Un gruppo di lavoro di Ethereum, composto da sviluppatori di portafogli, aziende di sicurezza e dalla Trillion Dollar Security Initiative della Fondazione Ethereum, ha lanciato oggi uno standard aperto progettato per porre fine alla firma cieca (blind signing) — un difetto strutturale che ha contribuito a miliardi di perdite per gli utenti, incluso l'attacco a Bybit. La Trillion Dollar Security Initiative della Fondazione Ethereum sta assumendo un ruolo attivo come amministratore credibilmente neutrale del registro del Clear Signing.
Nei principali exploit nelle applicazioni cripto e blockchain, il passaggio finale spesso non è un bug nel codice, ma un utente che approva una transazione. Anche quando il phishing o la compromissione di un'infrastruttura danno inizio alla violazione, l'ultimo passaggio è tipicamente una conferma che l'utente non può comprendere in modo significativo. L'approvazione di una transazione dovrebbe essere l'ultima linea di difesa quando si esercita il controllo su ciò che accade ai propri asset sulla blockchain. Quando viene fatto alla cieca, questa difesa non regge.
Affinché gli utenti e le istituzioni si sentano a proprio agio nel conservare e interagire con asset su Ethereum per un valore di trilioni, "What You See Is What You Sign" (WYSIWYS - Quello che vedi è quello che firmi) deve essere il nostro obiettivo, e il Clear Signing deve essere lo standard predefinito.
Oggi, approvare una transazione significa spesso cercare di capire cosa si sta per fare basandosi su informazioni che non sono progettate per essere lette dalle persone. Nelle situazioni ad alto rischio, gli utenti potrebbero affidarsi a un dispositivo separato per ricontrollare i dettagli, specialmente se l'app che stanno utilizzando potrebbe essere compromessa. In pratica, queste informazioni sono spesso mostrate in formati di basso livello, leggibili dalle macchine, che sono accurati ma difficili da interpretare senza competenze tecniche.
Ciò che serve è un modo affinché le applicazioni, sia esistenti che nuove, su Ethereum forniscano descrizioni chiare, leggibili dall'uomo e strutturate di ciò che farà una transazione, in modo che i portafogli possano presentare queste informazioni in modo coerente e affidabile agli utenti. Raggiungere questo obiettivo richiede un formato condiviso per queste descrizioni (ERC-7730), un registro per archiviarle e distribuirle, un modo per verificare che siano accurate e strumenti che rendano facile per i portafogli e gli sviluppatori adottare questo approccio, insieme a una parte credibilmente neutrale per supportare l'infrastruttura.
Chiunque può contribuire con dei descrittori a questo sistema. La loro accuratezza viene verificata attraverso revisioni e attestazioni indipendenti, e i portafogli decidono di quali fonti fidarsi. Sebbene questi descrittori vengano forniti insieme alla transazione, piuttosto che incorporati direttamente in essa, questo approccio rende possibile supportare sia le applicazioni esistenti che quelle nuove, consentendo al contempo di verificarne l'accuratezza in modo indipendente.
La One Trillion Dollar Security Initiative della Fondazione Ethereum si impegna a ospitare questa infrastruttura e a supportarne lo sviluppo, con strumenti creati e mantenuti dai contributori di tutto l'ecosistema, e un'adozione incoraggiata tramite clearsigning.org, per contribuire a rendere il Clear Signing lo standard predefinito su Ethereum.
Incoraggiamo gli sviluppatori di portafogli ad adottare questo approccio e a integrare il supporto per conferme di transazione chiare e leggibili dall'uomo. Gli sviluppatori che creano applicazioni sono incoraggiati a fornire descrizioni accurate di ciò che fanno le loro transazioni, e gli esperti di sicurezza sono incoraggiati a rivedere e attestare la loro correttezza. Le informazioni sugli strumenti disponibili, incluse le librerie Rust e TypeScript finanziate tramite 1TS, possono essere trovate su clearsigning.org.
Passando al Clear Signing, stiamo rafforzando l'ultima linea di difesa e rendendo l'ecosistema Ethereum più sicuro, più accessibile e meglio preparato per la prossima ondata di utenti e per l'adozione istituzionale.
Vogliamo ringraziare e riconoscere il merito a Ledger per aver avviato l'ERC-7730 e i primi sforzi in termini di strumenti, infrastruttura e formazione. Questo è uno sforzo deliberatamente multi-partecipativo con contributi che spaziano dalla ricerca, allo sviluppo di librerie, agli audit e al coordinamento, coinvolgendo team come ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, MetaMask, Argot e contributori indipendenti in tutto l'ecosistema.