清晰签名：Cyfrin指出1inch存在隐藏字段

核心提要：2026年7月底：1inch Clear Signing 被指出存在多项高危漏洞审计公司 Cyfrin 在 2026 年 7 月底对 1inch Clear Signing（清晰签名）进行了审计，指出了几项严重级别的安全缺陷。具体而言，包括接收用户资金的目标合约地址在内的某些关键字段，并未显示在钱包屏幕上。截至 10

2026年7月底：1inch Clear Signing 被指出存在多项高危漏洞

审计公司 Cyfrin 在 2026 年 7 月底对 1inch Clear Signing（清晰签名）进行了审计，指出了几项严重级别的安全缺陷。具体而言，包括接收用户资金的目标合约地址在内的某些关键字段，并未显示在钱包屏幕上。截至 10 月 12 日，这些显示规则仍存在于公共注册表中，涵盖以太坊等 13 个网络上的 1inch V6 路由器。

核心要点摘要

覆盖范围：受审计的 1inch V6 路由器描述符覆盖了包括以太坊在内的 13 条区块链。高危发现：Cyfrin 在该描述符中发现了两项严重级别的问题，其中一项涉及标识接收您资金合约的地址字段。缺乏认证：注册表中没有任何 V6 路由器的描述符获得过审计签字确认。管理权移交：2026 年 5 月 12 日，Ledger 将 Clear Signing 的管理权移交给以太坊基金会。

Clear Signing 的起源：应对 Bybit 黑客攻击

2025 年 2 月，Bybit 遭遇了创纪录的黑客攻击，据美国联邦调查局（FBI）称，此次事件导致平台损失约 15 亿美元。FBI 也将此次盗窃归咎于朝鲜方面。根据 CertiK 的分析，Safe{Wallet} 界面显示的是一笔合法交易，但发送给 Ledger 进行签名的数据却有所不同。Bybit 的首席执行官甚至承认未在设备屏幕上验证这些数据。CertiK 将这种操作称为“盲签”。

Clear Signing 旨在解决这一问题。它将交易数据以清晰的文字形式翻译并显示在加密钱包的屏幕上。Ledger 于 2023 年推出了该技术，随后将其正式纳入 ERC-7730 标准提案。2026 年 5 月 12 日，该公司将其管理权移交给以太坊基金会。MetaMask、Trezor、WalletConnect 和 Cyfrin 均参与了相关工作组。

该系统依赖于被称为“描述符”（descriptors）的公开文件。每个描述符规定了钱包应显示哪些交易字段以及使用何种标签。如果某个字段被标记为“从不”，则永远不会出现在屏幕上。

接收资金的合约可能保持不可见

1inch 是一个去中心化交易所聚合器。Cyfrin 对其多个描述符进行了审计。编号为 2688 的工单涉及 V6 路由器的主要描述符。根据审计师的分类，该描述符确实包含两项严重级别发现和三项中等级别发现。

第一项发现涉及隐藏在屏幕上的 `clipperExchange` 参数。然而，该参数指定了接收用户资金的合约。该函数的调用者提供此参数。Cyfrin 指出，因此钱包会显示一个正常的兑换界面，而不显示接收资金的合约。

第二项严重发现针对同样被隐藏的 `args` 字段。在某些订单执行模式下，它可能包含接收购买资产的目标地址。审计师指出，用户可能会看到确切的金额，而资产却被发送到一个看不见的地址。

此外还有两项中等级别的发现也涉及显示问题。首先，订单金额始终显示为“待出售”金额，但在某种路由器模式下，它被视为“待购买”金额。其次，`permitAndCall` 函数掩盖了一种花费授权，该授权可能指定代币、授权spender地址、金额和有效期。最后，第三项中等发现与 Sourcify 尚未验证的部署有关。

13 个网络上的 1inch Clear Signing 状态未变

相关的编号为 2690 的工单涉及路由器的 zkSync 版本。这个九行的描述符指向与主版本相同的公共文件。维护人员于 9 月 22 日将其从注册表中移除，原因是验证问题。注册表使用的代码验证工具 Sourcify 尚无法验证 zkSync 的编译代码。因此，这次移除并没有修复显示规则。

然而，截至 10 月 12 日查阅的主分支注册表仍然包含这些规则。公共文件和主描述符目前日期为 2026 年 4 月 10 日。它们适用于包括以太坊、Arbitrum、Base、BNB Chain 和 Polygon 在内的 13 个网络上的 V6 路由器。前一个版本 V5 的描述符也在六个网络上隐藏了 `clipperExchange`。

第三份审计报告（编号 2689）涉及 EIP-712 格式的链下签名订单。该描述符隐藏了 `makerTraits` 字段。它可以包含订单的到期日期以及对执行订单的授权地址的限制。Cyfrin 也将此发现归类为严重级别。

认证并不能保证显示内容的语义准确性

注册表提供了一种保障措施，即“认证”（attestation）。ERC-8176 标准提案定义了这种机制，允许审计师对他们已审查的描述符进行签名。8 月 17 日，注册表纳入了 Cyfrin 对 181 个描述符的认证。

在 1inch 文件夹中，只有较旧的 V3 和 V4 路由器版本拥有认证。相比之下，V6 描述符没有。在审计报告 2689 中，Cyfrin 指出五个网络上缺少代码验证：“认证条件未满足”。ERC-8176 随后将选择信任哪些审计师的权力留给了每个钱包。

然而，即使经过认证，描述符也可能产生误导。ERC-8176 项目在其关于机制局限性的部分明确指出：签名验证并不验证语义准确性。

另一个局限性涉及可升级合约或代理。代理保留其地址，但其代码可以更改。9 月发布的一份分析列出了截至 9 月 5 日的 382 个代理相关描述符中的 80 个。维护人员随后选择保留它们，并在标准本身内解决这个问题。

Clear Signing 显示什么以及省略什么

注册表还修复了一些缺陷。9 月 25 日，一个补丁针对 Limit Order Protocol v2 限价订单的另一个 1inch 描述符。根据其消息，识别按签名类型的描述符的钱包无法应用它。因此，用户“盲目”地签署了这些订单。

对用户而言，可读的屏幕仅显示由描述符保留的字段。因此，收件人或到期日的缺失是不可见的。Cyfrin 建议显示这些字段或移除描述。在后一种情况下，钱包回退到原始签名，给人一种不清晰的印象。 consulted 的工单均未提及与这些描述符相关的用户损失。我们的指南详细介绍了其他可用的保护措施。

截至 10 月 12 日，注册表中仍存在的两个经审计的 V6 描述符保持不变。第三个涉及 zkSync 的描述符在未修正的情况下离开了注册表。对于 `makerTraits` 字段，Cyfrin 提出的修改方案仅修改了一行代码以使该字段可见。关于代理的问题，提案 1738 尚未整合进标准中。ERC-7730 的共同作者 Kaan Uzdoğan 在 GitHub 上表示，在批准之前等待进一步的审核。