Post

钱包显示的地址正确，网页代码仍可能在签名前被人换掉 以太坊基金会向Freedom of the Press Foundation提供资助，继续开发WEBCAT。它要解决的不是链上合约漏洞，而是浏览器前端被篡改：用户访问的域名和HTTPS都正常，服务器却可能下发与开发者公开版本不同的代码。 这种攻击特别危险，因为钱包看到的请求可能已经被网页动过手脚。收款地址可以被替换，授权内容也可能与界面展示不同。合约本身再安全，只要入口代码失守，用户仍会签下错误交易。 WEBCAT的思路，是让开发者为发布文件生成签名清单，浏览器或钱包在本地验证实际加载的代码是否匹配。金融安全不能只守链上，用户真正接触的是网页、插件和钱包。以后若能在签名前同时验证前端版本和交易意图，钓鱼攻击才会真正少一个入口。