1. Беззвучный кошмар
За последний год мы стали свидетелями того, как слишком много пользователей мгновенно и без предупреждения лишились всего своего портфеля.
Что еще более шокирует?
Злоумышленнику даже не нужно было, чтобы они отправляли какие-либо токены.
Все, что потребовалось, — это одна подпись — транзакция с шестнадцатеричными данными.
Это могло выглядеть как простое действие: получение NFT, участие в аирдропе, подключение DApp или вход на сайт.
Казалось бы, безобидно:
0 ETH, отправленные на адрес смарт-контракта.
Но реальная угроза скрывалась внутри шестнадцатеричных данных.
Именно здесь злоумышленники кодируют вредоносные вызовы функций, такие как:
approve()increaseAllowance()transferFrom()setApprovalForAll()sweepToken()(пользовательские вредоносные функции контракта)
Каждая из этих функций предоставляет атакующему контроль над вашими активами.
После подписания — игра окончена — они могут опустошить ваши токены ERC-20 или NFT по своему усмотрению, без дальнейшего одобрения.
2. Шестнадцатеричные данные: не должны быть слепой зоной
Каждая ончейн-транзакция — даже без перевода активов — по сути является вызовом смарт-контракта.
Так называемые шестнадцатеричные данные — это просто ABI-кодированный «метод + параметры».
Пример:
0xa9059cbb0000000000000000000000008e80000000000000000000000000000000000000000000000000000000005f5e100
Первые 4 байта
0xa9059cbb: селектор функции, в данном случаеtransfer(address,uint256)Остальное: закодированные параметры — адрес токена, получатель, значение и т. д.
Для злоумышленника это универсальный пропуск для выполнения произвольной логики.
Для неосведомленного пользователя — это просто бессмысленная строка, похожая на загадочное заклинание на незнакомом языке.
И именно здесь кроется ловушка: слепое подписание.
То, что для вас выглядит как транзакция с нулевым значением
для злоумышленника выглядит как полный доступ к вашему кошельку.
3. Слепое подписание, шестнадцатеричное подписание и ад подписи
Эти мошенничества обычно имеют ряд общих черт:
💸 Транзакция с 0 ETH или небольшой суммой: чтобы развеять ваш скептицизм.
🧬 Шестнадцатеричные данные несут вредоносный умысел: замаскированный под простое действие.
🧠 Получатель — смарт-контракт: не человек, а ловушка.
⚠️ Подпись = выполнение: один клик дает им полный контроль.
И что еще хуже:
Эти атаки полностью автоматизированы.
Мошенники используют скрипты для массового развертывания вредоносных контрактов, создания фишинговых веб-сайтов, генерации мошеннических ссылок и их продвижения через:
Реклама в поисковых системах
Группы в Discord
Ответы в Twitter/X
Фейковые розыгрыши и NFT-аирдропы
Они просто ждут того момента, когда вы кликнете.
Одна подпись, и ваши активы станут их.
4. Как OneKey дает отпор
Безопасность никогда не должна быть исключительно бременем пользователя.
В OneKey мы создаем многоуровневую защиту, чтобы закрыть эти скрытые пробелы.
Вот что мы сделали (и продолжаем улучшать):
(1) Предупреждения о шестнадцатеричных данных — первый ментальный барьер
Когда пользователь включает опцию «показать шестнадцатеричные данные» в транзакции,OneKey немедленно отображает четкое предупреждение:
⚠️ Эта транзакция включает шестнадцатеричные данные и может включать взаимодействие со смарт-контрактом или одобрение токенов. Будьте осторожны.
Это не сожаление после подписания.
Это превентивная защита при самом первом клике.
Мы хотим, чтобы пользователи оставались бдительными, — потому что шестнадцатеричные данные — это мощный инструмент, но также и оружие в неправильных руках.
(2) Парсинг шестнадцатеричных данных + оповещения о высокорискованных функциях
Для всех EVM-цепей OneKey теперь предоставляет декодирование ABI в реальном времени + анализ рисков функций:
Четко показывает вызываемый метод
Выделяет высокорискованное поведение до подписания, включая:
🧾 Видимость целевого адреса — Это известный безопасный контракт или подозрительный адрес?
🕵️ История взаимодействий — Вы подписывали с этим адресом раньше?
💰 Токен и сумма — Что именно вы одобряете или отправляете?
Благодаря этому пользователи больше не подписывают вслепую, а с реальным контекстом и полным осознанием.
(3) Подтверждение аппаратным кошельком
С OneKey Pro вы не видите необработанные шестнадцатеричные строки.
Вы видите реальную, удобочитаемую информацию прямо на экране вашего устройства:
🔍 Название функции — Знайте, что вы на самом деле подписываете.
💵 Тип и сумма токена — Вы одобряете весь свой баланс?
📍 Адрес назначения — Знаком ли он, или это тревожный сигнал?
Каждое поле здесь, чтобы помочь вам принять обоснованное решение,
а не слепую догадку.
5. Заключительные слова
В блокчейне нет кнопки «отменить».
Каждая подпись окончательна.
Мы знаем, как легко подумать:
«Я думал, я просто подключаю свой кошелек…»
Вот почему мы создали каждый уровень OneKey с учетом реальной защиты пользователей.
Каждая подпись — это вопрос доверия.
И OneKey здесь, чтобы быть вашей самой надежной защитой.