Bukti phishing dan penyalahgunaan approval

Approval dapat mengotorisasi spender tanpa dengan sendirinya memindahkan dana. Mencampurkan approval dengan kerugian menyembunyikan catatan berikutnya mana yang akan menetapkan transfer aset aktual.

Pisahkan urutan usulan menjadi catatan: representasi yang dilihat pengguna, perubahan otorisasi, percobaan pembelanjaan, dan perpindahan yang diamati. Allowance ERC-20 merupakan izin pembelanjaan teknis; peristiwa approval saja tidak menunjukkan transfer selesai. Perpindahan berhasil bergaya transferFrom memerlukan eksekusi/receipt relevan dan rekonsiliasi keadaan. Otorisasi berbasis tanda tangan mempunyai skema dan lingkup sendiri; jangan generalisasikan semantik approve biasa ke setiap pesan yang ditandatangani.

Pertahankan aset, pemilik, spender, jumlah, jaringan, dan dasar waktu tepat untuk kasus nyata. Di sini gunakan hanya label kertas yang tidak dapat dieksekusi. Jika halaman yang ditampilkan menjanjikan satu tindakan sementara otorisasi yang ditetapkan memberikan yang lain, laporkan inkonsistensi itu. Klaim penyesatan atau paksaan memerlukan bukti yang dapat diterima tentang representasi dan konteks; allowance luas merupakan paparan kontrol, bukan niat kriminal otomatis.

Jangan pernah meminta peserta menghubungkan dompet, menandatangani, memberikan approval, mengirim dana, atau memberikan seed/kunci privat untuk mendemonstrasikan mekanisme. Bekerjalah dari catatan tersanitasi. Respons insiden nyata mungkin memerlukan keahlian khusus konteks; pelajaran ini latihan membaca bukti, bukan prosedur transaksi.

Allowance: otorisasi pembelanjaan teknis untuk spender.

Approval: pembaruan izin, berbeda dari perpindahan aktual.

Peristiwa pembelanjaan: bukti eksekusi bahwa aset berpindah melalui kemampuan.

Konflik representasi: tindakan yang dijanjikan berbeda dari kontrol yang diberikan.

ILLUSTRATIVE: halaman kertas P menjanjikan “klaim 10 satuan.” Catatan R1 menetapkan bahwa pemilik W memberi spender S allowance 1000 untuk aset T. Catatan R2 menetapkan bahwa S berhasil memindahkan 400 T dari W ke D; receipt R2 hanya ada sebagai baris latihan rekaan. Capture halaman tidak mengidentifikasi operator manusia.

Linimasa izin kontrak P→R1 otorisasi→R2 perpindahan dengan jumlah terpisah 10/1000/400 dan jalur identitas tidak diketahui. Tanpa URL aktif atau instruksi approval yang dapat dieksekusi.

Keterangan: Urutan approval tersanitasi fiktif; otorisasi dan perpindahan selesai merupakan catatan berbeda.

SPECIFICATION_ONLY — visual yang dirender belum dibuat atau ditinjau secara independen.

Dalam fixture, R1 mengubah izin dan R2 mencatat perpindahan 400-satuan. Teks klaim 10-satuan bertentangan dengan lingkup izin 1000-satuan.

Ini tidak membuktikan situs phishing nyata, tanda tangan langsung, kerugian dompet aktual, identitas operator, atau niat kriminal. R1 saja tidak menetapkan perpindahan apa pun; pencabutan berikutnya tidak akan membatalkan R2.

Menyebut approval sendiri sebagai transfer; menggunakan label izin tak terbatas sebagai bukti penipuan; merekayasa receipt yang tidak tersedia; meminta peserta menandatangani untuk menguji skenario.

Bangun urutan empat kolom untuk P,R1,R2 dan identitas. Hitung allowance tersisa yang ditetapkan menurut asumsi pengurangan sederhana latihan dan nyatakan bagaimana kesimpulan berubah jika R2 tidak tersedia.

• Pisahkan representasi, approval, dan perpindahan.
• Ikat setiap baris pada aset/pemilik/spender/jaringan.
• Jangan reka catatan eksekusi yang tidak tersedia.
• Gunakan masukan luring tersanitasi tanpa tanda tangan atau dana.

Analisis penyalahgunaan approval memerlukan catatan izin dan bukti perpindahan, dengan klaim representasi dan identitas dinilai secara terpisah.

• Approval bukan transfer.
• Catatan pembelanjaan berikutnya dapat menetapkan perpindahan dalam lingkupnya.
• Otorisasi teknis tidak mengidentifikasi manusia atau membuktikan niat.

P13-L03

Gunakan alat BlockAssay yang disebut hanya sebagai konteks pembacaan bukti. Pelajaran ini tidak membuat output alat, sesi akun, atau hak layanan. Latihan luring; jangan menandatangani, deploy, menyetujui, atau mendanai apa pun.

• ERC20: Standar ERC-20 — Antarmuka token dan semantik allowance; standar tidak menetapkan identitas penerbit atau izin aman. Batas: Hanya dokumentasi mekanisme; nilai ilustratif asli ditetapkan, bukan pengamatan. Catatan historis mempunyai provenance yang dibekukan terpisah dan kesenjangan pengumpulan eksplisit.

ILLUSTRATIVE — masukan luring sepenuhnya fiktif; tanpa pengamatan terkini.

null — tanpa pengamatan nyata

1

null

needs_review