Post
陈副业
又一次，出事的地方不是私钥，而是授权。
Pennysia 的以太坊 Settlement 合约被人打了。路径是任意外部调用：合约留了一个可以外接任意逻辑的入口，攻击者顺着它，把"替你花钱"变成"替他花钱"。不用撬开任何人的钱包，只要用户以前点过那一次授权，剩下的代币额度就成了他的。
最容易被忽略的是：授权是一次性动作，风险却是长期的。几个月前点下的 approve，今天依然有效。团队跑了、代码被掏空了，那条授权还挂在链上等你。这次被利用的正是"用户剩余的代币授权"——他不是来偷的，是来收的。
受害者常想不通：没点链接、钱包没离身，怎么就没了？因为你的钱不是被偷走的，是被你自己提前允许拿走的。结算合约本来就要握着用户额度，权限给得越大，被利用时波及越宽。
这不是孤立个案，是结构性风险：链上到处是没人管的旧授权，攻击者只要找到一条能放大它的入口。这次叫 Pennysia，下次换个名字，剧本一样。
动作只有一个：用 revoke 工具查一遍历史授权，不认识的、不用的全撤，0x3aad…795e 优先。
值得想的是：我们拼命保护私钥，却几乎不管授权，而绝大多数损失恰恰出在这里。
Ansvarsfriskrivning: OKX Orbit-innehåll tillhandahålls endast i informationssyfte. Läs mer
Svar
Inga kommentarer än. Var den första att svara!
Dagens marknadsrykte
1#Nvidia kontaktar Arm:s VD Hass, intern förutsägelse om ny VD-kandidat
2#USA:s PPI i oktober år över år 6,5 %, lägre än förväntat
3#Anthropic startar IPO-roadshow, värderingen stiger till 1,8 biljoner dollar
