Crypto Offensive

#challenge #defi Damn Vulnerable DeFi is the wargame to learn offensive security of DeFi smart contracts. https://www.damnvulnerabledefi.xyz/

#guide Методология аудита безопасности и качества кода смарт-контрактов от Rari Capital: https://github.com/Rari-Capital/solcurity

#guide Полезная подборка паттернов solidity-программирования, в т.ч. по безопасности: https://github.com/fravoll/solidity-patterns

​​#guide JiuZhou - классификация багов в смарт-контрактах Solidity: 49 типичных багов в 9 категориях. С описанием и примерами уязвимого кода https://github.com/xf97/JiuZhou

#guide Еще один перечень типов уязвимостей в смарт-контрактах Solidity с описанием и примерами https://github.com/sigp/solidity-security-blog

#vulnerability #anyswap #multichain #approve Пользователям сервиса AnySwap - anyswap.exchange, также известного под новым названием Multichain - multichain.org, во избежание финансовых потерь необходимо отозвать аппрувы (разрешения) на токены WETH, PERI, OMT, WBNB, MATIC, AVAX. https://medium.com/multichainorg/action-required-critical-vulnerability-for-six-tokens-6b3cbd22bfc0

#hack #crosswise DeFi-сервис Crosswise - crosswise.finance - взломан из-за публичной доступности функции контракта, через которую можно было открыть себе доступ к совершению действий от имени других адресов. Ущерб оценивается в $879 000. https://twitter.com/peckshield/status/1483340900398895105

#hack Взломан мост Wormhole между Ethereum и Solana, ущерб $321M. Кто-то сминтил себе 120К врапнутых ETH: https://solscan.io/tx/2zCz2GgSoSS68eNJENWrYB48dMM1zmH8SZkgYneVDv2G4gRsVfwu5rNXtK5BKFxn7fSqX9BvrBc1rdPAeBEcD6Es Взломщику удалось убедить мост со стороны Solana, что он залил 120К эфира на другой конец моста. Для доказательства используются подписи релееров, но программа для верификации подписей передается в виде инструкции транзакции без должной проверки, что позволило взломщику подсунуть свою программу верификации: https://github.com/certusone/wormhole/blob/7edbbd3677ee6ca681be8722a607bc576a3912c8/solana/bridge/program/src/api/verify_signature.rs#L99

#hack #TecraCoin #TCR Взлом на 640 тысяч долларов из-за порядка параметров, пострадали поставщики ликвидности на Uniswap. Разработчики токена TecraCoin (TCR) ошиблись с порядком параметров _allowances в burnFrom(). В результате - кто угодно мог сжечь токены с любого адреса, предварительно разрешив этому адресу трату своих токенов. Действия контракта, использованного при атаке: * приобрести TCR на небольшую сумму * разрешить паре ликвидности TCR/USDT на Uniswap расходовать эти TCR * сжечь почти все запасы TCR в паре Uniswap * синхронизировать резервы пары Uniswap, тем самым значительно повысив цену TCR * продать имевшиеся TCR, получив почти все USDT из пары ликвидности Транзакция взлома: https://etherscan.io/tx/0x81e9918e248d14d78ff7b697355fd9f456c6d7881486ed14fdfb69db16631154 Контракт токена с ошибкой в burnFrom(): https://etherscan.deth.net/address/0xe38b72d6595fd3885d1d2f770aa23e94757f91a1

#AkuDreams #vulnerability #lostfunds Более 11500 ETH (около $ 35 миллионов) оказались навсегда заблокироваными на смарт-контракте AkuAuction проекта AkuDreams. https://etherscan.io/address/0xf42c318dbfbaab0eee040279c6a2588fa01a961d Драматичная история развернулась в несколько этапов. Вначале команда проекта была оповещена о том, что возврат избыточных сумм ставок аукциона может быть заблокирован совершением ставки через смарт-контракт с дополнительной логикой. Был приведен пример кода такой блокировки (следует заменить адрес 0x00...01 на адрес отправителя) https://gist.github.com/except/2ece3e40b72d0bf0cbd1107aa5d06926 В этом варианте вывод средств участников можно как заблокировать (программным отказом от получения компенсации + сжиганием всего газа транзакции), так и разблокировать. Команда проекта не подтвердила наличие ошибки, после чего такая блокировка была реально осуществлена. Затем ошибка была признана командой и создатель блокировки добровольно снял еë. Для участников аукциона всë закончилось хорошо, а вот команду проекта поджидал ещё один очень неприятный факт: из-за ошибки в условиях вывода средств с контракта - этот вывод не может быть осуществлëн, все собранные аукционом средства навсегда остались на смарт-контракте. https://bowtiedisland.com/akudreams-griefed-careless-code-leads-to-45-million-locked/

