MOV:「不授权」到底安全吗：Move背后的设计思想

原文作者：@jolestar

最近关于用户和Move智能合约交互，不需要授权(Approve)是更安全还是更不安全的争论很多，这里尝试用通俗的方式来解释一下二者背后的区别以及Move这样设计背后的思想。??

我们先理解一下用户和智能合约交互的方式。当我们签了一个交易，去调用一个链上的智能合约，就好比从物理世界进入了一个智能合约的数字世界，我们在这个数字世界有一个分身，而这个分身做什么，是智能合约定义的。??

在EVM中，每个合约都相当于一个独立的小世界，分身进入这个世界后，只能操作用户在当前合约世界中的状态。??

dYdX社区决定将最大8小时资金费率从0.75%提高至4%:4月24日消息，dYdX社区已通过DIP22-将最大资金费率（8h）提高到4%并修复V3永续合约中的数据错误链上投票。该提案拟将所有市场的最大8小时资金费率从0.75%提高到4%，并对相关的dYdXV3永续合约部署修复程序以解决数据可用性问题。

此前，Considered Finance发表了一篇关于现有资金利率限制对dYdX市场影响的论文。该研究确定了几个最高利率不足以激励dYdX市场价格与基础指数价格趋同的情况。这导致dYdX市场和交易体验效率低下。为了解决这个问题，Considered Finance建议将最大8小时利率从-0.75%和0.75%提高到-4%和4%之间。这一变化将改善交易体验，并减少通过保证金调整进行人工干预的需要。同时，在当前版本的dYdX Stark ExCairo代码中发现了一个漏洞，该错误仅在交易导致抵押品余额（即价值）正好为0（在支付所有费用后）的特定情况下，以及对于仍有仓位的账户，才会触发这个漏洞。这可能会导致一旦交易所被冻结就无法取回资金，dYdX和StarkWare都无法为用户提供帮助。[2023/4/24 14:22:55]

比如进入swap世界，想用自己的usdt交换其他资产，而usdt存在定义usdt的那个合约世界，没办法直接在swap中以自己的身份从usdt合约里提取资产。于是用户只能先去usdt的合约世界执行approve，告诉usdt的合约，swap可以代自己提取自己的资产，然后再进入swap世界进行操作。??

“末日博士”Nouriel Roubini：大多数美国银行在技术上都接近破产:金色财经报道，对加密货币持反对态度的知名经济学家“末日博士”Nouriel Roubin在最近一篇MarketWatch专栏文章中断言大多数美国银行在技术上都接近破产，从资本质量来看数百家美国银行已经完全资不抵债，不断上升的通货膨胀通过增加银行的“存款专营权”（一种不在其资产负债表上的资产）来降低银行负债（存款）的真实价值，硅谷银行等美国地区性银行的经验表明，存款粘性并不能保证，当银行出售证券以满足取款需求时，未实现证券损失变为现实从而导致破产。（cryptoglobe）[2023/4/2 13:40:44]

操作完成之后，再去usdt那边取消授权。但这里的approve和revoke操作都需要独立的交易，用户往往为了节省gas费用，不进行revoke，结果如果swap合约出安全问题，用户的资产就可能在不知情的情况下被盗取。??

StarkWare构建的Layer2 DeFi基础设施CANVAS已上线测试网:9月29日消息，StarkWare构建的Layer2 DeFi基础设施CANVAS已上线测试网，主网将于90天后上线。[2022/9/29 22:40:08]

而在Move中，所有的合约都在一个大的数字世界运行。用户的数字分身可以自由的在合约间移动，执行任何操作，同时用户的状态存在用户自己的存储空间。??

用户从swap入口进入，从自己的余额提取usdt，交换，存储可以在同一个交易里原子化完成。这种模式给合约带来更自由的组合模式，可以玩出很多EVM上很难实现的组合玩法，这也是EVM上的账户抽象方案想实现的模式。当然，这也带来了新的安全挑战。??

数据：Avalanche每日交易数量逾130万笔，创历史新高:8月7日消息，Coin98 Analytics统计数据显示，Avalanche的每日交易数量在8月5日达1345215，创历史新高。[2022/8/7 12:07:14]

那EVM中能否直接增加一个特性，让合约间的调用可以把用户身份直接带过去？这个技术上是可以实现的，但EVM中支持动态调用，可以调用任意地址的合约，让这种操作的风险变的很难度量，同时EVM的状态变更对用户和钱包都不友好，钱包很难通过状态变化对用户进行提示。??

而Move中解决这个安全挑战有两个方法：?

1.在预执行合约的时候把合约执行后的状态变更提示给用户，让用户可以知道这个交易操作了自己的哪些重要资产，以及执行后的结果。这个方法StarMask中已经实现，参看链接以及附图https://starcoin.medium.com/starmask-v4-6-

2.可能有部分合约可以通过设置条件，让一部分用户预执行的时候无法发现状态变更。@0xmetazen的分析https://twitter.com/0xmetazen/status/1582581013972414465，但Move中没有动态调用，合约在部署时，它的执行逻辑就是确定的。可以通过静态分析字节码，得到合约所有可能路径上操作的状态，在区块浏览器或钱包里提示给用户。??

EVM和Move的两种方案，带来的安全风险是不一样的。Approve方案的安全风险是把一个即时的授权变为长期授权，它的风险不是立刻发生的，比如合约漏洞未被发现或者恶意合约放长线钓大鱼。而一旦发生，用户往往很被动，很多用户可能都忘记授权过哪些合约了。?

而Move的方案给了合约更大的自由权，遇到恶意合约会有较大风险，但这种风险是即刻发生的，是可以通过技术手段来检测的。最坏的情况，至少前面冲的快到人趟坑了，可以给后面的人警示，恶意合约会快速暴露出来。

最后，世上没有银弹，不可能靠用了某种技术就解决了所有安全问题，需要链，工具，用户一起努力。?

对Move用户的安全建议：?

1.选用状态变更提示更完备的钱包，并尝试理解钱包的提示。?

2.不要随意和来源未知或未开源的DApp交互。?

3.如果做不到上面两点，可以等别人先趟一下坑。

Move在安全方面的挑战以及改进方案不仅仅是这些，我会在《为什么是Move》系列的安全篇里详述，想了解的朋友可以关注一下。??

标签：MOVEMOVSTAUSDMoveXmovez币归零StatusSDUSD

狗狗币热门资讯