Основные векторы атак на ICO👣

Интересная последовательность событий:
1. Появляется биткойн и прочие анонимные криптовалюты. Регуляторы и власти по всему миру немного напрягаются, но не слишком: обороты пока копеечные. Тем не менее, местами криптовалюты запрещают.
2. Фейсбук объявляет свою Либру, и вот тут власти уже напрягаются сильнее: масштаб ФБ таков, что все успокаивающие заявления о законопослушности не очень успокаивают.
3. Вызванные в Конгресс топы Фейсбука заявляют, что если им не дадут сделать глобальную криптовалюту, то это сделает Китай — и Америка упустит лидерство. Все крепко задумываются.
4. Китайцы — и вот тут отличие — подхватывают тему и объявляют, что срочно и активно займутся большой криптовалютой, НО! - займётся ей центробанк, а не частные компании.
И вот теперь интересен следующий ход. Похоже, что в западном мире у правительственных структур просто нет технологического ресурса для такого проекта ;) Посмотрим, как они выкрутятся
Или же победит Цукерберг ;))
https://technode.com/2019/07/23/china-fast-tracks-development-of-national-digital-currency-in-response-to-libra/

Про Джастина Сана.

После перевода разнообразными переводчиками исходной статьи на китайском, о том что Джастину Сану запретили выезд и против него завели дело - выяснилось, что в оригинальной статье написано скорее "рекомендовали органам подать дело", а не то что именно завели. Также там написано, что именно факт обеда с Баффетом привлек к нему внимание , а до этого китайские регуляторные органы, в принципе не обращали на него внимания.

PS: И вообще - его зовут Сунь Юйчень 😁

https://finance.sina.com.cn/blockchain/2019-07-23/doc-ihytcerm5770036.shtml

Бодрого срединедельного вечерочка!

Так как обсуждать посадки китайского дитя солнышка и съехавшего с катушек старика, которого то ли ЦРУ прижало, то ли он раньше времени решил поучаствовать во флэшмобе "Бермудский треугольник нас всех не поглотит" и его, наконец-то, забрали владельцы канала РЕН-ТВ к себе на побывку, а также прочую желтизну у меня нет никакого желания, то перейдём к остаткам технологии, которая варится где-то там в собственном соку, отдельно от спекулятивно-манипулятивных помешиваний чана с монетами местным колдуном.

Куда ж без сизой новсти в ежедневном дейджесте? Это как новый мем про "зону 51" не обсудить или фотку, обработонную в FaceApp новым фильтром в инсте забыть запостить. Binance подрубил API к маржиналке. Аллилуя для всех ботодрочеров. Реально полезная штука. Короче, всячески одобряю! #гдемобильнаямаржиналкаска

Наша непостоянная рубрика "Новости давно забытых верихаёв":

- Golem апдейтнул свой Roadmap. Если ты не помнишь, в чём там суть, то посоны делали мировой супер компьютер, которому ты мог завещать мощности своего второго атлона. Обещают доделать человечский интерфейс для работы с суперкомпьютером сделать и другие плюшки, чтобы наконец-то это хоть кому-то понадобилось. Всё ещё тешу себя надеждой, что ребята просто опередили своё время.

- Lisk релизнул Core клиент 2.0.0, построенный на собственном SDK 2.0.0, что вряд ли поднимет цену в х2.0.0. раз. Единственно что, 23го августа необходимо проапгрейдить ноды до этой версии, чтобы нормально взаимодействовать с сетью...если ты по какой неведомой мне причине взаимодействуешь с этой сетью. Кто вообще юзает LIsk? А там, кстати, DPoS прямо по заветам Денчика.

Ну а главная техно-новость дня: Bitcoin SV проапгрейдил протокол до 2х гигабайтных блоков. Следующий апгрейд в Феврале 2020го сделает блоки в сети, согласно протоколу, безразмерными. Сегодня вот даже 148Мб блок смайнили. Это значит, что каждый майнер сам будет решать, блок какого размера майнить. Хоть сто тыщ мильёнов гигабайт, примут всё. Только вот интересно, какие там теперь нынче требования к нодам и storage? Почему это достаточно хреновая идея, почему это значительно не ускорит работу сети и к каким последствиям это может привести? Я думаю, мы обсудим с тобой это, когда я наконец-то рожу для тебя своё мнение по BloxRoute и Marlin. Ну а пока Крейг хоть чем-то может скрасить своё разочарование от размера собственной PC.

