jackygu's blog使用Session Key委托服务器安全的操作抽象账户
最近电报自动交易机器人和各种SocialFi很火，这些产品给用户带来了类似Web2的良好用户体验。但火爆的背后，也发生了多起安全事件。为此，很多新上线的平台开始使用更先进的账户安全技术来保护用户资产，比如@tomo_social使用了ERC-4337账户抽象技术，有些电报机器人采用了MPC钱包技术。 尽管账户抽象钱包（AA钱包）已经具备了零gas费（服务商代付gas费），多签，社交登录等强大功能，并大幅度提升用户体验，但是因为ERC-4337属于在现有以太坊共识基础上的补丁方案，与链交互签名时仍旧需要私钥，各种方案只是在私钥保存和签名环节采取各种安全措施。 所以，虽然很多代用户签名交互的电报机器人，SocialFi平台通过MPC钱包或AA钱包来保障客户的私钥安全，但实际上，因为最终还是要通过钱包主私钥来进行签名，本质上还是私钥的验证模式，所以仍旧有私钥泄露的风险。 今天看到AA钱包创新项目ZeroDev的Session Key(对话密钥)解决方案，可以让AA钱包授权生成一个或若干个Session Key（也是一种私钥），来受控的执行经授权的操作。这种授权模式有别于ERC-20或E...
jackygu's blogFERC20：一个更公平的ERC20方案
简介我们非常高兴地宣布，erc20.cash 上线了。这是一个更公平的的ERC20代币方案，我们将它命名为：Fair ERC-20，简称FERC20。 今年3月8日，BRC20代币在比特币链上通过Ordinals部署成功，在短短一两个月内吸引了大量关注和资金的参与。BRC20代币的成功得益于以下几个原因：简洁的Ordinals协议使得BRC20发行方无法在代币上做过多的编程，避免了在以太坊合约中各种安全风险和一些自私的设计。人人平等的铸币权。BRC20的发行方或项目团队，无法像在以太坊智能合约中通常做的那样，给自己或相关利益方预留一部分免费（低价）代币。在铸造BRC20时，所有人都站在同一起跑线上，即使发行方和团队也是如此。比特币的UTXO机制和低性能，让很多具有速度优势的智能合约机器人无法在比特币网络上工作，从而防止了通过技术手段获得比正常参与者更大的优势以及由此造成的不公平。上述原因使得BRC20对社区参与者来说，更公平，从而吸引了更多人参与。 但是，即使如此，有个非常有意思的现象是：大多数以太坊社区的成员尚未参与BRC20。 所以，我们想，是否能将BRC20的公平发售（Fa...
jackygu's blog关于使用合约批量铸造的原因分析与解决方案
Cirth.meme上线4天，各方面表现良好。但铸造代码中，发现存在使用合约来批量铸造的可能，这严重影响了公平铸造。 类似的交易记录见：https://etherscan.io/tx/0xa58e8039740892f59b25ec0e14ce63d3d5c62eba0b16cdcd61c65553d5c67874。原因社区提交上述交易后，经技术团队研究，复现了其操作，大概的方式为：写两个智能合约，一个为主控制合约，一个为铸造合约，在主控制合约中创建多个铸造合约，通过铸造合约伪造正常用户，去调用Cirth合约的mint方法。 下面是实现类似功能的智能合约源码：// SPDX-License-Identifier: MIT pragma solidity ^0.8.18; import "@openzeppelin/contracts/proxy/Clones.sol"; import "@openzeppelin/contracts/access/Ownable.sol"; interface IFERC721C { function mint(address to) exter...
jackygu's blog使用Session Key委托服务器安全的操作抽象账户
最近电报自动交易机器人和各种SocialFi很火，这些产品给用户带来了类似Web2的良好用户体验。但火爆的背后，也发生了多起安全事件。为此，很多新上线的平台开始使用更先进的账户安全技术来保护用户资产，比如@tomo_social使用了ERC-4337账户抽象技术，有些电报机器人采用了MPC钱包技术。 尽管账户抽象钱包（AA钱包）已经具备了零gas费（服务商代付gas费），多签，社交登录等强大功能，并大幅度提升用户体验，但是因为ERC-4337属于在现有以太坊共识基础上的补丁方案，与链交互签名时仍旧需要私钥，各种方案只是在私钥保存和签名环节采取各种安全措施。 所以，虽然很多代用户签名交互的电报机器人，SocialFi平台通过MPC钱包或AA钱包来保障客户的私钥安全，但实际上，因为最终还是要通过钱包主私钥来进行签名，本质上还是私钥的验证模式，所以仍旧有私钥泄露的风险。 今天看到AA钱包创新项目ZeroDev的Session Key(对话密钥)解决方案，可以让AA钱包授权生成一个或若干个Session Key（也是一种私钥），来受控的执行经授权的操作。这种授权模式有别于ERC-20或E...
