Nonce 重放保护

什么是 Nonce 重放保护？

Nonce 重放保护是一种安全机制，用于防止有效的加密交易、消息、Permit、授权或智能合约操作被重复使用。

Nonce 是一个旨在仅在特定场景中使用一次的数字或唯一值。

重放保护是指签名操作一旦使用，网络、钱包、合约或应用就会拒绝再次提交同一操作。

Nonce 重放保护至关重要，因为数字签名可以被完整复制。

如果用户签署交易或消息后，系统没有记录它是否已使用，攻击者就可能重放同一签名，再次执行同一操作。

重复操作可能再次转移资金、批准代币支出、执行智能合约调用、投票、领取奖励或触发授权。

Ethereum 的账户文档说明，Ethereum 账户包含一个 nonce 字段，每个账户中只能执行一笔具有给定 nonce 的交易。

该文档还指出，这种机制可以防止攻击者反复广播并重新执行已签名交易的重放攻击。

因此，Nonce 重放保护是让区块链签名能够用于处理真实价值的基础安全层之一。

Nonce 重放保护要点

• • Nonce 重放保护可防止同一已签名加密操作被重复接受。
  • Nonce 可以是顺序递增、随机、按域区分、按账户区分、按合约区分或按通道区分的值。
  • Ethereum 外部拥有账户使用顺序交易 Nonce，防止交易被重复执行。
  • EIP-155 将 Chain ID 纳入签名交易数据，以降低跨链重放风险。
  • EIP-712 类型化数据仍需应用层重放保护；如果合约不拒绝重复签名，类型化签名仍可能被重复提交。
  • ERC-2612 Permit 使用所有者 Nonce 和截止时间，防止代币授权签名无限期重复使用。
  • ERC-3009 使用随机生成的 32 字节 Nonce 和授权状态，防止已签名转账被重复执行。
  • ERC-4337 智能账户使用更灵活的 Nonce 设计，以支持账户抽象和并行工作流。
  • 重放保护还应将签名绑定到正确的链、合约、函数、用户、截止时间和预期操作。
  • Nonce 设计薄弱可能导致双重支付、重复授权、交易卡住、签名被盗后的损失、元交易失败和跨链重放攻击。