Листинги дня:
- CRO на Bithamb. Очень рад за Crypto.com;
- Ravencoin на Bitmax. Это не тот, что претендует на листинг на Binance, а тот что уже там;
- GT, совершенно неожиданно как результаты выборов в ГосДуму, выиграл голосование на FastTrack и теперь разместиться на Huobi.
- Lition на Binance DEX, также на DEX попросился Matic.

Батя стучится в 9500, а это значит, что на подходе наш любимое новое альтдно. В целом сижу спокойно, не рыпаюсь. Только вот любимых технических новостей маловато. Пойду тогда новиночки, стремящиеся на рынок поизучаю. Будет что-то интересное - обязательно поделюсь!

С полными сумками BNB,
@CryptoLamer

Monero RandomX

Monero Outrich сделали транскрипцию и перевод на руский, на мой взгляд самого интересного видео с Monerocon 2019 - о новом протоколе майнинга RandomX который в скором времени будет внедрен в Monero. Протокол ориентирован в основном на майнинг с помощью ЦПУ

Докладчик - Говард Чу,

Перевод - по ссылке.
⬇️⬇️⬇️⬇️

https://xmr.ru/threads/1001/

Видео с докладом и слайдами на английском.
⬇️⬇️⬇️⬇️

https://www.youtube.com/watch?v=4Hkd-n1W_e4&t=941s

⚡️⚡️⚡️
ЦЕПЬ БИТКОИН SV - ПОСЛЕ ХАРДФОРКА ПОВЕЛА СЕБЯ СТРАННО.
РЕКОМЕНДУЮ НЕ СОВЕРШАТЬ НИКАКИХ ПЕРЕВОДОВ В НЕЙ,

По сообщению Bitmex Research, после того как хардфорк успешно совершился произошло следующее:

Цепь Bitcoin SV разделилась на две части:
* Запланированный хардфорк произошел на блоке 592,590
* Блок, намайненый по новым правилам, - 592 605 .
* Появился еще один блок который смайнен был по старым правилам - 592 605

Далее Bitmex Research сообщают следующее.

Ситуация становится еще более странной.
Наш обновленный узел Bitcoin SV 0.2.1 сообщает о наличии непроверенной ветки меньшей сложности с количеством блоков - 592 747, это на 140 блоков длинее основной цепи..

Следующий пост сообщал что эта цепь блоков - это блокчейн Bitcoin Cash. (!!!????) По какой то непонятной причине, нода Bitcoin SV его приняла и подтвердила.

На скриншоте состояние двух разных версий нод Bitcoin SV в лаборатории Bitmex Research на момент этого поста (!!!!). Явно видно две цепи с разной длиной и сложностью

1₽ = 156シ Смотри @satoshi_fm https://www.youtube.com/watch?v=iGx5aCmsW6w

​​✅✅✅
Часть 3.1. Про уязвимость в DAO.
⬇️⬇️⬇️
https://news.1rj.ru/str/CryptoBotan/730

Часть 3.2. Критическая уязвимость в multisig кошельке Parity
⬇️⬇️⬇️

В 2017 году в кошельке Parity была найдена уязвимость, через использование которой было похищено порядка $30 миллионов. В результате взлома пострадали все пользователи, имевшие дело с кошельками с мультиподписью.

Интересно, что почти сразу после обнаружения взлома, группа энтузиастов, называющих себя The White Hat Group, воспользовалась тем же эксплоитом, чтобы спасти деньги пользователей, переведя их на неподверженный багу кошелек. Суммарно насчитывалось 596 уязвимых кошельков, и основной удар злоумышленников пришелся на три из них. Среди них был кошелек блокчейн-стартапа Aeternity.

Проблема возникла в результате ошибки в отдельном контракте с мультиподписью известном как wallet.sol.

Если вы используете адреса с мультиподписью, то вам доступны три секретных ключа, и для того, чтобы иметь доступ к своим средствам, вам нужны любые два из них. Теоретически, таким же образом от вас может требоваться один из трех, пяти из пяти или шесть из одиннадцати адресов, просто два из трех – наиболее оптимальное сочетание.

