近来以太坊上最火爆的领域就是DeFi。主要的DeFi应用包括ERC20代币的借贷、质押和交易。若想在Uniswap、Aave和Yearn等DeFi协议上使用ERC20代币，你需要授权dApp来使用这些代币。这就是所谓的?*ERC20授权*?。这些授权对于DeFi平台的运作来说必不可少，但是如果不加以控制，那将是非常危险的。
ERC20授权的必要性
有了以太坊上的原生代币ETH，你就可以将ETH发送至该智能合约，同时调用智能合约功能。这是通过所谓的可支付函数实现的。但是，由于ERC20代币本身就是智能合约，你无法通过直接将代币发送到智能合约来调用其函数。
因此，ERC20标准让智能合约使用?transferFrom()?函数代表用户转移代币。为此，用户需要允许智能合约代表他们转移代币。
这样一来，用户就可以将代币“存入”智能合约，同时智能合约会更新其状态来显示这笔存款。相反，如果你将ERC20代币发送至该智能合约，则合约不会更新其状态。
Solana中国区负责人Chris：Solana具有“无限扩容性”:5月11日，在以《跨界脑暴：眺望Solana生态大宇宙》为主题的AMA中，Solana中国区负责人Chris表示，一系列DeFi应用在Solana区块链上搭建，最终原因还是Solana优异的性能：既快速、又便宜，真正能实现五万TPS，同时性能还将随着硬件的更新迭代而扩展，可以说Solana具有“无限扩容性”。这也是SBF也曾在多个场合为Solana打call的原因。[2021/5/11 21:49:24]
例如，如果你将DAI“存入”Aave来赚取利息，你首先要允许Aave合约从你的钱包中取出一些DAI。然后你调用Aave合约里的函数，指定你想要存入的DAI的数量。然后，Aave合约使用?transferFrom()?函数从你的钱包中取出相应数量的DAI，并将同等数量的aDAI代币记入你的账户。
以太坊开发人员：MITH Cash代币合约存在无限铸币风险:以太坊开发人员Roman Semenov发推称，看起来所有的MITH Cash代币都有一个未经验证的所有者合约，该合约可以铸造无限数量的代币。
从技术上讲，代币的操作员地址是0x024976ed0e0e166f5f9f7e696f456798441352fe，但它完全由其所有者合约（0xc2395b979432d2c2125f357e46c4ec94baa6d35b）通过迁移功能控制。既然该项目吹嘘其10亿美元的总锁仓价值，应该尽快去验证合约，以确保没有后门。需要澄清的是，这不应该影响其他锁定在耕作池中的代币，只影响他们自己的现金/份额/债券代币。
据此前报道，尽管项目合约未经审计，MITH Cash在发布后五分钟内总锁仓价值（TVL）超过1亿美元，两个小时内达到4亿美元，然后在8.5小时内达到10亿美元。据悉，Mithril Cash是一种新算法稳定币。[2020/12/31 16:09:23]
无限ERC20授权的危害
现场 | 孔剑平：区块链会给大家带来想象不到的无限空间:金色财经现场报道，12月3日，嘉楠科技联席董事长孔剑平在“2019 CAN 万物互链·区块链与全球经济新格局”大会上表示：每一次经济的增长都是由技术驱动。新的技术和新的科技革命都会带来新的增长。区块链是一个重要的机会，区块链会给大家带来想象不到的无限空间。整个数字经济会成为未来经济的主要增长动力之一。数字资产如果从数字货币这一角度来说，可以将它分成三类：第一类是法定数字货币，相当于央行发行的DC/EP，这是能够引起全球央行的热潮，中国央行也是非常前沿的。第二类是跨主权数字货币，像Facebook的Libra。第三类是超主权数字货币，未来的超主权数字货币是什么我们不知道。当下是比特币，因为它相对来说比别的数字货币诞生更早，并且有一定的行业地位。
中国对区块链行业的政策就是支持技术创新，防范金融风险。从全球发展趋势来看，我概括为三个词“合规、创新、落地”。同时，区块链会带来“货币战争、算力战争、可信信用”。区块链ASIC芯片中国已经是阶段性领跑全球了。[2019/12/3]
将特定数量的ERC20代币存入合约时，你就可以选择将授权额设成这个数量。然而，许多应用会向用户要求无限授权。
分析 | EIDOS挖矿攻击分析: 黑客利用EOS系统帐号无限CPU功能恶意挖矿:今日凌晨02:53开始，PeckShield安全盾风控平台DAppShield监测到黑客向短帐号竞拍系统合约发起连续攻击，利用系统返回之前出价的操作进行恶意挖矿EIDOS，目前攻击仍在持续进行中。PeckShield安全人员分析发现，多名黑客帐号lklk11111111、learneosgood、juyhgdf1234u、 maymaymay111利用EOS系统短帐号竞拍的规则，竞价一些无人竞拍的短帐号，从 0.0001 EOS 开始出价，然后在系统帐号退回之前以较低的出价进行转账通知挖矿。由于黑客发起竞价的交易消耗CPU较少，而系统帐号拥有无限制的CPU资源，使得恶意帐号可以无限“偷取”系统的CPU进行挖矿。PeckShield在此提醒，EIDOS恶意挖矿攻击已经从DApp、交易所逐渐向EOS系统合约迁移，会进一步加剧EOS网络的拥堵情况，广大DApp开发者及交易所，应随时关注帐号CPU市场的变化，确保必要的操作可以执行。[2019/11/11]
这会带来极好的用户体验，因为用户不需要在每次存款时重新授权。设置无限授权后，用户只需要同意一次，之后存款时就不会再重复这一过程。