重放攻击为何会影响加密领域

重放攻击是指有人获取一个有效的已签名操作，并在仍接受该操作的场景中再次提交。

加密签名不同于纸面上的手写签名，因为它们可以被原样复制并重新广播。

如果某个已签名交易有效一次，而协议没有将其标记为已使用，同一交易就可能再次有效。

这很危险，因为区块链通常会将有效签名视为授权。

重放转账可能再次转移资金。

重放授权可能再次赋予支出权限。

重放奖励领取操作可能耗尽奖励池。

如果合约没有记录投票状态，重放治理投票可能扭曲决策结果。

重放 Bridge 消息可能导致资产被错误铸造或释放。

Nonce 重放保护会将可重复使用的签名变成一次性授权。

Nonce 如何阻止重放

Nonce 通过确保每个已签名操作都是唯一且可跟踪的，来阻止重放。

用户签署操作时，Nonce 会包含在签名数据中。

操作执行时，协议会检查 Nonce 是否有效且未被使用。

如果检查通过，操作就会执行，而 Nonce 会被消耗、递增或标记为已使用。

如果有人再次提交相同的已签名操作，Nonce 检查就会失败。

签名在数学上仍可能有效，但系统会因为 Nonce 已被使用而拒绝该操作。

这一区别很重要。

签名有效性可以证明用户授权了某条消息。

Nonce 的时效性可以证明这项授权尚未被使用。

安全系统两者都需要。

顺序 Nonce

顺序 Nonce 是一种每次接受操作后都会递增的计数器。

Ethereum 外部拥有账户在普通交易中使用这种模式。

如果账户的 Nonce 为 10，那么该账户的下一笔有效交易通常需要使用 Nonce 10。

该交易被打包后，下一笔有效交易需要使用 Nonce 11。

这样可以防止账户中两笔具有相同 Nonce 的不同交易都被执行。

它还会形成顺序，因为通常无法在填补较早 Nonce 之前处理较晚的 Nonce。

对于普通账户交易，顺序 Nonce 简单且有效。

但在元交易、批量工作流、多设备、自动化会话和账户抽象系统中，顺序 Nonce 可能不够方便。

因此，有些较新的设计采用随机 Nonce、Nonce 通道或应用专属的 Nonce 映射。

随机 Nonce

随机 Nonce 是随机生成而非通过递增计数得到的唯一值。

如果不需要严格的交易顺序，签名授权和元交易系统通常会使用随机 Nonce。

ERC-3009 使用随机生成的 32 字节 Nonce，并使其与授权方地址关联。

ERC-3009 标准定义了授权状态函数及相关事件，用于记录授权 Nonce 是否已使用或取消。

这种模式允许多个彼此独立的签名授权同时存在。

它避免了一个待处理的顺序 Nonce 阻塞后续授权的问题。

其代价是合约必须存储或检查已使用的随机 Nonce，确保同一授权不会被重复执行。

随机 Nonce 需要可靠的随机性。

如果 Nonce 可预测或意外重复使用，重放保护就可能减弱。

账户 Nonce

账户 Nonce 用于保护来自同一账户的交易。

对于外部拥有账户，Nonce 有助于使每笔交易唯一，并控制交易顺序。

如果用户发送两笔具有相同账户 Nonce 的交易，正常情况下只能有一笔被纳入区块。

另一笔可能被拒绝、替换，或因网络和费用规则而继续处于无效状态。

因此，钱包需要谨慎跟踪下一个账户 Nonce。

如果钱包使用的 Nonce 太低，该交易可能已被使用并会失败。

如果钱包使用的 Nonce 太高，该交易可能需要等到缺失的较早 Nonce 被确认后才能处理。

如果用户以更高手续费广播使用同一 Nonce 的替换交易，该交易可能根据节点策略取代先前的待处理交易。

账户 Nonce 可以防止重放，但也会带来实际的交易管理问题。

用户可能会遇到交易卡住、待处理队列、替换交易或尝试取消交易等情况。

Chain ID 重放保护

Chain ID 重放保护可防止某条链上的已签名交易在使用相似交易格式的另一条链上生效。

链分叉出现后，以及 EVM 兼容网络数量增加后，这项保护变得尤为重要。

EIP-155将 Chain ID 添加到 Ethereum 的签名交易数据中。

其目的是让交易在一条链上有效，而在使用不同 Chain ID 的另一条链上无效。

如果没有这项保护，某条链上广播的交易可能被复制到另一条链并提交，前提是账户、Nonce 和交易格式均匹配。

Chain ID 重放保护与账户 Nonce 重放保护并不相同。

账户 Nonce 可防止同一笔交易在同一条链上重复执行。

Chain ID 则有助于防止同一笔已签名交易在另一条链上使用。

可靠的重放保护通常需要两者兼备。

域分离

域分离是指将签名绑定到特定的签名上下文。

该上下文可以包括 Chain ID、合约地址、协议名称、版本、函数类型、用户地址、Nonce 和截止时间。

EIP-712定义了类型化结构化数据签名，并包含名称、版本、chainId 和 verifyingContract 等域字段。

