlar bunu tətbiq edə bilmirdilər. İstifadəçilər bu əmrləri <<gözsüz>> imzalayırdılar.

İstifadəçi üçün oxunaqlı bir ekran yalnız təsvir tərəfindən saxlanılan sahələri göstərir. Beləliklə, bir alıcı və ya son tarix olmaması görünmür. Cyfrin bu sahələrin göstərilməsini və ya təsvirin çıxarılmasını tövsiyə edir. İkinci halda, cüzdan aydınlıq hissi vermədən, xam bir imzaya qayıdır. Baxılan biletlərin heç biri bu təsvirlərə bağlı istifadəçi itkisini bildirmir. Bizim ən təhlükəsiz kripto cüzdanı bələdçimiz digər mövcud qorunmaları ətraflı izah edir.

12 oktyabr tarixinə qədər reyestrdə hələ də mövcud olan iki V6 təsviri dəyişməz qalır. Üçüncü, zkSync üçün, reyestrdən düzəliş olmadan çıxmışdır. MakerTraits sahəsi üçün Cyfrin tərəfindən təklif olunan düzəliş faylın yalnız bir sətirini dəyişir ki, bu da sahəni görünən edir. [DOLDURULMALIDIR: 1inch, Cyfrin və ya reyestr saxlayıcılarının tarixli cavabı, ya da cavabsız qalan sorğuların qeyd edilməsi] Proksilərlə bağlı, təklif № 1738 hələ standartda daxil edilməmişdir. ERC-7730-un həmmüəllifi Kaan Uzdoğan GitHub-da bunu təsdiqləmədən əvvəl digər nəzərdən keçirmələri gözlədiyini bildirdi.