BitFlyer CEO：中国并没有禁止数字货币 只是无限期推迟了:日本数字货币交易所BitFlyer CEO Yuzo Kano说，全球数字货币监管将在即将召开的G20会议上提上日程，日本财政大臣麻生太郎将出席会议。Yuzo Kano还指出，“有控制数字货币的详尽规则会更好”，但也指出数字货币被禁止的可能性很小。在谈到中国??对于数字货币的打击时，Yuzo Kano说：“最近我和一位中国高级官员谈过话时，他告诉我，中国并没有禁止数字货币，它只是无限期地推迟了。”[2018/2/16]
但是，该设置存在很大的弊端。众所周知，即使是成熟的项目，也有可能存在漏洞。一旦你给了这些平台无限授权，不只是你的存款会陷入风险之中，你的钱包中的代币也是如此。
在Devcon5上，我第一次与PaulBerg谈到了这个问题。在这次大会上，Paul就本文所讨论的问题做了陈述。在开发Sablier时，Paul在他的智能合约中发现了一个漏洞，不仅所有存入该智能合约的DAI有风险，所有测试者的钱包中的DAI也是如此！
实际风险
长期以来，无限授权的风险主要是理论上的。在Paul所开发的Sablier平台正式上线之前，这个漏洞就被修复了。当时，还没有出现利用ERC20授权的攻击，但是只要平台继续要求无限授权，迟早会出状况。
去年，我们已经看到了几起利用ERC20授权的攻击事件。
意外漏洞
今年早些时候，Bancor出现了一个漏洞，危及用户资金。执行ERC20?transferFrom()?函数的函数变成了public属性，因此任何人都可以执行该函数，并取走用户钱包中的资金。Bancor执行了一次白帽黑客攻击，控制了损失，并将资金还给了用户。
恶意利用漏洞
除了Bancor的意外漏洞之外，还有很多恶意利用漏洞的情况。在今年夏天的DeFi热潮中，人们都在为各种以食物命名的DeFi分叉产品狂欢，其中也包括一些局。即使人们为了规避风险只存入少量代币，他们钱包中的代币也会因为无限授权而陷入风险。
ZenGo就在一个名为UniCats的项目中发现了可利用漏洞。人们可以存入Uniswap代币，然后通过流动性挖矿获得MEOW代币。但是如果要存款，用户必须提供?无限授权。如果项目遭到攻击，攻击者不仅可以拿走项目的存款，还可以拿走用户钱包内的所有UNI代币。
另一个例子是DegenMoney项目。DegenMoney项目采用了一种不怎么高明的办法。这个项目没有开发自己的智能合约，而是创建了一个前端来进行两次授权交易。一次是向一个运行中的智能合约，另一次是向完全不同的地址。
由于很多人没有专门检查钱包地址，这就导致攻击者可以取走用户钱包中的代币。
那硬件钱包呢？
总的来说，硬件钱包比手机、手提电脑和基于浏览器的钱包安全的多。原因是，控制资金的私钥安全地存储在硬件钱包中，并且永远不会离开该设备。因此，通过硬件钱包，你可以确保没人能窃取你的私钥。
ERC20授权的问题在于，没人需要窃取你的私钥才能从你的钱包中取走代币。因此，硬件钱包也无法防范本文所讨论的恶意利用漏洞问题。
使用硬件钱包依然是一种好习惯，因为硬件钱包确实能保护你免受其它漏洞攻击。但是，你需要注意的是，硬件钱包不能抵御授权漏洞和其它很多智能合约漏洞。
dApp开发者可以做些什么？
在Devcon的讲话中，Paul提到了一些关于无限授权问题的解决方案。这些方案各有优缺点。其中最实用的方案是即批即用模式。在这种模式下，应用只会要求用户授权确切的数额，而非不限额。
这种方案的用户体验确实会差一些，因为每当用户想要发送交易时，都需要发送一笔新的授权交易，不能再像无限授权那样一劳永逸。这个模式的缺陷是会增加交易费成本，如果交易费像去年那样暴涨，就会带来很大的麻烦。
另一种替代型方案是，可以让用户选择仅授权当下需要花费的数额，还是授权更高的数额以便后续进行更多交易。已经有多个项目采用这种策略，例如1inch.exchange和Curve.fi。
另一个减少交易成本的解决方案是，采用EIP2612之类的标准，让用户可以通过签署消息来设置其授权额度，无需再通过发送交易的形式。但是，这类标准并未得到广泛采用，而且围绕该标准打造的工具也不多。
用户可以做些什么？
由于ERC20授权是很多智能合约所不可或缺的部分，完全停止授权的方案并不可行。但是在可能的情况下，请尽量避免无限授权。
人们已经比一年之前更加了解这一问题，因此有些dApp可以让用户选择只授权当前需要花费的数额，但是大多数dApp依然不行。尽管如此，高端用户还可以通过Metamask的界面来降低其授权额度。
在使用dApp时，请你思考一下是否需要经常使用这个dApp，以及你是否信任这个项目，还是说你只会偶尔使用这个dApp，或者根本不信任这个项目。无论是哪种情况，你最好都要定期查看你的授权额度，并取消对不再使用的dApp的授权。
为便于检查并撤销这些授权，我开发了一种名为revoke.cash的工具。通过这个工具，你可以查看地址的代币余额和授权额度，之后就可以轻而易举地撤销或降低授权。类似的工具还有approved.zone等。
结论
许多去中心化应用的运行都离不开授权，但是无限授权通常并不利于安全性。2020年已经出现过几起利用ERC20授权的漏洞事件，人们对这个问题的认识比一年前深得多。作为一名用户，你可以采取一些措施来降低上文所述风险，包括定期查看并撤销多余授权。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。