域分离有助于防止某个应用的签名被另一个应用接受。

例如，用户可能想为某条链上的一个合约签署消息。

如果签名未包含链和验证合约信息，其他合约或链就可能将其视为有效。

这会带来重放风险，因为同一签名可能跨上下文使用。

Nonce 可阻止在同一上下文中重复使用。

域分离则有助于阻止签名在错误的上下文中使用。

安全的链下签名需要这两种控制。

EIP-712 消息中的 Nonce 重放保护

EIP-712 让钱包和用户更容易理解消息，但不会自动确保每条签名消息只能使用一次。

EIP-712 的安全章节提醒，应用必须正确处理同一签名消息被重复提交的情况。

这意味着合约或应用必须拒绝重复的已签名消息，或确保重复操作不会造成额外影响。

类型化消息可以包含 Nonce，但接收该消息的合约必须检查并消耗该 Nonce。

类型化消息可以包含截止时间，但必须在链上强制执行。

类型化消息可以包含验证合约，但合约必须正确验证域分隔符。

类型化数据可以提高可读性，但本身并不能提供重放保护。

重放保护取决于完整的设计。

安全的 EIP-712 流程会结合域分离、Nonce 跟踪、签名验证、操作绑定和截止时间检查。

缺少任何一项，都可能带来重放风险。

ERC-2612 Permit 中的 Nonce 重放保护

ERC-2612 Permit 允许代币所有者通过签名消息批准代币支出，而不必直接在链上提交批准交易。

这可以改善用户体验，因为其他方可以代表所有者提交已签名的 Permit。

ERC-2612 标准要求提供 Nonce 函数，并规定 Permit 成功后必须递增所有者的 Nonce。

该标准还指出，提供 Nonce 映射是为了实现重放保护。

这可以防止同一 Permit 签名被重复使用。

ERC-2612 还包含截止时间参数。

截止时间限制了已签名 Permit 的有效时长。

这一点很重要，因为收到 Permit 的中继方可以选择在到期前何时提交。

较短的截止时间可以降低旧签名日后被使用的风险。

如果 Nonce 和截止时间处理不当，Permit 可能带来严重的代币授权风险。

ERC-3009 中的 Nonce 重放保护

ERC-3009 是一种基于签名的代币转账授权模式。

代币持有者无需先批准支出方，而是签署针对特定转账的授权。

随后，合约会检查签名、有效时间范围和 Nonce，再执行转账。

ERC-3009 使用 authorizationState 映射来跟踪 Nonce 是否已使用。

成功执行转账授权后，该标准会将 Nonce 标记为已使用。

这样可以防止同一笔已签名转账被再次执行。

部分实现中的 ERC-3009 也支持取消授权。

它包含 validAfter 和 validBefore 字段，用于定义授权的有效时间。

这种设计适用于免 Gas 或由中继方代为提交的代币流程。

它也说明了重放保护不只是一个计数器。

安全的授权应包含唯一 Nonce、有效时间范围、明确的收款人、确切金额和正确的域。

ERC-4337 智能账户中的 Nonce 重放保护

ERC-4337 通过 UserOperation 和智能合约账户实现账户抽象。

ERC-4337 标准将 UserOperation Nonce 定义为防重放参数。

它还要求签名依赖 Chain ID 和 EntryPoint 地址，以防止跨链重放或跨多个 EntryPoint 重放。

ERC-4337 使用半抽象化的 Nonce 模型。

Nonce 可以视为由一个 Key 和一个序列号组成。

这使智能账户能够支持多个 Nonce 通道。

例如，钱包可以为普通交易使用一个通道，为管理操作使用另一个通道。

这样，账户抽象可以支持并行工作流，同时保留重放保护。

这种设计比单一顺序 Nonce 更灵活。

但更高的灵活性也意味着钱包开发者必须谨慎管理 Nonce 通道。

Nonce 通道

Nonce 通道是一条独立的 Nonce 值流。

Nonce 通道不再强制账户的所有操作都按同一个序列排列，而是允许不同类别的操作分别递进。

这适用于智能账户、会话密钥、自动付款、订阅、恢复操作、游戏操作和插件式钱包。

例如，用户可以将一个通道用于日常支出，另一个用于恢复操作。

恢复通道中的交易不应阻塞日常支出通道中的交易。

Nonce 通道可以提高灵活性和用户体验。

但如果钱包没有清楚显示通道信息，也可能增加复杂性。

如果钱包使用了错误的通道，操作可能失败或造成意料之外的顺序。

如果合约未能正确验证通道，重放保护就可能不完整。

只有当规则易于理解时，Nonce 通道才真正有用。

智能合约的重放保护

智能合约通常需要自己的 Nonce 重放保护，因为普通账户 Nonce 无法保护所有合约层授权。

如果合约接受签名，就必须判断该签名是否已经使用。

