APS di Alephium: eliminare i rischi di approvazione dei token EVM

Questo articolo esplorerà l’Asset Permission System (APS di Alephium) e discuterà i suoi miglioramenti di sicurezza rispetto al meccanismo di approvazione/concessione del token Ethereum Virtual Machine (EVM). APS è una soluzione flessibile e sicura per la gestione degli asset sulla blockchain di Alephium, che fornisce agli sviluppatori gli strumenti di cui hanno bisogno per creare applicazioni decentralizzate robuste e sicure.

traduzione in italiano dell’articolo pubblicato da alephium.org, link a fine articolo.

TL; DR

• Le approvazioni dei token di EVM, in particolare quelle illimitate, possono far perdere agli utenti il controllo sui propri asset ed esporre i propri portafogli agli hacker.
• L’APS di Alephium elimina il rischio di approvazione dei token di EVM, consentendo agli utenti e ai contratti di approvare i token su richiesta e nella stessa transazione.

Spiegazione dell’approvazione del token EVM

Gli asset di Ethereum sono gestiti da contratti. Quindi, ad esempio, se Uniswap vuole scambiare il token A con il token B, il possessore del token A dovrebbe prima approvare la sua spesa per il contratto del token A per Uniswap, e poi Uniswap avrà il permesso di fare lo scambio.

Il meccanismo utilizzato a questo scopo è solitamente chiamato Approvazioni, che consente ai possessori di token di autorizzare un altro account o smart contract a spendere una determinata quantità di token per loro conto.

Sebbene le approvazioni svolgano un ruolo cruciale in numerose applicazioni decentralizzate sull’EVM, presentano rischi critici per gli utenti:

• C’è spazio per scelte non sicure: Questo metodo lascia alla discrezione dell’utente quanto permetterà allo smart contract di spendere. L’utente può consentire una spesa infinita, lasciando una porta aperta per il prosciugamento dei suoi asset se un exploit compromette questo smart contract.
• Esperienza utente interrotta: in primo luogo, l’utente deve inviare una transazione per approvare un importo. E in seguito, eseguire il trasferimento che desidera. Se l’utente consente solo l’importo speso in quella particolare transazione, la prossima volta che interagirà con questo smart contract, tutti i passaggi saranno nuovamente necessari.

APS di Alephium

Comprendere il sistema di autorizzazione delle risorse di Alephium

L’APS di Alephium è progettato per fornire agli sviluppatori un modo flessibile e più sicuro per creare applicazioni sulla blockchain di Alephium. Una caratteristica importante della blockchain di Alephium è che non richiede un’approvazione separata specifica per gli asset. Invece, le risorse sono gestite da UTXO, che possono essere spesi utilizzando una transazione. Queste transazioni possono supportare TxScript.

Un TxScript (abbreviazione di script di transazione) è un pezzo di codice per interagire con gli smart contract. All’interno di questo codice, è possibile utilizzare l’APS per gestire come verranno spesi gli asset. L’APS può:

• Contrassegnare le funzioni con annotazioni per indicare in modo esplicito se sono necessarie risorse preapprovate o risorse del contratto (e verificare se l’annotazione è coerente con il codice);
• Garantire l’approvazione esplicita delle risorse per le funzioni che richiedono risorse e garantire che, al massimo, sia possibile spendere solo la quantità di risorse specificata in modo esplicito (ALPH e token).

Per esempio:

In questo esempio, le parentesi graffe definiscono in modo esplicito l’approvazione della risorsa, seguendo la notazione nell’immagine seguente.

Utilizzando l’APS, in combinazione con il modello UTXO, è possibile definire in anticipo tutte le omologazioni. In un’unica transazione, sia l’approvazione che il trasferimento degli asset vengono eseguiti seguendo le condizioni TxScript, con il risultato di un’esperienza utente più fluida e sicura.

In che modo il meccanismo di approvazione del token APS è diverso da quello dell’EVM?

L’APS basato su Alephium fornisce diversi strumenti per migliorare la sicurezza delle transazioni, generando molteplici vantaggi sia per gli sviluppatori che per gli utenti. Quando si confronta l’APS con il meccanismo di approvazione delle risorse di EVM:

• Flusso di risorse: In Ethereum, gli asset sono gestiti da contratti e le approvazioni devono essere pre-richieste separatamente, interrompendo il flusso di trasferimento. In Alephium, i fondi possono essere inviati (approvazione e trasferimento) utilizzando un’unica transazione. Contiene un TxScript che utilizza le funzioni APS, che gestisce il flusso di fondi insieme agli smart contract.
• Approvazione delle risorse: L’approvazione del token di Ethereum consente solo l’approvazione di un asset specifico. Ciò equivale a più approvazioni quando si utilizza più di un asset in una transazione. Al contrario, l’APS di Alephium consente la gestione delle risorse da più fonti.
• Funzioni integrate: L’APS di Alephium fornisce funzioni integrate per il commit degli asset e il loro utilizzo immediato, mentre Ethereum richiede l’approvazione esplicita e le chiamate di trasferimento.
• Esperienza utente: l’APS controlla tutta la gestione dei fondi su richiesta, quindi l’interazione manuale dell’utente con le dApp è limitata alla transazione che vogliono effettuare.

Che differenza fa l’APS?

La rimozione della transazione di approvazione del token nel flusso di gestione degli asset è un importante aggiornamento fornito dall’Asset Permission System di Alephium, poiché, sfortunatamente, diversi exploit e hack utilizzano questo tipo di transazione.

Ad esempio, le firme eth_sign vuote sono state utilizzate dagli hacker dopo aver indotto gli utenti a firmare transazioni in attacchi di phishing, autorizzandoli a svuotare i portafogli degli utenti. L’hack di Transit Swap è un altro esempio in cui tutti gli asset approvati per il trading su Transit Swap potrebbero essere trasferiti direttamente dai portafogli degli utenti all’indirizzo dello sfruttatore sconosciuto.

Questo tipo di attacco dimostra come l’APS di Alephium fornisca un ambiente più sicuro per sviluppatori e utenti, riducendo il vettore di attacco rimuovendo la transazione di approvazione, il rischio di perdita di fondi a causa delle vulnerabilità degli smart contract e migliorando l’esperienza dell’utente.

Conclusione

L’Asset Permission System (APS) di Alephium offre una soluzione più sicura e flessibile per eliminare i rischi di approvazione dei token di Ethereum. Controllando il flusso delle risorse, APS offre una maggiore sicurezza e un maggiore controllo sulle transazioni.

Con l’evolversi della tecnologia blockchain, innovazioni come APS aprono la strada ad applicazioni decentralizzate più sicure e robuste. Sia gli sviluppatori che gli utenti trarranno vantaggio da questo approccio migliorato alla gestione e alla protezione delle risorse digitali su Alephium.