#hack #deusdao #defi Взломан сервис DeFi-деривативов DeusDao. Атака осуществлена в сети Fantom путем манипуляции значениями от ценового оракула, с использованием flash-займа. Выгода для взломщика оценивается в $13.4 миллиона. Краткий разбор от PeckShield: https://twitter.com/peckshield/status/1519530463337250817

#hack #saddle #fuse Два крупных взлома за день: 1) Saddle Finance взломан на $10 миллионов: https://etherscan.io/tx/0x2b023d65485c4bb68d781960c2196588d03b871dc9eb1c054f596b7ca6f7da56 Также $3.8 миллиона были спасены белыми хакерами из BlockSecTeam: https://etherscan.io/tx/0x9549c0cb48ec5a5a2c4703cbbbbea5638028b2d8c8adc103220ef1c7fe5e99a3 2) $80 миллионов выведено из пулов Fuse в протоколе Fei, который в декабре 2021 года объединился с Rari Capital: https://etherscan.io/tx/0xadbe5cf9269a001d50990d0c29075b402bcc3a0b0f3258821881621b787b35c6 Взлом был произведён путём re-entrancy (повторного входа). Анализ взлома: https://twitter.com/Hacxyk/status/1520370421773725698 Взломщику предложено вознаграждение в $10 миллионов за возврат остальных средств: https://twitter.com/feiprotocol/status/1520344430242254849

#hack #fegtoken Взломаны смарт-контракты экосистемы FEG (FegToken) - https://fegtoken.com/ - в сетях Ethereum и BNB (BSC). Ущерб: 143 ETH ($305 тыс.) + 3277 BNB ($1 млн.) Контракты взломщика: ETH - https://etherscan.io/address/0x9a843bb125a3c03f496cb44653741f2cef82f445 BNB - https://bscscan.com/address/0x9a843bb125a3c03f496cb44653741f2cef82f445 Подробности взлома выясняются.

#hack #GenomesDAO Взломан GenomesDAO - https://genomes.io/ - DAO сервиса монетизации генетических данных в сети Polygon. Сумма ущерба - около 25.5 ETH (использовался Wrapped ETH на Polygon). Уязвимость нашлась в контракте стейкинга LP-токенов (токенов поставщиков ликвидности). Функция инициализации "initialize" вызывала функцию "initialized", которая оказалась публичной и позволила взломщику подменить адрес токена, используемого для стейкинга, на адрес "самодельного" токена. Затем было произведено вложение фиктивных токенов в обмен на токены LPSTAKING, которые после вызовa "initialized" с первоначальным значением были обменяны на реальные LP-токены. Один из контрактов стейкинга: прокси - https://polygonscan.com/address/0x3606cfa43f53098bc00b3fcff3a333f6947f3c92 реализация с уязвимостью - https://polygonscan.com/address/0x41476c8d9f24a95dde65bcd38a2948f7a667696b (было задействовано несколько аналогичных контрактов для разных токенов) Транзакция печати огромного количества самодельных LP-токенов https://polygonscan.com/tx/0xcaa5f1193d5fb88d52b1de30bd0a12fd8269514f08e0bc5d69782b7c24a5f4fe Транзакция вложения фиктивных токенов и вывода реальных (процесс повторён несколько раз для разных токенов) https://polygonscan.com/tx/0x252a7e6f23ffb516c23df2a3b2e09b42d00a06fa4e9a5830e74fb35581f7632c Транзакция дальнейшего обмена на WETH https://polygonscan.com/tx/0x82cebaf092bc6a4c9235daeda6a9b504a873844c41dc31c51dbeebbab96a90bf