例如，空投领取合约可以使用映射标记用户是否已领取。

治理合约可以记录某个投票地址是否已经对提案投票。

Permit 合约可以为每个所有者存储 Nonce。

Bridge 合约可以存储已处理的消息 ID。

市场式托管合约可以存储已成交或已取消的订单哈希。

这些都属于重放保护。

具体的数据结构可能不同，但目标相同。

合约必须防止同一授权重复触发状态变更。

Bridge 的重放保护

Bridge 需要强有力的重放保护，因为它们会跨链转移价值或消息。

Bridge 消息可能表示资产已在一条链上锁定，需要在另一条链上铸造或释放。

如果同一条 Bridge 消息可以处理两次，目标链就可能释放过多资产。

Bridge 重放保护通常会使用消息 ID、源链 ID、目标链 ID、源合约地址、序列号和已处理消息映射。

目标合约应将每条有效消息标记为已处理。

如果再次提交同一消息，合约应予以拒绝。

由于不同链可能使用相同的地址格式、代币代码和智能合约接口，跨链重放风险更高。

Bridge 必须将每条消息绑定到预期的源链、目标链、Bridge 合约、发送方、接收方、金额和 Nonce。

Bridge 重放保护薄弱可能导致错误铸币、资金损失或系统性流动性风险。

元交易的重放保护

元交易是由其他方提交的已签名用户指令。

用户在链下签名，再由中继方在链上提交交易。

这可以让应用更易使用，因为用户可能无需直接使用原生资产支付 Gas 费。

元交易需要谨慎设计 Nonce 重放保护。

如果已签名指令可以重复提交，中继方或攻击者就可能重复执行操作。

如果用户同时在不同应用中签署多笔元交易，顺序 Nonce 可能造成问题。

随机 Nonce 或按应用划分的 Nonce 空间可以减少此类冲突。

截止时间可以降低旧签名指令带来的风险。

域分离可以防止某个应用的元交易签名被用于另一个应用。

元交易安全性与重放保护同样依赖签名验证。

钱包登录消息的重放保护

许多加密应用会要求用户签署消息，以证明其拥有某个钱包。

登录、账户关联、资料更新和链下身份验证中常见这种做法。

登录签名应包含由服务器生成的 Nonce 或挑战值。

成功登录后，服务器应将该挑战值标记为已使用。

在适用情况下，消息还应包含域名、链、签发时间、到期时间和预期操作。

如果登录消息没有新鲜的挑战值，攻击者可能重放旧签名来冒充用户。

如果登录消息没有包含正确的域名，一个网站的签名可能被用于另一个网站。

钱包登录通常发生在链下，但仍需要重放保护。

证明钱包所有权的签名不应变成可永久重复使用的密码。

安全性更高的登录签名应当具体、时效性强、权限有限且易于阅读。

治理的重放保护

治理系统需要重放保护，以确保投票和委托不会超出预期次数被计入。

投票合约可以记录某个地址是否已对某项提案投票。

基于签名的委托合约可以使用 Nonce，防止同一委托签名被重复使用。

提案执行系统可以在成功执行后将提案标记为已执行。

如果治理决策需要同步到多个网络，跨链重放保护也很重要。

除非明确有此设计目的，否则为一条链签署的治理消息不应自动在另一条链上执行。

治理重放漏洞可能造成严重后果，因为它们可能更改协议参数、转移金库资金、升级合约或改变风险控制措施。

优秀的治理合约会谨慎处理提案 ID、Chain ID、合约地址、投票期、Nonce 和执行状态。

只有当系统有意允许在截止时间前修改投票时，投票才应能够重复提交。

即便如此，最终计票规则也必须清晰。

空投和奖励领取的重放保护

空投和奖励领取合约通常会使用重放保护，防止用户重复领取。

简单的领取系统可以通过映射记录每个符合资格的地址是否已领取。

Merkle 空投可以验证用户的证明，再将该地址或领取索引标记为已使用。

基于签名的奖励领取可以包含 Nonce、领取 ID、活动 ID、截止时间和用户地址。

如果没有重放保护，有效领取证明就可能被重复使用，直到奖励池被耗尽。

重放保护还应考虑活动之间的隔离。

活动 A 的领取签名不应适用于活动 B。

除非有明确设计，否则某条链上的领取操作不应适用于另一条链。

针对一种代币的领取操作不应授权领取另一种代币。

优秀的领取设计会将证明绑定到正确的用户、活动、链、代币、金额和 Nonce。

重放保护与截止时间

截止时间是已签名授权的有效期限制。

截止时间不能取代 Nonce，但可以缩短被盗或延迟提交的签名可被利用的时间。

ERC-2612 Permit 使用截止时间字段。

ERC-3009 使用 validAfter 和 validBefore 字段。

ERC-4337 UserOperation 可以通过验证数据设置有效时间范围。

如果用户向中继方或应用提供签名，而接收方可以自行决定何时提交，截止时间尤其有用。

如果没有截止时间，旧的已签名授权可能在远超用户预期的时间内保持有效。

