作者：enze，慢霧科技

Solana 是一種快速且高度可擴展的區(qū)塊鏈協(xié)議，為去中心化應(yīng)用(DApps) 提供了強大的基礎(chǔ)設(shè)施。近期 Solana 生態(tài)復蘇引發(fā)廣泛關(guān)注，本文將介紹 Solana 賬戶、Token、交易，以及如何在這個生態(tài)中保障資產(chǎn)安全。

Solana 賬戶

了解賬戶是保障資產(chǎn)安全的第一步。與以太坊中的賬戶不同，在 Solana 中，賬戶的主要作用是存儲數(shù)據(jù)。

Solana 中的賬戶主要分為三種類型：

數(shù)據(jù)賬戶：用于存儲數(shù)據(jù)。

程序賬戶：用于存儲可執(zhí)行程序。

原生賬戶：指 Solana 上的原生程序，例如 System、Stake 以及 Vote。

其中，數(shù)據(jù)賬戶可進一步分為兩類：

系統(tǒng)所有賬戶：由 Solana 上的原生程序生成的賬戶。

程序派生賬戶(PDA)：簽名權(quán)限是程序的帳戶，因此不像其他帳戶那樣受私鑰控制。

每個賬戶都有一個地址（一般情況下是一個公鑰）以及一個所有者（程序賬戶的地址）。前者與以太坊上的類似，后者可以簡單理解為創(chuàng)建該賬戶的程序。

普通用戶通過錢包生成的賬戶屬于數(shù)據(jù)賬戶中的系統(tǒng)所有賬戶，默認的賬戶所有者是系統(tǒng)程序。我們可以簡單理解為：用戶通過系統(tǒng)程序生成了一個系統(tǒng)所有賬戶，這個賬戶存儲了用戶的基本信息和資產(chǎn)等數(shù)據(jù)，而這個賬戶擁有一個地址（也就是公鑰）。

以 Solana Explorer 為例，普通用戶使用的賬戶，即系統(tǒng)所有賬戶，在瀏覽器上的展示如下圖：

Assigned Program Id 代表賬戶的所有者，Allocated Data Size 表示賬戶已存儲的數(shù)據(jù)大小，Executable 表示賬戶是否可執(zhí)行，通常只有程序賬戶是可執(zhí)行的。普通用戶只需關(guān)注賬戶的地址。

通過以上內(nèi)容，我們已經(jīng)對 Solana 賬戶有了初步的了解，接下來我們來認識下 Solana Token。

Solana Token

SPL-Token 代表 Solana 網(wǎng)絡(luò)上的所有非本地代幣，包括同質(zhì)代幣和非同質(zhì)代幣(NFT)。

與 ERC20 和 ERC721 代幣類似，SPL 代幣 在 Solana 上發(fā)行和交易，而其與以太坊的區(qū)別是：

在 Solana 中，Token 的發(fā)行人通過 Solana 上的原生程序 token-program 創(chuàng)建一個 mint-account，并在這個賬戶中存儲 Token 的基本信息。例如，Solana Explorer 上的 USDC 的 mint-account 地址為 EPjFWdd5AufqSSqeM2qN1xzybapC8G4wEGGkZwyTDt1v。瀏覽器中顯示了有關(guān) USDC Token Mint 的詳細信息，包括當前代幣供應(yīng)量、鑄幣和凍結(jié)權(quán)限的地址以及代幣的小數(shù)精度。

接下來，讓我們了解一下什么是 token-account。

在 Solana 上，每個 Token 持有者都有一個特定的 token-account，記錄了該持有者特定 Token 的余額和相關(guān)信息。例如，Alice 同時擁有 USDT 和 USDC 兩種 Token，她將分別擁有兩個 token-account，其中一個記錄 USDT 的余額，另一個記錄 USDC 的余額。

那么如何查看自己的 token-account 呢？

我們可以使用 Solana Beach 瀏覽器，通過輸入數(shù)據(jù)賬戶的地址，點擊 Portfolio，就可以清晰地看到每個 token-account，每個賬戶記錄著特定 Token 的余額。

通過 Solana Beach 瀏覽器，還能查看每個賬戶記錄的 Token 信息，授權(quán)情況等詳細信息。

Solana 交易

在 Solana 上，每筆交易都包含以下關(guān)鍵信息：

Instructions（指令）：一個或多個指令，定義了交易中的操作，例如轉(zhuǎn)賬、程序交互、Token 轉(zhuǎn)賬等。

Blockhash（塊哈希）：包含了最新的塊哈希值，用于確保交易在正確的塊上執(zhí)行。

Signatures（簽名）：一個或多個簽名，表示交易的授權(quán)。每個簽名對應(yīng)著交易中的一個簽名賬戶，確保只有授權(quán)的賬戶可以執(zhí)行這筆交易。

Solana 上的一筆交易可以包含多個指令，這意味著可以在同一筆交易中執(zhí)行多個不同的操作，例如用戶可以將多筆轉(zhuǎn)賬指令打包到同一個交易中，這些指令將按順序執(zhí)行。如果交易中的任何一個指令失敗，整個交易都將失敗。

