Després d'una firma sospitosa identifica payload, approvals, sessions i moviment d'actius abans de destruir evidència o signar res més.
Aquest concepte importa perquè Risc clau: no tractis primer determina quina autoritat s'ha concedit com un detall irrellevant.
Inspecciona els camps exactes del protocol que creen autoritat o modifiquen l'execució. Compara aquests camps amb la intenció declarada i amb el límit de seguretat esperat.
Inspecciona els camps exactes del protocol que creen autoritat o modifiquen l'execució.
A nivell de protocol i execució, cal inspeccionar detect i scope i contain i preserve i prioritize. Els identificadors de protocol no es tradueixen perquè formen part del payload tècnic.
detectPunts tècnics d'inspecció
scopePunts tècnics d'inspecció
containPunts tècnics d'inspecció
preservePunts tècnics d'inspecció
prioritizePunts tècnics d'inspecció
Tracta les contradiccions, l'autoritat excessiva i les dependències no explicades com a senyals materials de fallada.
La conseqüència pràctica és que Acció: verifica l'evidència tècnica de primer determina quina autoritat s'ha concedit abans d'autoritzar. Desconegut no equival a segur.
Converteix cada senyal material en la conseqüència concreta sobre actius, autoritat o confiança.
La conseqüència pràctica és que Acció: verifica l'evidència tècnica de primer determina quina autoritat s'ha concedit abans d'autoritzar.
Escala quan l'evidència sigui contradictòria, incompleta o la conseqüència superi la política rutinària.
Verifica la sol·licitud amb evidència independent abans d'una autorització irreversible.
Inspecciona els camps exactes del protocol que creen autoritat o modifiquen l'execució.
Compara aquests camps amb la intenció declarada i amb el límit de seguretat esperat.
Verifica la sol·licitud amb evidència independent abans d'una autorització irreversible.
Registra fets, supòsits, incògnites i decisió perquè una altra persona pugui reproduir la revisió.
Escala quan l'evidència sigui contradictòria, incompleta o la conseqüència superi la política rutinària.
Registra fets, supòsits, incògnites i decisió perquè una altra persona pugui reproduir la revisió.
Risc clau: no tractis primer determina quina autoritat s'ha concedit com un detall irrellevant. i Acció: verifica l'evidència tècnica de primer determina quina autoritat s'ha concedit abans d'autoritzar.
Risc clau: no tractis primer determina quina autoritat s'ha concedit com un detall irrellevant.
identify suspicious eventwhat accounts/sessions/approvals affectedstop further authorityretain evidenceassets at immediate risk firstpanic transactions
evidence deleted
wallet remains connected
active approvals unknown
compromised device reused
freeze risky activity
capture transaction/signature evidence
disconnect sessions
enumerate approvals/assets
choose containment actions by exposure
fets → evidència material
evidència → conseqüència / autoritat
conseqüència → decisió explícita + acció següent
incident triage worksheetincident / triage
El 22 d'agost de 2023 Balancer va comunicar una vulnerabilitat crítica en alguns pools. L'Emergency SubDAO havia mitigat més del 80% de la liquiditat afectada i habilitat sortides proporcionals.
critical vulnerability in selected poolsmore than 80% of affected liquiditypause + proportional exitapproximately 4% of Balancer TVL at disclosureLa resposta a incidents comença abans de l'explotació quan l'evidència és creïble.
Quin llindar d'evidència activaria controls d'emergència i com classificaries actius mitigats, pausables i encara en risc?
unexpected Permit2 signatureunknownyespossiblenot enumeratedURL + timestamp + signature availableAbans de respondre, identifica l'autoritat concedida, el límit de confiança que pot fallar i la conseqüència irreversible.
Separa identitat, autoritat, execució i context abans de prendre una decisió de seguretat.
Qui o què sol·licita, rep o representa autoritat?
yesQuina capacitat es pot concedir, mantenir o exercir?
not enumeratedQuè farà realment el payload, la ruta o el sistema?
Quins fets de l'entorn poden canviar materialment la decisió?
unexpected Permit2 signatureunknownpossibleURL + timestamp + signature availableNo responguis de memòria. Utilitza el cas, els camps del protocol i el procediment de verificació anterior per escriure una troballa reproduïble.
Risc clau: no tractis primer determina quina autoritat s'ha concedit com un detall irrellevant.
Acció: verifica l'evidència tècnica de primer determina quina autoritat s'ha concedit abans d'autoritzar.
Registra el teu raonament abans del checkpoint i acaba amb una decisió o acció següent explícita. Les notes romanen en aquest dispositiu.
Desenvolupa les tres seccions abans de completar-lo.
Aquest mòdul aprofundeix resposta a incidents de wallet amb teoria aplicada i un laboratori propi.