设置截止时间后，签名会在规定时间后失效。

较短的截止时间可以提高安全性，但网络拥堵时也可能增加交易失败的概率。

最佳截止时间取决于操作价值、风险、紧迫性和预期结算时间。

重放保护与幂等性

幂等性是指重复执行同一操作，最终效果与只执行一次相同。

EIP-712 指出，应用应拒绝重复的已签名消息，或确保授权操作具有幂等性。

例如，将用户资料名称设为相同值两次，可能不会造成损害。

但重复转出 100 枚代币就有害无益。

重复批准支出方可能有害，也可能无害，具体取决于金额和当前授权额度。

如果两次治理投票都计入，重复投票就可能造成损害。

如果用户重复领取奖励并获得双倍奖励，重复领取就会造成损害。

设计者应决定是拒绝重复执行，还是让重复操作不产生额外影响。

大多数涉及价值转移的操作都应拒绝重复执行。

幂等性可以用于低风险状态更新，但不应草率地用于金融操作。

重放保护与签名绑定

签名应绑定到用户确切想要执行的操作。

这意味着签名消息应包含接收方、金额、代币、合约、Chain ID、函数用途、Nonce、截止时间和其他重要参数。

如果签名只批准模糊不清的权限，攻击者就可能在更广泛的场景中重复使用该签名。

如果签名只包含数字而不包含代币地址，它就可能被解释为针对错误的代币。

如果签名只包含目标地址而不包含 Chain ID，它就可能在另一条链上被重放。

如果签名只包含用户地址而不包含合约地址，其他合约就可能接受它。

签名范围越窄，重放保护就越强。

范围明确的签名会清楚说明允许执行什么操作，不会授权其他操作。

范围过宽的签名则会增加重放、滥用和用户困惑的空间。

钱包应在用户签名前清楚显示这些信息。

重放保护与网络钓鱼

Nonce 重放保护无法完全防止用户遭遇网络钓鱼。

如果用户使用有效 Nonce 签署了恶意消息，攻击者仍可能使用该消息一次。

Nonce 可能会阻止重复使用，但第一次使用仍可能造成损害。

例如，钓鱼网站可能诱导用户签署 Permit，从而授予代币支出授权。

该 Permit 可能包含有效 Nonce 和截止时间。

一旦提交，攻击者仍然可以使用这项有效授权一次。

重放保护可以防止重复执行，却无法阻止恶意意图。

用户仍需检查签署内容。

钱包仍需显示清楚、易懂的警告。

合约仍需将签名权限限制在特定操作之内。

重放保护与抢先交易

抢先交易是指其他方看到某笔交易或签名后，先行提交自己的交易。

Nonce 重放保护可以通过限制签名只能使用一次来控制损失。

不过，它并不总能阻止抢先交易者成为第一个使用签名的人。

ERC-2612 指出，其他方可能在预期提交者之前抢先调用 Permit，但最终授权效果对签名者而言可能相同。

ERC-3009 包含 receiveWithAuthorization，以通过确保收款人与调用方一致来减少某些抢先交易问题。

这说明重放保护和抢先交易保护有关联，但并不相同。

Nonce 可以防止重复执行。

抢先交易控制则决定谁有权提交或从第一次执行中获益。

高价值签名应绑定接收方、设定截止时间，并明确具体函数用途。

设计者不应认为仅检查 Nonce 就能解决所有内存池攻击。

重放保护与跨合约重复使用

跨合约重放是指为一个合约签署的签名被另一个合约接受。

如果签名数据未包含验证合约地址，就可能发生这种情况。

EIP-712 通过在域中包含 verifyingContract 来帮助降低此类风险。

ERC-2612 建议使用对合约和链均唯一的域分隔符。

如果多个合约使用相同的签名模式，却未在域中包含合约专属信息，也可能发生跨合约重放。

例如，如果签名数据过于通用，两个代币合约都可能接受类似 Permit 的消息。

用户可能想批准一种代币，但同一签名却可能被另一种代币解释并接受。

因此，绑定合约地址至关重要。

有效签名不应能在不同合约之间随意流通。

它应属于一个确切的验证域。

重放保护与跨链重复使用

跨链重放是指为一条链签署的交易或消息被另一条链接受。

EIP-155 通过将 Chain ID 添加到签名交易哈希中，降低了 Ethereum 风格交易的此类风险。

EIP-712 类型化数据也支持在签名域中加入 chainId。

如果签名数据遗漏 Chain ID，应用层消息仍可能发生跨链重放。

例如，如果链上下文很重要，Bridge、DAO、代币 Permit 或登录签名就应指定目标链。

对于 EVM 兼容网络，Chain ID 尤其重要，因为不同链上的地址和合约字节码可能看起来相似。

用户可能在多条链上控制同一个地址。

通过确定性部署，合约可能在多条链上部署于同一个地址。

如果没有链绑定，签名就可能在不同链之间危险地通用。

安全设计会明确指定链。

重放保护与交易替换

交易替换是指用户使用相同账户 Nonce 并提高费用，广播一笔新交易来替换待处理交易。

交易替换本身并不是重放攻击。

