在用了tpwallet这个护盾大半年时间以后, 发现它确实在把关钱包最薄弱的授权环节。但是必须指出的是, 它并不是那种万能的解药。
护盾的核心机制其实就是交易授权的白名单, 这个设定一旦好起来, 就只有那些被放行的合约账户才能把资产转走。我把这条白名单的范围给收紧了一些, 最后只保留了两个DApp作为允许的对象, 在模拟攻击的过程当中那些异常签名的行为直接被拦截下来了,然后推送通知的响应速度非常快基本上都不到三秒钟。
这里存在着一个很容易被大家所忽略掉的细节, 就是当你把主网切换了之后呢, 那个白名单它并不会自动地进行同步这个工作, 你必须得手动地去重新配置一下。
如果你经常都要在BSC还有以太坊这两个地方进行跳转的话, 那么每次去切换网络的那一会儿,花上十秒钟时间,一定要好好检查一下这个东西, 要不然的话前面所做的保护就全部都算是白费力气了。
那个所谓的护盾, 它并不是能够挡住钓鱼攻击去泄露你的私钥的, 同时它也识别不了那些存在恶意行为的代币本身。它真正处理解决的是被授权劫持这个问题, 这可以被认为是那种只是给盾牌做了补充而没有加固墙壁的做法, 就是属于补盾不补墙的情况, 所以只有把助记词好好地保管好, 这个护盾才能够兜得住底下的风险。