jackygu's blogFERC20：一个更公平的ERC20方案
简介我们非常高兴地宣布，erc20.cash 上线了。这是一个更公平的的ERC20代币方案，我们将它命名为：Fair ERC-20，简称FERC20。 今年3月8日，BRC20代币在比特币链上通过Ordinals部署成功，在短短一两个月内吸引了大量关注和资金的参与。BRC20代币的成功得益于以下几个原因：简洁的Ordinals协议使得BRC20发行方无法在代币上做过多的编程，避免了在以太坊合约中各种安全风险和一些自私的设计。人人平等的铸币权。BRC20的发行方或项目团队，无法像在以太坊智能合约中通常做的那样，给自己或相关利益方预留一部分免费（低价）代币。在铸造BRC20时，所有人都站在同一起跑线上，即使发行方和团队也是如此。比特币的UTXO机制和低性能，让很多具有速度优势的智能合约机器人无法在比特币网络上工作，从而防止了通过技术手段获得比正常参与者更大的优势以及由此造成的不公平。上述原因使得BRC20对社区参与者来说，更公平，从而吸引了更多人参与。 但是，即使如此，有个非常有意思的现象是：大多数以太坊社区的成员尚未参与BRC20。 所以，我们想，是否能将BRC20的公平发售（Fa...
jackygu's blog关于使用合约批量铸造的原因分析与解决方案
Cirth.meme上线4天，各方面表现良好。但铸造代码中，发现存在使用合约来批量铸造的可能，这严重影响了公平铸造。 类似的交易记录见：https://etherscan.io/tx/0xa58e8039740892f59b25ec0e14ce63d3d5c62eba0b16cdcd61c65553d5c67874。原因社区提交上述交易后，经技术团队研究，复现了其操作，大概的方式为：写两个智能合约，一个为主控制合约，一个为铸造合约，在主控制合约中创建多个铸造合约，通过铸造合约伪造正常用户，去调用Cirth合约的mint方法。 下面是实现类似功能的智能合约源码：// SPDX-License-Identifier: MIT pragma solidity ^0.8.18; import "@openzeppelin/contracts/proxy/Clones.sol"; import "@openzeppelin/contracts/access/Ownable.sol"; interface IFERC721C { function mint(address to) exter...
Subscribe to jackygu's blog
Subscribe to jackygu's blog
Share Dialog
Share Dialog
<100 subscribers
<100 subscribers
2022年4月Telegram的MiniApp（之前为Web App，6.0版后改名为Mini App）上线，Mini Apps（简称 TMAs，中文名：小程序）很可能会变成一个类似于微信小程序的平台，使得Telegram 更接近一个“超级应用”。目前，电报小程序推出不久，版本还在快速迭代中，开发人员也较少，但电报庞大的用户群基础很可能会产生大量的小程序。
作为Web3的开发者，大多数应用都是前端和区块链直接交互，但电报bot只支持消息通过电报服务和bot所在的服务器进行交互，导致大量DAPP无法给到用户可靠的账户安全保障。电报小程序在电报应用中“嵌入”了Web前端应用，通过它与区块链和智能合约直接交互，将账户信息通过安全策略在本地进行保存，大幅度提高账户安全性。同时，将与区块链无关的业务逻辑通过bot与服务器进行交互，提高用户体验。
所以，Telegram+小程序+bot+智能合约的开发模式，可能会称为一种全新的Web3开发技术栈。事实上，从时间上看，电报小程序与TON链同时推出，也可能有这方面的用意。但是这种开发模式不仅仅适用于电报和TON链，更适用于用户量庞大的各种EVM链。
目前，尚未有中文教程对电报小程序做过系统介绍，笔者在开发过程中学习并翻译了官方开发文档如下。
因开发文档的API中有大量表格，而mirror暂不支持Markdown的表格，请点击下面链接，到我的主页查看翻译文档：
2022年4月Telegram的MiniApp（之前为Web App，6.0版后改名为Mini App）上线，Mini Apps（简称 TMAs，中文名：小程序）很可能会变成一个类似于微信小程序的平台，使得Telegram 更接近一个“超级应用”。目前，电报小程序推出不久，版本还在快速迭代中，开发人员也较少，但电报庞大的用户群基础很可能会产生大量的小程序。
作为Web3的开发者，大多数应用都是前端和区块链直接交互，但电报bot只支持消息通过电报服务和bot所在的服务器进行交互，导致大量DAPP无法给到用户可靠的账户安全保障。电报小程序在电报应用中“嵌入”了Web前端应用，通过它与区块链和智能合约直接交互，将账户信息通过安全策略在本地进行保存，大幅度提高账户安全性。同时，将与区块链无关的业务逻辑通过bot与服务器进行交互，提高用户体验。
所以，Telegram+小程序+bot+智能合约的开发模式，可能会称为一种全新的Web3开发技术栈。事实上，从时间上看，电报小程序与TON链同时推出，也可能有这方面的用意。但是这种开发模式不仅仅适用于电报和TON链，更适用于用户量庞大的各种EVM链。
目前，尚未有中文教程对电报小程序做过系统介绍，笔者在开发过程中学习并翻译了官方开发文档如下。
因开发文档的API中有大量表格，而mirror暂不支持Markdown的表格，请点击下面链接，到我的主页查看翻译文档：
No activity yet