这是许多 Ethereum 风格交易流程中的常见交易管理方式。

关键在于，最终只能执行一笔使用该 Nonce 的交易。

用户可以用一笔速度更快的交易替换较慢交易。

用户也可以用相同 Nonce 向自己发送一笔零价值交易，以取消待处理交易。

替换交易必须遵循网络的费用提高规则，才能被节点接受。

Nonce 重放保护使交易替换具有意义。

Nonce 会迫使网络在该序列位置上选择一笔交易。

用户应谨慎操作，因为替换错误的 Nonce 可能会取消或取代仍希望执行的操作。

重放保护与卡住的交易

手续费较低的交易长时间处于待处理状态时，可能发生交易卡住的情况。

如果该交易使用下一个必需的 Nonce，同一账户后续交易也可能被它阻塞。

这是顺序 Nonce 的一种副作用。

正常交易排序中，账户无法跳过缺失的 Nonce。

用户可能需要通过提交一笔使用相同 Nonce 的替换交易来加速或取消卡住的交易。

钱包通常会自动管理这些情况，但手动设置 Nonce 可能造成困惑。

如果用户设置的 Nonce 过高，交易可能要等到较早的 Nonce 被填补后才能确认。

如果用户设置的 Nonce 过低，交易可能因为该 Nonce 已被使用而失败。

Nonce 重放保护可以保护账户，但也要求谨慎处理交易顺序。

高级用户手动修改交易 Nonce 前，应先了解当前 Nonce 状态。

重放保护与会话密钥

会话密钥是只能在一段时间内授权特定操作的受限密钥。

它们适用于游戏、订阅、自动化策略和账户抽象钱包。

由于会话密钥可能签署大量小额操作，因此需要强有力的 Nonce 重放保护。

会话密钥授权应包括允许调用的函数、支出上限、目标合约、过期时间、Chain ID 和 Nonce 规则等限制。

如果没有 Nonce 保护，截获会话密钥签名的攻击者可能反复重放该签名。

如果操作限制不足，会话密钥的权限可能过大。

Nonce 通道可以帮助将会话密钥操作与主钱包操作分开。

这样可以改善用户体验，同时保留重放安全性。

会话密钥应便于撤销。

其权限范围也应足够明确，以限制重放造成的损害。

重放保护与多签钱包

多签钱包同样需要重放保护。

多签交易通常包含内部 Nonce，用于跟踪已经执行的钱包操作。

签名者会批准一个特定交易哈希，其中包含钱包 Nonce 和操作详情。

多签执行交易后，Nonce 会递增，或该交易哈希会被标记为已执行。

这样可以防止同一组签名被再次用于重复执行同一操作。

多签重放保护应将签名绑定到钱包地址、Chain ID、目标地址、价值、数据、操作类型和 Nonce。

如果多签钱包部署在多条链上，跨链重放保护尤其重要。

签名者批准前应确认链和钱包地址。

不能仅仅因为有多人签名，就认为多签签名一定安全。

签名载荷仍必须具体且能够防止重放。

重放保护与预言机

预言机系统可能会签署价格更新、数据证明、储备报告、随机数结果或跨链消息。

这些签名数据包需要重放保护。

过期的价格更新不应被无限期接受。

某轮游戏的随机数结果不应在另一轮游戏中重复使用。

过期后，储备证明不应仍可被重放。

在适当情况下，预言机消息应包含数据源 ID、轮次 ID、时间戳、序列号、Chain ID 和目标合约。

合约应拒绝过期或已经使用的预言机消息。

重放保护至关重要，因为智能合约可能会根据预言机数据自动执行操作。

如果旧数据可以被重放，强平、结算、铸造、赎回或支付就可能出错。

预言机数据时效性和 Nonce 控制都是智能合约安全的一部分。

签名正确还不够，数据也不能过时或重复使用。

重放保护与代币授权

代币授权是重放保护最敏感的领域之一。

普通链上授权使用交易的账户 Nonce 并更新授权额度状态。

签名 Permit 使用合约级 Nonce 和截止时间，使所有者无需直接提交交易即可授权。

如果 Permit 签名可以重放，支出方可能在用户认为授权已经失效后重新获得授权额度。

如果 Permit 遗漏支出方、代币、金额、Nonce、截止时间或域信息，签名就可能被滥用。

用户应将已签名授权视为重要的资金授权。

钱包应清楚显示支出方、代币、金额、截止时间和应用。

合约应立即拒绝已使用的 Permit Nonce。

除非确有必要，应用应避免请求无限额授权。

具备重放保护的授权设计可以降低常见的钱包盗取攻击风险。

重放保护与智能合约升级

可升级合约会带来额外的重放保护问题。

如果合约升级，除非域版本、Nonce 逻辑或验证规则发生变化，否则旧签名可能仍然有效。

EIP-712 在签名域中加入版本字段，原因就在于此。

重大合约升级时，应评估旧授权是否仍然安全。

如果升级后旧签名不应继续有效，合约可能需要采用新的域版本或 Nonce 失效机制。

如果旧签名应继续有效，升级就必须正确保留 Nonce 状态。