Функция initWallet() в коде, позволяющая определить владельца кошелька, оказалась публичной, и её мог вызвать любой человек. После переопределения владельца оставалось только перевести деньги.

Взломщик отправил в каждый пострадавший контракт:

- одну транзакцию содержащую вызов функции initWallet, которая обеспечивала ему исключительное право на владение кошельком с мультиподписью

- вторую транзакцию, которая позволяла перевести все хранящиеся на этом кошельке средства на нужный адрес.

Из-за устройства MultiSig-кошельков Parity, кошелек перенаправляет все вызовы на другой контракт — контракт библиотеки. В библиотеке и «реализована вся функциональность» контракта, что позволяет не писать отдельный код для каждого кошелька.

Метод initWallet, отвечающий за инициализацию (подготовку к использованию) кошелька, был общедоступен.

«Предполагается, что метод будет вызываться только один раз во время создания контракта кошелька. При заведении нового кошелька, транзакция отправляется в Ethereum, где написано "Заведи новый кошелек, который ссылается на эту библиотеку", и автоматически в момент создания контракта кошелька срабатывает функция initWallet в библиотеке, которая и назначает владельца этого кошелька»

Никаких механизмов для проверки того, что этот процесс выполняется только один раз, предусмотрено не было. Любой пользователь мог запустить инициализацию (initWallet) повторно и стать владельцем кошелька.

Parity признали, что взлом стал возможен именно из-за этой ошибки в коде:

«Баг находился в двух крайне чувствительных функциях, разработанных для установки кошельков с мультиподписями в ПО кошелька Parity. Функции должны были быть защищены так, чтобы они могли использоваться только в одном случае — при создании контракта. Однако они были не полностью защищены, что позволило хакеру произвольно переустановить параметры владельца и использования».

Дальше еще интереснее...

На следующий день после атаки команда Parity опубликовала новую версию кода. Но и в ней тут же была найдена уязвимость, чем и воспользовался один из разработчиков, не являвшемся членом команды.

Проблема заключалась в некорректной инициализации контракта библиотеки, из-за чего любой пользователь мог стать его владельцем и уничтожить его. То есть по сути, контракт был уничтожен. Пользователь уничтожил код библиотеки, что в свою очередь сделало все контракты с мультиподписями неиспользуемыми и заморозило средства, поскольку все функции для изменения состояния находилась внутри библиотеки. В результате держатели этих кошельков потеряли возможность выводить токены. Замороженными оказались 513,744 эфира.

Было много предложений для разморозки средств. Вот ссылочка, кому интересно, что это были за предложения. А пока, средства все еще заморожены...Все работают над проблемой масштабируемости сети Ethereum.

Возможность для владельцев macOS и Linux

Сегодня Coda Protocol открыли поощрительную программу, где любой желающий может заработать себе Testnet-очки. Пока что непонятно как будут использоваться эти очки в будущем, но если посмотреть на похожий опыт у других серьезных команд, то можно рассчитывать на аллокацию или аирдроп.

Для тех, кто в танке, Coda – это один из самых интересных проектов этого года, и иными способами попасть в него будет сложнее. В разработку проинвестировали такие фонды как Coinbase Ventures, Polychain, и несколько управляющих из Coinbase лично. Вся информация открыта.

Никаких рефссылок и шилинга в акции не предусмотрено, моя задача лишь предупредить. Участников пока что очень мало. Очки можно получить за отправку бесплатной транзакции в Testnet-клиенте (Windows еще не поддерживается), а также за активность в чате Discord. Ссылки для старта:
1. Overview
2. Getting Started

🐋 @crypto_kosatka

​​💩💩💩
Как происходят атаки на организаторов ICO.
⬇️⬇️⬇️
В ряде проектов были продемонстрированы возможности хищения электронной почты организатора ICO (запрашивалось восстановление пароля, а затем происходила его смена). Информация об адресах электронной почты сотрудников доступна в поисковых системах; кроме того, практически на каждом веб-сайте ICO приводится список сотрудников (часто с фотографиями), благодаря чему можно без труда найти конкретного человека, например CEO компании, в социальных сетях.