Solana 的交易記錄與以太坊略有不同，我們來看下如何有效閱讀 Solana 上的交易記錄。

SOL 轉(zhuǎn)賬交易

對于 Solana 上的交易記錄，我們以 SOLSCAN 瀏覽器為例，關(guān)注以下主要信息：

Signature（簽名）：類似于交易哈希，在交易記錄中將交易的第一個簽名作為交易的索引。

Result（結(jié)果）：交易的執(zhí)行結(jié)果，表明交易是否成功。

Signer（簽名者）：執(zhí)行交易的賬戶地址，即簽名者的地址。

Main Actions（主要操作）：交易中包含的主要操作指令，可以是轉(zhuǎn)賬，程序調(diào)用等。

Instruction Details（指令詳情）：交易中執(zhí)行的具體操作指令。

我們在 Main Actions 中可以看到轉(zhuǎn)賬雙方的賬戶地址。

在 Instruction Details 中，我們可以看到 SOL 轉(zhuǎn)賬交易的主要指令是 SOL Transfer，該指令旨在進行 SOL 的轉(zhuǎn)賬。通過詳細查看該指令的詳情，我們可以獲得有關(guān)該指令調(diào)用的程序，以及涉及到的轉(zhuǎn)賬雙方的賬戶地址等信息。

Token 轉(zhuǎn)賬交易

以下交易是 USDT 的轉(zhuǎn)賬，與 SOL 交易類似。

在 Instruction Details 部分，Token 交易通常首先調(diào)用 Create Associated Account 指令，為接收方創(chuàng)建一個 Token 賬戶（如果接收方尚未有相應(yīng)賬戶），用于存儲 USDT 余額等數(shù)據(jù)。

接著執(zhí)行 Token Transfer 指令，完成 USDT 的轉(zhuǎn)賬。值得注意的是，與 SOL Transfer 指令不同，Token Transfer 指令中的 Source 和 Destination 不代表轉(zhuǎn)賬雙方的直接賬戶地址，而是它們的 Token 賬戶（PDA 賬戶），這點需要特別注意。

Swap 交易

下面是一筆 Swap 交易，用戶將 USDT 兌換為 USDC。

多個指令交易

在包含多個指令的 Solana 交易中，涉及 SOL 的轉(zhuǎn)賬、Swap 交易以及 Token 的轉(zhuǎn)賬等多個操作。

即便有多個指令，我們?nèi)匀荒軌蛲ㄟ^ Instruction Details 查看交易執(zhí)行的詳細指令，了解每個步驟的具體操作。

資產(chǎn)安全

俗話說，知己知彼，百戰(zhàn)不殆。我們已經(jīng)初步了解了 Solana 上的賬戶、Token 和交易。為規(guī)避資產(chǎn)被盜的風險，我們需要深入了解在使用 Solana 錢包時可能面臨的風險。

私鑰和助記詞泄露

根據(jù)慢霧區(qū)塊鏈被黑檔案庫(https://hacked.slowmist.io) 統(tǒng)計，2023 年 9 起私鑰泄露安全事件導致的損失就高達 8475 萬美元。在慢霧 AML 團隊處理的被盜案件中，私鑰和助記詞泄露導致資產(chǎn)被盜的事件占據(jù)了相當大的比例。因此，要保證 Solana 錢包上資產(chǎn)的安全，最重要的是管理好錢包私鑰和助記詞。

使用錢包

在錢包使用過程中，簽名是最需要關(guān)注的安全風險之一，尤其需要特別注意在 Solana 上與項目互動時所簽名的信息。

而且，Solana 允許將多筆轉(zhuǎn)賬打包成一個交易，也即只需一次簽名即可將錢包中的所有資產(chǎn)一次性轉(zhuǎn)移。

下面我們來看一個實際案例：

某位受害者在一個釣魚網(wǎng)站上誤操作，僅僅點擊了一次確認，導致錢包中的所有資產(chǎn)被一次性轉(zhuǎn)走。究竟是什么操作讓受害者只是簽了一次名就能讓黑客將所有資產(chǎn)轉(zhuǎn)走呢？

是的，黑客利用了上文提到的機制和錢包的一個特點：

受害者使用的是 Phantom Wallet，這款錢包能夠?qū)⒍喙P轉(zhuǎn)賬指令打包成一個交易，僅需一次簽名即可完成整個過程。恰恰是這一功能成為黑客利用的突破口，導致受害者在一次簽名中失去了所有資產(chǎn)。在使用錢包時，請用戶務(wù)必謹慎確認每一次簽名的操作，以免遭受損失。

Phantom Wallet 的官方文檔中也明確介紹了這一關(guān)鍵功能：

總結(jié)

在本期 Solana 科普文章中，我們首先了解了 Solana 賬戶的基礎(chǔ)知識；接著深入研究了 Solana Token 的基本概念；隨后探討了在 Solana 上進行交易的相關(guān)內(nèi)容。在保障錢包資產(chǎn)安全的部分，我們強調(diào)了私鑰和助記詞的安全保存，建議用戶閱讀慢霧出品的《區(qū)塊鏈黑暗森林自救手冊》：https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md 以獲取更多安全建議；在使用錢包時，請用戶務(wù)必小心確認每一次簽名的操作，避免遭受損失。此外，閱讀錢包文檔中的安全提示至關(guān)重要，時刻保持警惕是保障資產(chǎn)安全的關(guān)鍵。