迁移 Nonce 状态时处理不当，可能导致旧签名被重放，或使有效签名无法使用。

升级计划应涵盖签名迁移、域变更、Nonce 存储布局和用户沟通。

重放保护不只是部署时需要考虑的问题。

它还必须经得住升级和迁移。

重放保护与分叉

如果分叉后的两条链都接受相同的交易格式和状态，链分叉就可能造成重放风险。

如果用户在两条分叉链上持有相同私钥，且账户状态也相同，一条分叉上的交易就可能被重放到另一条分叉上，除非双方的保护机制有所区别。

EIP-155 Chain ID 保护旨在降低 Ethereum 交易的此类风险。

不过，应用层签名仍需要绑定链信息。

如果链上下文不清晰，分叉前或分叉后签署的 Permit、治理投票、Bridge 消息或链下订单可能出现意料之外的行为。

链分叉和链拆分期间，用户应保持谨慎。

钱包和应用应正确更新 Chain ID 和域分隔符。

除非设计能够安全处理，否则合约应避免以会在分叉后造成重放风险的方式缓存 Chain ID。

分叉重放保护既是协议层面的问题，也是应用层面的问题。

这两个层面都需要关注。

Nonce 重放保护的优势

第一项优势是一次性授权。

已签名操作可以被使用一次，之后则会被拒绝。

第二项优势是交易唯一性。

同一账户的交易可以通过不同 Nonce 区分。

第三项优势是顺序控制。

顺序 Nonce 有助于确定账户交易的有效顺序。

第四项优势是与 Chain ID 结合时可提升跨链安全性。

签名可以绑定到预期网络。

第五项优势是提高智能合约安全性。

合约可以防止 Permit、领取、投票、转账和 Bridge 消息被重复执行。

第六项优势是改善用户安全体验。

钱包可以更可靠地识别待处理操作、卡住的交易和替换交易。

Nonce 重放保护的风险与局限

第一项局限是，Nonce 保护无法阻止恶意签名消息被首次使用。

如果用户签署了有害授权，Nonce 只能在第一次执行后阻止重复使用。

第二项局限是交易管理复杂性。

顺序 Nonce 可能造成交易卡住和队列阻塞。

第三项局限是存储成本。

存储已使用随机 Nonce 的合约可能增加链上存储用量。

第四项局限是实现风险。

如果遗漏 Nonce 检查，签名就可能被重放。

第五项局限是跨域复杂性。

Nonce 可能保护一个合约，却无法保护另一个合约或另一条链。

第六项局限是升级风险。

如果合约迁移时处理不当，Nonce 状态可能遭到破坏。

Nonce 重放保护中的常见错误

一种常见错误是验证签名，却不检查 Nonce。

另一种错误是检查 Nonce，却忘记递增或将其标记为已使用。

第三种错误是所有用户共用一个全局 Nonce，而不是为每个用户分别使用 Nonce。

第四种错误是在签名数据中遗漏 Chain ID。

第五种错误是在类型化数据中遗漏验证合约地址。

第六种错误是接受不带截止时间的签名。

第七种错误是允许不同操作类型共用同一个 Nonce。

第八种错误是升级时未迁移 Nonce 存储。

第九种错误是使用可预测的随机 Nonce。

第十种错误是认为 EIP-712 会自动阻止所有重放攻击。

开发者最佳实践

凡是可能改变价值或状态的链下授权，都应包含 Nonce。

除非设计明确要求使用全局序列，否则应按签署者分别跟踪 Nonce。

应在执行前或执行过程中递增 Nonce 或将其标记为已使用，且确保这一机制无法被绕过。

如果链上下文很重要，应在签名域中包含 Chain ID。

应在签名域中包含验证合约地址。

签名消息应包含确切的函数意图、接收方、金额、代币、截止时间和相关参数。

中继签名应使用截止时间或有效期。

如果需要并行执行，应为无关工作流使用不同的 Nonce 空间。

授权被使用或取消时，应发出事件。

部署前应测试重放尝试、跨链签名、合约升级、取消操作和执行失败路径。

钱包和应用最佳实践

签名前，应向用户显示链、合约、支出方、金额、截止时间、Nonce 上下文和操作类型。

签名会授予支出权限或长期授权时，应向用户发出警告。

钱包身份验证应使用新鲜的登录挑战值。

登录后应将身份验证挑战值标记为已使用。

避免要求用户签署含义模糊或难以阅读的消息。

如有可能，应使用 EIP-712 类型化数据进行结构化签名。

对于卡住的交易 Nonce，应提供清晰的加速和取消选项。

不要向用户隐瞒交易替换行为。

只有当界面能够安全、清晰地解释时，才支持账户抽象 Nonce 通道。

避免用户签署旧请求、过期请求或来自错误链的请求。

用户最佳实践

签署任何消息或交易前，先阅读钱包提示。

签名前确认当前链。

确认请求签名的合约或应用。

对于 Permit 类授权，检查代币、支出方、金额和截止时间。

拒绝含糊不清、无限额或与当前操作无关的签名。

不要签署来自可疑域名的登录消息。

不要认为 Nonce 能让恶意签名变得安全。

