TokenPocket消息签名安全使用指南

导读： 当前许多从事区块链钱包工作的人并不真正理解消息签名的含义，多数人仅认为其是身份确认。消息签名实际是用私钥“盖章”以证明操作真实性，但若不知所签内容，可能造成严重后果。例如，有人点击签名确认恶意合约，导致资金被盗。签名相当于主动开门让他人进入，即使未直接转账，授权行为同样危险。因此，必须明确签名内容，...

坦白讲, 当下从事区块链钱包相关事务的人数量众多, 然而切切实实能够弄明白“消息签名”究竟是什么东西的, 则为数不多。 句号。

你去询问十个人, 其中九个人都会讲“就是为了确认一下身份”, 而剩余的那一个人或许会直接扔给你一句话“别问, 按了就可以了”。

我告诉你，这种东西最容易出事儿。

消息签名, 简单来讲, 就是运用你的私钥去进行“盖章”这个行为, 以此证明整个这个操作是由你亲自实施完成的, 并非是被其他人所冒充去做的。

然而问题出现了, 你压根儿不清楚你所盖章的究竟是何种东西, 倘若盖的是一份卖身契该怎么办?

为什么消息签名跟转钱一样危险

很多人脑子里的想法是：我又没授权转账，只是签了个名，怕啥？

怕的东西多了去了。

我来列举一个实实在在发生过的事例, 有位男性在特定软件上点击了“签名进行确认”, 实际上却是对一个怀有恶意的合约给予了授权, 钱包里的泰达币被全部转走, 一点不剩。

你不是没转钱吗？

但签名等同于你主动把门打开，让别人进来搬东西。

比如说, 在街头, 有人叫你签名, 你那时自认为是明星, 然而签的却是借条, 到了次日, 债主就来到你家了。

我见过太多人因为这个栽跟头，骂天骂地骂钱包，其实怪谁呢？

自己不看清楚就瞎点。

TokenPocket这个工具, 其本身不存在问题, 它仅仅算作是一个壳, 重点在于实际发挥作用开展相关操作的, 乃是你的那个私钥。

在签名之际, 你所瞧见的那如同乱码这般的一串事物, 其背后很有可能隐匿着一条“transferFrom”指令, 此指令的含义即为“我准许你来拿走属于我的资产”。

你能看懂吗？

大部分人都看不懂。

看不懂就别乱点，这不是怂，是保命。

我知晓有个老是被割韭菜的人, 他讲说他从来都不会去点击任何“签名请求”, 除非那是经由他自己亲手书写而成的合约, 你讲讲这是不是会显得有那么一点儿极端呢?

但我倒觉得，极端点好，总比被清零强。

怎么辨别哪些签名能点哪些是坑

你别指望靠直觉，直觉在区块链面前就是个笑话。

要我说，最实在的办法就三条：第一，看来源。

你是不是主动进了那个DApp？

还是从某个群里的链接点进去的？

后者直接拉黑。

第二，看内容。

被称为消息签名的东西, 一般存在一个名为“Message”的字段, 要是在这个字段里, 直接要求你对某些内容进行签名, 还提到一个个内容, 比如这个、那个, 并且还伴随着一连串让人没法看懂的十六进制代码, 此时你最好停顿下来, 去思考一番。

第三，用冷钱包的隔离功能。

TokenPocket对硬件钱包予以支持, 当你展开签名操作时, 能够强制使得硬件钱包将你所签署的内容进行显示。

倘若硬件屏幕所呈现的内容, 跟你于手机之上目睹的情形存在差异, 那么这定是百分百的钓鱼情况。

我有个朋友，他就靠这招躲过一劫。

那次, 他点开一个看上去蛮正规的NFT项目, 当签名弹出之际, 硬件钱包上所显示的乃是“EIP - 71, 2 ”这种格式, 而内容全然不是他打算要签的那一个。

当时, 他, 骂了一句, “老子, 差点, 就当了, 冤大头”, 而后, 直接, 关了, 页面。

那项目后来被曝出来是钓鱼网站，多少人中招了，就他没事。

你说这是运气？

不，这是他听进去了我说的话。

别指望别人替你擦屁股，自己长点心比啥都强。