Penerbit RWA dapat memaksa transfer pada saldo tersembunyi di bawah draft ERC-8424 Ethereum

Standar Ethereum rancangan bernama ERC-8424 diajukan untuk peninjauan pada hari Jumat. Penerbit aset dunia nyata (RWA) yang ditokenisasi dapat melakukan transfer paksa atas aset yang masih memiliki jumlah terenkripsi.

Permintaan pull ini dipublikasikan oleh Aryeh Greenberg, seorang pengembang OpenZeppelin yang menggunakan nama arr00 di repositori ethereum/ERCs.

ERC-8424 menambahkan dua pemeriksaan publik dan tiga fungsi privat ke ERC-7984

Standar Ethereum bernama ERC-7984 sudah ada untuk token privat yang menyimpan jumlah sebagai penunjuk terenkripsi. ERC-8424 dibangun di atas standar tersebut.

Rancangan ini juga memiliki dua pemeriksaan kelayakan dalam plaintext, satu pemeriksaan rahasia untuk melihat apakah suatu transfer diizinkan, sebuah angka rahasia yang menunjukkan berapa banyak saldo yang dapat dibelanjakan, dan transfer paksa yang hanya dapat digunakan oleh pihak yang berwenang.

Saat menentukan jumlah yang dapat dibelanjakan, pembekuan oleh penerbit, penguncian, jadwal vesting, dan jumlah yang dijaminkan harus diperhitungkan. Rancangan ini membatasi minting, burning, penghentian, dan pembekuan, namun tidak menjelaskan cara penerapannya.

Ada aturan tentang siapa yang dapat mentransfer dana dan berapa banyak yang dapat dikirim. “Penerbit dapat diwajibkan memindahkan aset tanpa persetujuan pemegang,” demikian juga ditulis dalam rancangan tersebut.

Dalam rancangan ditulis bahwa ERC-3643 dan ERC-7943 untuk token dengan saldo publik sudah menangani tugas-tugas ini.

Seorang peninjau memperingatkan adanya jalur panggilan 64-kali menuju jumlah terenkripsi yang dimiliki pemegang

Seorang peserta forum bernama zexoverz menemukan celah dalam rancangan ini di thread Ethereum Magicians pada Jumat pagi.

Pemeriksaan transfer dan fungsi saldo yang dapat dibelanjakan tidak membatasi siapa yang dapat memanggilnya, sehingga siapa saja bisa menyelidiki akun orang lain.

zexoverz mengatakan pencarian biner dapat menemukan saldo terenkripsi 64-bit paling lama dalam 64 panggilan, namun hanya jika pemanggil juga dapat mendekripsi hasilnya.

zexoverz menyebutkan bahwa fungsi saldo yang dapat dibelanjakan akan mengungkapkan saldo dalam satu kali panggilan.

zexoverz menyoroti bahwa kode OpenZeppelin ERC7984Freezable saat ini hanya memungkinkan pemegang akun melihat angkanya sendiri. Ia meminta agar aturan yang sama dimasukkan dalam spesifikasi.

Batas vesting dan saldo bergantung pada jumlahnya, sehingga transfer yang gagal di sana membocorkan apa yang diperingatkan bagian “Disclosure through reverts” dalam rancangan, tanpa mendekripsi apa pun, jelas zexoverz.

ERC-8424 masih merupakan rancangan dan membutuhkan satu kali peninjauan lagi dari editor Ethereum, yaitu g11tech, jochem-brouwer, samwilsn, atau xinbenlv.

abcoathup memberikan nomor 8424 pada rancangan tersebut pada hari Jumat dan mengganti nama thread forum agar sesuai.