Соучредитель Ethereum Виталик Бутерин сообщил, что всё чаще использует локальные инструменты командной строки вместо веб‑интерфейсов для определённых действий в Ethereum. В эссе, опубликованном 31 октября, Бутерин объяснил, что применил инструмент, созданный ИИ, для обновления хешей контента в Ethereum Name Service (ENS) и отдельный кошелёк командной строки для выполнения платежей через протоколы конфиденциальности. Этот переход отражает более широкую озабоченность по поводу безопасности, связанную с использованием сайтов, которые могут доставлять новое приложение каждый раз при посещении, создавая повторяющиеся риски.

Сохраняя локальные приложения, Бутерин утверждает, что пользователи могут контролировать, какие версии программного обеспечения они устанавливают и используют. Такой подход переносит решение о том, когда обновлять ПО, с сервера на отдельного пользователя, потенциально уменьшая поверхность атаки, связанную с динамическими веб‑окружениями. Однако этот метод вводит новые сложности, связанные с происхождением программного обеспечения и управлением зависимостями.

ETH / USD
Источник: CoinGecko. Цены ориентировочные.

Торговые компромиссы локального выполнения

Конкретный кошелёк, упомянутый Бутерином, kohaku-cli, описывается в документации как неаудированный и находящийся в активной разработке, с значительной частью кода, написанной с помощью ИИ. Разработчики проекта явно предупреждают пользователей не использовать инструмент в основной сети, если они не полностью понимают риски, включая возможность катастрофической потери средств. Это предупреждение относится к конкретному уровню приложения, а не к протоколам, таким как Tornado Cash или Railgun, которые поддерживает инструмент.

Согласно CryptoSlate, практическая выгода от использования локального интерфейса – возможность закрепить конкретную версию программного обеспечения. Однако это требует от пользователей управления собственной цепочкой поставок ПО. Процесс установки включает использование npm для установки зависимостей и сборки приложения, что означает, что пользователь должен доверять целостности разрешённых пакетов и инструментов сборки. Знакомое название проекта не гарантирует, что весь принят код безопасен, поскольку набор зависимостей и параметры сборки являются критическими факторами безопасности.

Сложности подписи транзакций

Внутренние механизмы kohaku-cli раскрывают нюансированные различия между публичными и приватными путями транзакций. Для стандартных публичных переводов можно выполнить симуляцию «сухой пробой» без отправки транзакции, что позволяет проверить её перед трансляцией. В отличие от этого, приватные операции, такие как разгашение Railgun, могут генерировать подготовленную UserOperation, уже подписанную, даже если трансляция отложена. Это означает, что отложенная отправка не обязательно предотвращает последующую публикацию подписанной операции совместимыми инструментами.