Post
陈副业
又一次，出事的地方不是私钥，而是授权。
Pennysia 的以太坊 Settlement 合约被人打了。路径是任意外部调用：合约留了一个可以外接任意逻辑的入口，攻击者顺着它，把"替你花钱"变成"替他花钱"。不用撬开任何人的钱包，只要用户以前点过那一次授权，剩下的代币额度就成了他的。
最容易被忽略的是：授权是一次性动作，风险却是长期的。几个月前点下的 approve，今天依然有效。团队跑了、代码被掏空了，那条授权还挂在链上等你。这次被利用的正是"用户剩余的代币授权"——他不是来偷的，是来收的。
受害者常想不通：没点链接、钱包没离身，怎么就没了？因为你的钱不是被偷走的，是被你自己提前允许拿走的。结算合约本来就要握着用户额度，权限给得越大，被利用时波及越宽。
这不是孤立个案，是结构性风险：链上到处是没人管的旧授权，攻击者只要找到一条能放大它的入口。这次叫 Pennysia，下次换个名字，剧本一样。
动作只有一个：用 revoke 工具查一遍历史授权，不认识的、不用的全撤，0x3aad…795e 优先。
值得想的是：我们拼命保护私钥，却几乎不管授权，而绝大多数损失恰恰出在这里。
Disclaimer: i contenuti di OKX Orbit sono forniti solo a scopo informativo. Scopri di più
Risposte
Ancora nessun commento. Rispondi prima di tutti!
Notizie del giorno sul mercato
1#NVIDIA contatta il CEO di Arm, Haas; previsione interna sul nuovo candidato CEO
2#L'IPP degli Stati Uniti di ottobre su base annua è del 6,5%, inferiore alle aspettative
3#Anthropic avvia il roadshow per l'IPO, la valutazione risale a 1,8 trilioni di dollari