Sponsor: Mantle - Der Mantle Global Hackathon, der vom 22.10. bis zum 31.12. läuft, lädt Entwickler und Gründer ein, skalierbare RWA- und DeFi-Produkte auf Mantle zu entwerfen, zu bauen und einzusetzen.

Kompromittierte Wallets sind furchtbar. Selbst wenn Ihre liquiden Mittel auf diese Weise gestohlen werden, können Sie auch mit nicht beanspruchten Airdrops, NFT-Allowlist-Spots usw. in einer Wallet feststecken, von der aus Sie keine sicheren Transaktionen durchführen können.

Und warum? Sobald ein Angreifer Ihren privaten Schlüssel hat, kann er einen Sweeper-Bot einsetzen, der diese Adresse in allen Netzwerken überwacht. In dem Moment, in dem Sie Gas einspeisen, wird der Bot zuschlagen und es abziehen. Selbst wenn Sie also technisch gesehen immer noch "Eigentümer" der Geldbörse sind, kann es sich als fast unmöglich erweisen, die verbleibenden Vermögenswerte wiederzuerlangen.

Aber wie wäre es mit einem Workaround?

EIP-7702 als primitives Rettungsinstrument

Hier kommt EIP-7702 ins Spiel.

Mit EIP-7702 wurde ein Transaktionstyp eingeführt, der es normalen Ethereum Virtual Machine (EVM)-Wallets ermöglicht, sich vorübergehend wie fortschrittliche Smart Contract-Wallets zu verhalten.

Insbesondere bietet dieses Design einen Rettungsweg für die teilweise Wiederherstellung von Vermögenswerten aus kompromittierten Wallets. Mit EIP-7702 können Sie:

1. eine separate Sponsor-Wallet zum Bezahlen von Gas verwenden
2. die kompromittierte Brieftasche an einen Stapelvertrag delegieren
3. diesen Stapelvertrag eine Forderung + Überweisung im Namen der kompromittierten Adresse ausführen lassen
4. Dann die Delegation widerrufen

Da die kompromittierte Wallet die Transaktion nicht direkt sendet (sie autorisiert nur einmal über EIP-7702), können Sie auf diese Weise an Sweeper-Bots vorbeischlüpfen und Token evakuieren, die sonst nicht wiederhergestellt werden könnten.

Das Antidrain-Beispiel

Diese Art der Rückgewinnung ist genau die Stoßrichtung von Antidrain, einem EIP-7702-Rettungstool , das von Zun entwickelt und Anfang dieses Jahres veröffentlicht wurde. Es ist als letzter Ausweg für eine clientseitige Wiederherstellungsanwendung für Dinge wie Luftabwürfe und NFTs gedacht.

Ein Benutzer, Moei, sagte diese Woche auf X, dass er Antidrain benutzt hat, um seinen Fwog NFT allowlist spot zu retten, ihn erfolgreich zu prägen und ihn nach einer Kompromittierung des privaten Schlüssels in eine sichere Geldbörse zu transferieren. Das ist eine nicht-triviale Wiederherstellung, wenn man bedenkt, dass Fwogs derzeit auf OpenSea um die 700$ gehandelt werden.

Mit anderen Worten, dieses Tool erstellt EIP-7702-Delegationen und Batch-Transaktionen lokal in Ihrem Browser (d.h. kein Backend-Server, keine Schlüsselübertragung), wodurch Sie Rettungsaktionen über unterstützte EVM-Ketten hinweg durchführen können.

All das bedeutet, dass es sich hier um eines dieser Tools handelt, die im Notfall das Glas zerbrechen. Entscheidend ist, dass Antidrain während der Einrichtung nach dem privaten Schlüssel der kompromittierten Geldbörse fragt. Unter normalen Umständen ist das ein sofortiges, hartes "Nein". Die Idee dahinter ist:

• Der Schlüssel ist bereits kompromittiert, der Angreifer hat ihn also sowieso.
• Sie verwenden ihn nur ein letztes Mal, um alles, was noch wiederherstellbar ist, zurückzubekommen.
• Das Design des Tools ist komplett lokal, oder zumindest scheint es so zu sein. Als statische clientseitige Anwendung erstellt und signiert es Transaktionen in Ihrem Browser, und nachdem ich mich durch den Code der Website gewühlt hatte, fand ich keinen Hinweis darauf, dass es sensible Daten an ein Backend sendet.

Dieser letzte Punkt eignet sich natürlich nicht für eine formale Sicherheitsprüfung, aber die Anwendung scheint gemäß ihrem angegebenen Design zu funktionieren.

Glücklicherweise hatte ich bisher noch keinen Bedarf an dieser Art von Ressource, so dass ich Antidrain selbst noch nicht verwendet habe. Und um es klar zu sagen: Einen privaten Schlüssel in eine Website einzufügen, ist praktisch immer eine schlechte Idee. Dieser Weg ist nur für bereits kompromittierte Geldbörsen als letzter Ausweg gedacht, um Squatting Sweeper zu umgehen.

Rein hypothetisch, wenn Antidrain böswillig wäre , würde das schlimmste Szenario darin bestehen, dass Sie alles verlieren, was in Ihrer kompromittierten Geldbörse verbleibt, oder dass Ihre Sponsor-Gas oder geretteten Token an eine Adresse umgeleitet werden, die Sie nicht kontrollieren. Keine Ihrer nicht kompromittierten Wallets wäre gefährdet, da Sie hier nichts herunterladen und nichts mit Ihren sicheren Wallets importieren oder signieren.

Fazit: Wenn Ihre Geldbörse kompromittiert ist und Sie mit einem Sweeper-Bot konfrontiert sind, kann ein Tool wie Antidrain einen Versuch wert sein. Wenn Ihre Geldbörse nicht kompromittiert ist, sollten Sie auf keinen Fall Ihren privaten Schlüssel in eine Webanwendung einfügen.

Die Verwendung erfolgt also auf eigene Gefahr und nur für Geldbörsen, die bereits verbrannt sind. Sollten Sie jedoch jemals das Pech haben, ein solches Tool zu benötigen, scheint der Konfigurationsprozess auf der Website ganz einfach zu sein. Sie würden:

1. Erstellen und finanzieren Sie Ihre Sponsoren-Geldbörse
2. Ihre gewünschten Wallet-Konfigurationen eingeben
3. Legen Sie Ihre Rettungsdaten und die Empfängeradresse fest
4. Klicken Sie auf "Execute All Wallets", um Ihre Batch-Transaktion auszulösen
5. Ziehen Sie das restliche Gas aus Ihrer Sponsor-Geldbörse ab

Und das war's. Dieses System eignet sich am besten für einmalige Rettungsaktionen, wie z. B. "Beanspruche diesen Airdrop und schicke ihn direkt an meine sichere Brieftasche". Für alle ERC-20, die für die weitere Entwicklung gerettet werden, wird eine Servicegebühr von 20 % erhoben, die Sie ebenfalls berücksichtigen sollten.

Sicherlich wird ein solches Tool einen Angreifer nicht auf magische Weise aus Ihrer Geldbörse vertreiben, aber es ist interessant zu sehen, welches Potenzial EIP-7702 hat, um Opfern von Drainern eine Chance zu geben. An einem dunklen Tag könnte es den Unterschied zwischen der Rettung von etwas und dem Verlust von allem ausmachen, also behalten Sie diese Fähigkeit in Zukunft im Hinterkopf.

✕