Информации из социальных сетей достаточно, чтобы определить логин электронной почты, а затем восстановить от нее пароль, угадав ответы на контрольные вопросы. Даже если для электронной почты настроена двухфакторная аутентификация и для восстановления пароля требуется СМС-подтверждение, это тоже не является достаточной защитой. В России для всех основных сотовых операторов на черном рынке киберпреступники могут купить детализацию входящих СМС-сообщений для любого номера телефона.

В случае реализации атаки и получения доступа к электронной почте злоумышленник может писать письма от имени организаторов (например, об изменении адреса сайта или кошелька для сбора инвестиций), а также восстанавливать пароли от различных сервисов и социальных сетей, которые зарегистрированы на эту почту.

Восстановление пароля от домена или хостинга позволяет киберпреступникам получить над ними полный контроль, после чего злоумышленники, например, могут подменить на сайте адрес кошелька на свой и получать деньги инвесторов.

Предположительно так злоумышленникам удалось подменить адрес Ethereum-кошелька в атаке на Coindash.io, в результате чего были потеряны 7 млн долл. США.

Сегодня Джастин Сан (СЕО TRON и BitTorrent) опубликовал письмо на Weibo на китайском языке, в котором говорится, что он «искренне извиняется перед общественностью, СМИ, чиновниками и регулирующими органами» за его чрезмерные маркетинговые действия, особенно в связи с недавней публикацией очень ожидаемого благотворительного ланча с инвестором-миллиардером Уорреном Баффетом.

«Я собирался пообедать с Баффетом из-за моего восхищения им и моего энтузиазма по поводу благотворительности. Это было просто, но и с личным интересом, чтобы продвигать индустрию блокчейна и мой проект. Но мои незрелые, наивные и импульсивные действия превратили его в неконтролируемую и провальную рекламную шумиху и привели к значительному ряду неожиданных последствий», - написал Джастин.

Кроме того, Джастин написал в письме, что теперь он минимизирует свое появление на публике и уменьшит медийное продвижение своих проектов. Все свои силы он сосредоточит на развитие технологий.

PS: Жалко только что у Баффета из одного кармана идут деньги на благотворительность, а из другого возможно на какую-то войну. Короче цирк, они ничего не делают прото так, даже в фильме про Баффета, он там покупает завтрак в Макдональдсе, я верю что он покумает, но не верю что он это кушает, это всё реклама для народа. Точно так же и Джастин пиарил проект пока мы медленно спускались, ну а теперь будет капитуляция и можно отдохнуть. Потом, когда Трон найдёт своё дно, мы просто будем слышать кучу новостей про новые партнёрства Tron с крутыми проектами разных индустрий, и будет простой рост на котором можно тупо молчать.

ЗАБЫЛ СВОЕ МЕСТО

Заигрался Сунь Юйчень(Джастин Сан), видать забыл, какой страны он гражданин, ну ему и напомнили. КПК и китайским контролирующим органам стоило лишь чуть чуть погрозить пальцем, и вот уже, как перед строем пионеров Сунь, слезно кается. 😁

Думаю в Китае весь криптовалютный бизнес так, и большинство новоявленных миллионеров от криптовалюты - лишь "говорящие головы" за которыми стоят совсем другие люди, с государственным подходом к делу . Пока ты выкачиваешь деньги из тупых белых, в пользу Китая, то можешь себе кое что позволить, что простому китайцу не доступно.
Да и имидж свободного успешного миллиардера надо перед "партнерами" держать. Но как только ты позволишь себе самостоятельные действия, то тебе напомнят кто ты такой, и откуда тебя взяли.

Прекрасная иллюстрация к отношениям государства и криптовалютных бизнесов в Китае. И к тому кто реально управляет этим всем в Китае.
К этой теме можно также вспомнить мои рассуждения о предполагаемой господдержке Bitmain китайским руководством

https://news.1rj.ru/str/Age_of_Crypt/1597

Bram Cohen, человек который продал BitTorrent, говорит, что Джастин Сан пропустил последний платёж.

TheBlockcrypto связывает освобождение, ранее арестованных китайскими властями, представителей "Tron" с отказом Джастина Сана от ужина с Баффетом.

Все это подтверждает мое предположение, что парнишка заигрался с властями КНР.

Идея обеда с Баффетом, скорее всего планировалась кураторами Джастина.

Но Сунь Юйчень видимо что то сделал не советуясь с ними .

