Eine Ethereum-Arbeitsgruppe, bestehend aus Wallet-Entwicklern, Sicherheitsfirmen und der Trillion Dollar Security Initiative der Ethereum Foundation, hat heute einen offenen Standard eingeführt, der das blinde Signieren (Blind Signing) beenden soll – ein struktureller Fehler, der zu Milliardenverlusten bei Nutzern beigetragen hat, einschließlich des Bybit-Hacks. Die Trillion Dollar Security Initiative der Ethereum Foundation übernimmt eine aktive Rolle als glaubwürdig neutraler Verwalter der Clear-Signing-Registry.
Bei großen Exploits in Krypto- und Blockchain-Anwendungen ist der letzte Schritt oft kein Fehler im Code, sondern ein Nutzer, der eine Transaktion freigibt. Selbst wenn Phishing oder eine kompromittierte Infrastruktur den Angriff einleiten, ist der letzte Schritt typischerweise eine Bestätigung, die der Nutzer nicht wirklich verstehen kann. Die Freigabe einer Transaktion soll die letzte Verteidigungslinie sein, wenn man die Kontrolle darüber ausübt, was mit den eigenen Vermögenswerten auf der Blockchain geschieht. Wenn dies blind geschieht, hält diese Verteidigung nicht stand.
Damit Nutzer und Institutionen sich sicher fühlen, Vermögenswerte in Billionenhöhe auf Ethereum zu speichern und mit ihnen zu interagieren, muss „What You See Is What You Sign“ (WYSIWYS) unser Ziel sein, und Clear Signing muss der Standard werden.
Heute bedeutet die Freigabe einer Transaktion oft, dass man versucht zu verstehen, was man gleich tun wird, basierend auf Informationen, die nicht dafür gedacht sind, von Menschen gelesen zu werden. In Situationen mit höherem Risiko verlassen sich Nutzer möglicherweise auf ein separates Gerät, um die Details noch einmal zu überprüfen, insbesondere wenn die von ihnen genutzte App kompromittiert sein könnte. In der Praxis werden diese Informationen oft in maschinenlesbaren Low-Level-Formaten angezeigt, die zwar präzise, aber ohne technisches Fachwissen schwer zu interpretieren sind.
Was benötigt wird, ist eine Möglichkeit für bestehende und neue Anwendungen auf Ethereum, klare, menschenlesbare und strukturierte Beschreibungen dessen bereitzustellen, was eine Transaktion bewirken wird, sodass Wallets diese Informationen den Nutzern konsistent und zuverlässig präsentieren können. Um dies zu erreichen, bedarf es eines gemeinsamen Formats für diese Beschreibungen (ERC-7730), einer Registry zu deren Speicherung und Verteilung, einer Möglichkeit, ihre Richtigkeit zu überprüfen, und Werkzeugen, die es Wallets und Entwicklern erleichtern, diesen Ansatz zu übernehmen, sowie einer glaubwürdig neutralen Partei zur Unterstützung der Infrastruktur.
Jeder kann Deskriptoren zu diesem System beisteuern. Deren Richtigkeit wird durch unabhängige Überprüfungen und Attestierungen verifiziert, und die Wallets entscheiden, welchen Quellen sie vertrauen. Da diese Deskriptoren zusammen mit der Transaktion bereitgestellt und nicht direkt in sie eingebettet werden, ermöglicht dieser Ansatz die Unterstützung sowohl bestehender als auch neuer Anwendungen, während ihre Richtigkeit weiterhin unabhängig überprüft werden kann.
Die One Trillion Dollar Security Initiative der Ethereum Foundation hat sich verpflichtet, diese Infrastruktur zu hosten und ihre Entwicklung zu unterstützen. Die Tools werden von Mitwirkenden aus dem gesamten Ökosystem entwickelt und gepflegt, und die Akzeptanz wird über clearsigning.org gefördert, um dabei zu helfen, Clear Signing zum Standard auf Ethereum zu machen.
Wir ermutigen Wallet-Entwickler, diesen Ansatz zu übernehmen und die Unterstützung für klare, menschenlesbare Transaktionsbestätigungen zu integrieren. Entwickler, die Anwendungen bauen, sind dazu aufgerufen, präzise Beschreibungen dessen bereitzustellen, was ihre Transaktionen tun, und Sicherheitsexperten werden ermutigt, deren Richtigkeit zu überprüfen und zu attestieren. Informationen über verfügbare Tools, einschließlich Rust- und TypeScript-Bibliotheken, die durch 1TS finanziert werden, sind auf clearsigning.org zu finden.
Durch den Übergang zu Clear Signing stärken wir die letzte Verteidigungslinie und machen das Ethereum-Ökosystem sicherer, zugänglicher und besser vorbereitet auf die nächste Welle von Nutzern und institutioneller Akzeptanz.
Wir möchten Ledger für die Initiierung von ERC-7730 sowie für frühe Tools, Infrastruktur und Bildungsbemühungen danken und unsere Anerkennung aussprechen. Dies ist eine bewusste, parteiübergreifende Anstrengung mit Beiträgen aus den Bereichen Forschung, Bibliotheksentwicklung, Audits und Koordination, an der Teams wie ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, MetaMask, Argot und unabhängige Mitwirkende aus dem gesamten Ökosystem beteiligt sind.