在实际可行的情况下，大额资产可使用硬件钱包或多签钱包保管。

适当时撤销不必要的代币授权。

除非了解待处理交易状态，否则应谨慎手动设置 Nonce。

Nonce 重放保护何时最重要

当签名授权涉及价值转移时，Nonce 重放保护最重要。

它对普通区块链交易很重要。

它对 Permit 授权很重要。

它对免 Gas 代币转账很重要。

它对 Bridge 消息很重要。

它对治理投票和委托很重要。

它对空投领取和奖励领取很重要。

它对钱包登录挑战值很重要。

它对多签交易和账户抽象 UserOperation 很重要。

凡是复制签名可能导致重复或非预期效果的场景，都需要这项保护。

一句话了解 Nonce 重放保护

Nonce 重放保护是指使用唯一、可跟踪并绑定上下文的 Nonce 值，确保已签名加密交易、消息或授权只能在预期的链、合约和应用上下文中执行一次。

常见问题

Nonce 重放保护是什么意思？

Nonce 重放保护是指通过检查并消耗唯一 Nonce，防止同一项已签名加密操作被接受多次。

加密领域中的 Nonce 是什么？

Nonce 是在特定上下文中仅使用一次的数字或唯一值，用于确保交易、消息或授权具有唯一性。

什么是重放攻击？

重放攻击是指有人复制有效的已签名操作并再次提交，以重复执行或滥用该授权。

Ethereum 如何使用 Nonce？

Ethereum 账户使用 Nonce 计数器，确保每个账户只能执行一笔具有特定 Nonce 的交易。

什么是 Chain ID 重放保护？

Chain ID 重放保护会将交易或消息绑定到特定区块链，使其难以在另一条链上重复使用。

EIP-712 会自动阻止重放攻击吗？

不会。EIP-712 为签名数据建立结构，但应用仍需进行 Nonce 检查、设置截止时间并正确进行域分离。

Permit 为什么需要 Nonce？

Permit 需要 Nonce，以防同一代币授权签名被重复提交。

Nonce 与截止时间有什么区别？

Nonce 使签名只能使用一次，而截止时间限制签名的有效时长。

重放保护能防止网络钓鱼吗？

不能。重放保护可以阻止重复使用，但如果用户签署了恶意授权，就无法阻止第一次有害使用。

如果 Nonce 被重复使用会怎样？

如果 Nonce 处理正确，第二次使用应会失败；但如果系统设计不佳，重复使用 Nonce 可能导致重放或交易失败问题。

智能合约为什么需要自己的 Nonce 检查？

智能合约需要自己的 Nonce 检查，因为普通账户 Nonce 不会自动保护链下签名、Permit、领取操作、投票或 Bridge 消息。

最安全的重放保护设计是什么？

最安全的设计会结合签署者专属 Nonce、Chain ID、验证合约、确切操作详情、截止时间、已使用状态跟踪和谨慎的签名验证。

结论

Nonce 重放保护是加密货币中不易察觉却至关重要的安全基础。

它可以确保有效签名不会变成可重复使用的空白支票。

区块链签名能够证明私钥批准了一条消息，但不会自动证明该授权仍然有效、尚未使用或只能执行一次。

Nonce 补上了这一时效性保护层。

如果正确检查并消耗 Nonce，同一项已签名操作就无法再次执行。

这可以保护普通交易、代币 Permit、免 Gas 转账、智能账户操作、多签批准、Bridge 消息、治理投票、登录挑战、奖励领取和许多其他加密工作流。

现代重放保护不只是一个计数器。

它通常会结合账户 Nonce、合约级 Nonce、随机授权 ID、Chain ID、验证合约地址、截止时间、有效时间范围、Nonce 通道和已处理消息映射。

每一层都用于解决不同的重放问题。

账户 Nonce 可以阻止同一账户在同一条链上重复提交交易。

Chain ID 可以阻止交易被复制到其他链。

合约 Nonce 可以阻止签名消息在应用内部被重复使用。

截止时间可以防止旧签名永久保持有效。

域分离可以阻止签名被用于错误的合约或应用。

Nonce 通道可以让智能账户支持并行工作流，同时保留重放保护。

如果缺少这些控制措施，风险可能十分严重。

可被重放的签名可能导致资金被盗、授权重复、领取操作重复、Bridge 消息执行两次或治理结果被扭曲。

即使存在 Nonce 保护，如果用户签署恶意授权，仍可能遭受网络钓鱼造成的损失。

因此，重放保护必须与清晰的钱包提示、范围有限的签名、完善的合约设计和谨慎的用户行为相结合。

对开发者而言，规则很简单。

凡是可能转移价值或改变重要状态的签名，都需要 Nonce、域和清晰的消耗规则。

对钱包而言，规则是让用户在签名前准确了解自己授权的内容。

对用户而言，规则是将每个签名都视为真实操作，而不是无害的确认步骤。

Nonce 重放保护并不能让加密货币交易变得无风险。

它通过确保一次授权只在预期上下文中用于预期操作一次，而不是在未来被无限次重放，让签名授权具备实际可用性。