Após assinatura suspeita, identifique exatamente o payload, approvals, sessões e movimentos de ativos antes de destruir evidências ou assinar algo novo.
Este conceito importa porque Risco-chave: não trate primeiro determine qual autoridade foi concedida como detalhe irrelevante.
Inspecione os campos exatos do protocolo que criam autoridade ou alteram a execução. Compare esses campos com a intenção declarada pelo usuário e com o limite de segurança esperado.
Inspecione os campos exatos do protocolo que criam autoridade ou alteram a execução.
No nível de protocolo e execução, deve-se inspecionar detect e scope e contain e preserve e prioritize. Identificadores de protocolo não são traduzidos porque fazem parte do payload técnico.
detectPontos técnicos de inspeção
scopePontos técnicos de inspeção
containPontos técnicos de inspeção
preservePontos técnicos de inspeção
prioritizePontos técnicos de inspeção
Trate contradições, autoridade excessiva e dependências não explicadas como sinais materiais de falha.
A consequência prática é que Ação: verifique a evidência técnica de primeiro determine qual autoridade foi concedida antes de autorizar. Desconhecido não equivale a seguro.
Converta cada sinal material na consequência concreta sobre ativos, autoridade ou confiança.
A consequência prática é que Ação: verifique a evidência técnica de primeiro determine qual autoridade foi concedida antes de autorizar.
Escale quando a evidência for contraditória, incompleta ou a consequência exceder a política rotineira.
Verifique a solicitação com evidências independentes antes de qualquer autorização irreversível.
Inspecione os campos exatos do protocolo que criam autoridade ou alteram a execução.
Compare esses campos com a intenção declarada pelo usuário e com o limite de segurança esperado.
Verifique a solicitação com evidências independentes antes de qualquer autorização irreversível.
Registre fatos, premissas, incógnitas e decisão para que outro analista possa reproduzir a revisão.
Escale quando a evidência for contraditória, incompleta ou a consequência exceder a política rotineira.
Registre fatos, premissas, incógnitas e decisão para que outro analista possa reproduzir a revisão.
Risco-chave: não trate primeiro determine qual autoridade foi concedida como detalhe irrelevante. e Ação: verifique a evidência técnica de primeiro determine qual autoridade foi concedida antes de autorizar.
Risco-chave: não trate primeiro determine qual autoridade foi concedida como detalhe irrelevante.
identify suspicious eventwhat accounts/sessions/approvals affectedstop further authorityretain evidenceassets at immediate risk firstpanic transactions
evidence deleted
wallet remains connected
active approvals unknown
compromised device reused
freeze risky activity
capture transaction/signature evidence
disconnect sessions
enumerate approvals/assets
choose containment actions by exposure
fatos → evidência material
evidência → consequência / autoridade
consequência → decisão explícita + próxima ação
incident triage worksheetincident / triage
Em 22 de agosto de 2023 a Balancer divulgou uma vulnerabilidade crítica em alguns pools. A Emergency SubDAO havia mitigado mais de 80% da liquidez afetada e habilitado saídas proporcionais.
critical vulnerability in selected poolsmore than 80% of affected liquiditypause + proportional exitapproximately 4% of Balancer TVL at disclosureResposta a incidentes começa antes do exploit quando há evidência confiável.
Qual limiar de evidência acionaria controles de emergência e como separar ativos mitigados, pausáveis e ainda em risco?
unexpected Permit2 signatureunknownyespossiblenot enumeratedURL + timestamp + signature availableAntes de responder, identifique a autoridade concedida, o limite de confiança que pode falhar e a consequência irreversível.
Separe identidade, autoridade, execução e contexto antes de uma decisão de segurança.
Quem ou o que solicita, recebe ou representa autoridade?
yesQue capacidade pode ser concedida, mantida ou exercida?
not enumeratedO que o payload, rota ou sistema realmente fará?
Quais fatos ao redor podem mudar materialmente a decisão?
unexpected Permit2 signatureunknownpossibleURL + timestamp + signature availableNão responda de memória. Use o caso, os campos do protocolo e o procedimento de verificação acima para escrever uma conclusão reproduzível.
Risco-chave: não trate primeiro determine qual autoridade foi concedida como detalhe irrelevante.
Ação: verifique a evidência técnica de primeiro determine qual autoridade foi concedida antes de autorizar.
Registre seu raciocínio antes da verificação e finalize com uma decisão ou próxima ação explícita. As notas permanecem neste dispositivo.
Desenvolva as três seções antes de concluir.
Este módulo aprofunda resposta a incidentes de carteira com teoria aplicada e um laboratório próprio.