Grupa robocza Ethereum, składająca się z twórców portfeli, firm zajmujących się bezpieczeństwem oraz inicjatywy Trillion Dollar Security Initiative Fundacji Ethereum, uruchomiła dziś otwarty standard mający na celu zakończenie ślepego podpisywania (blind signing) — wady strukturalnej, która przyczyniła się do miliardowych strat użytkowników, w tym ataku na Bybit. Inicjatywa Trillion Dollar Security Initiative Fundacji Ethereum odgrywa aktywną rolę jako wiarygodnie neutralny opiekun rejestru Clear Signing.
W przypadku największych ataków na aplikacje krypto i blockchain, ostatnim krokiem często nie jest błąd w kodzie, ale zatwierdzenie transakcji przez użytkownika. Nawet jeśli naruszenie bezpieczeństwa rozpoczyna się od phishingu lub kompromitacji infrastruktury, ostatnim etapem jest zazwyczaj potwierdzenie, którego użytkownik nie jest w stanie w pełni zrozumieć. Zatwierdzanie transakcji ma być ostatnią linią obrony podczas sprawowania kontroli nad tym, co dzieje się z Twoimi aktywami na blockchainie. Kiedy robi się to w ciemno, ta obrona zawodzi.
Aby użytkownicy i instytucje czuli się komfortowo, przechowując i wchodząc w interakcje z aktywami w Ethereum o wartości bilionów, naszym celem musi być zasada „To, co widzisz, jest tym, co podpisujesz” (What You See Is What You Sign – WYSIWYS), a Clear Signing musi stać się standardem.
Obecnie zatwierdzenie transakcji często oznacza próbę zrozumienia tego, co zamierzasz zrobić, na podstawie informacji, które nie są przeznaczone do czytania przez ludzi. W sytuacjach podwyższonego ryzyka użytkownicy mogą polegać na osobnym urządzeniu, aby dwukrotnie sprawdzić szczegóły, zwłaszcza jeśli aplikacja, z której korzystają, mogła zostać naruszona. W praktyce informacje te są często wyświetlane w niskopoziomowych, czytelnych dla maszyn formatach, które są dokładne, ale trudne do zinterpretowania bez wiedzy technicznej.
Potrzebny jest sposób, aby zarówno istniejące, jak i nowe aplikacje w Ethereum mogły dostarczać jasne, czytelne dla człowieka i ustrukturyzowane opisy tego, co zrobi transakcja, tak aby portfele mogły spójnie i niezawodnie prezentować te informacje użytkownikom. Osiągnięcie tego wymaga wspólnego formatu dla tych opisów (ERC-7730), rejestru do ich przechowywania i dystrybucji, sposobu weryfikacji ich dokładności oraz narzędzi, które ułatwią portfelom i programistom przyjęcie tego podejścia, a także wiarygodnie neutralnej strony wspierającej infrastrukturę.
Każdy może dodawać deskryptory do tego systemu. Ich dokładność jest weryfikowana poprzez niezależne przeglądy i atestacje, a portfele decydują, którym źródłom ufają. Chociaż deskryptory te są dostarczane wraz z transakcją, a nie osadzone bezpośrednio w niej, takie podejście umożliwia obsługę zarówno istniejących, jak i nowych aplikacji, jednocześnie pozwalając na niezależną weryfikację ich dokładności.
Inicjatywa One Trillion Dollar Security Initiative Fundacji Ethereum zobowiązuje się do hostowania tej infrastruktury i wspierania jej rozwoju, przy czym narzędzia są tworzone i utrzymywane przez współtwórców z całego ekosystemu, a adopcja jest promowana poprzez clearsigning.org, aby pomóc uczynić Clear Signing domyślnym rozwiązaniem w Ethereum.
Zachęcamy twórców portfeli do przyjęcia tego podejścia i zintegrowania obsługi jasnych, czytelnych dla człowieka potwierdzeń transakcji. Programiści tworzący aplikacje są zachęcani do dostarczania dokładnych opisów tego, co robią ich transakcje, a eksperci ds. bezpieczeństwa do przeglądania i poświadczania ich poprawności. Informacje o dostępnych narzędziach, w tym bibliotekach Rust i TypeScript finansowanych w ramach 1TS, można znaleźć na stronie clearsigning.org.
Przechodząc na Clear Signing, wzmacniamy ostatnią linię obrony i sprawiamy, że ekosystem Ethereum staje się bezpieczniejszy, bardziej przystępny i lepiej przygotowany na kolejną falę użytkowników oraz adopcję instytucjonalną.
Chcemy docenić i podziękować firmie Ledger za zainicjowanie ERC-7730 oraz wczesne prace nad narzędziami, infrastrukturą i działaniami edukacyjnymi. Jest to celowo wielostronny wysiłek, obejmujący wkład w badania, rozwój bibliotek, audyty i koordynację, w który zaangażowane są takie zespoły jak ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, MetaMask, Argot oraz niezależni współtwórcy z całego ekosystemu.