Возможно, этим действием было приглашение Трампа на это мероприятие (несмотря на то что он в любом случае не пришел бы)

Это наверное и сочли за "наивные импульсивные" действия, извинения за которые ему пришлось принести.

⬆️⬆️⬆️⬆️
Комментарий от @cryptovorchun

—————————————-

Твоя версия не далека от истины, только скорее все не совсем так. Он стремился привлечь поддержку кпк, но она его игнорировала, тогда он решился на шантаж кпк и она ему разъяснила за цвет штанов

Внутренняя конкуренция у них достаточно высока и все хотят стать государственной криптовалютой

Так как партагеноссе естественно нихуа не понимают в технологиях, поэтому привлекают частный сектор, который дерется за место

Все как у нас, только с другим разрезом глаз.

@cryptovorchun

1₽ = 163シ смотри @satoshi_fm https://youtu.be/uZ48Wv4mZBg

✅✅✅
Часть 3.3. Ошибка в смарт-контракте лотереи "Король Эфирного Трона"
⬇️⬇️⬇️
Игра "Король Эфирного Трона" — наиболее известный случай ошибки «unchecked-send», "silent failing sends".

Игра «Король Эфирного Трона» (KotET) — это игра, в которой участники соревновались друг с другом за титул «Король эфира».

Суть игры вот в чем:

1) Допустим, что текущая цена за трон (но не за тот самый😄) составляет 10 эфиров.
2) Мы хотим быть королем, поэтому отправлям 10 эфиров.
3) Контракт отправляет 10 ETH предыдущему королю качестве компенсации.
4) Контракт делает нас новым Королем Эфирного Трона.
5) В этом случае новая цена за трон увеличивается на 50%, до 15 ETH.
6) Если приходит тот, кто готов заплатить 15 эфиров, он свергает вас, но вы получаете свою выплату в 15 эфиров.

Проще говоря, это была пирамида.

Контракты KotET работали нормально, за исключением одного сценария. Когда контракт отправлял платеж на «контрактную учетную запись», он выделял лишь небольшое количество газа, в 2300 единиц. Этого недостаточно для покрытия расходов.

Когда платеж не обработался, уплаченный эфир был возвращен в контракт KotET. Но организация не знала, что платеж не прошел и продолжал обработку.

Для отправки контрактом эфира на другой адрес, самым простым способом является использование ключевого слова send. Это действует как метод, определенный для каждого объекта.

Проблема здесь в том, что метод send может выполниться с ошибкой. Если он не сработает, то победитель не получит деньги, однако переменная prizePaidOut будет установлена в True.

Существуют два разных случая, когда функция отвечающая за получение приза может выйти из строя:

1) Адрес winner — это контракт, а не учетная запись пользователя. Код этого контракта генерирует исключение (например, если он использует слишком мало «газа»). Если это так, то, возможно, в этом случае это «ошибка победителя».

2) Виртуальная машина Ethereum имеет ограниченный ресурс, называемый «callstack» (глубина стека вызовов), и этот ресурс может быть использован другим кодом контракта, который был выполнен ранее в транзакции. Если callstack уже израсходован к моменту выполнения команды send , выполнение команды потерпит неудачу, независимо от того, как определен winner. Приз победителя будет уничтожен не по его вине!

Эта ошибка не была замечена, пока сумму 200 эфиров не смог получить законный победитель лотереи. К счастью, разработчик контракта смог использовать несвязанную функцию в контракте в качестве «ручного переопределения» для выпуска застрявших средств.

Эта ошибка имелась в популярном лотерейном контракте EtherPot. Более ранняя версия BTCRelay также показала эту ошибку.

⁠Налоговая служба США начала рассылку «устрашающих» писем криптоинвесторам

Вот такие письма начала рассылать криптоинвесторам Налоговая служба США (IRS). Письма явно направлены на то, чтобы напугать получателей.

В них содержится угроза привлечения в будущем к гражданской и уголовно-исполнительной ответственности, если получатели не изменят свои налоговые декларации, чтобы точно сообщить их доход, связанный с криптовалютой.

Часть письма также содержит инструкции для получателей о том, как сообщать о доходах, связанных с криптовалютой, и вносить изменения в свои налоговые декларации, если это необходимо.

Предполагается, что IRS использовало свой список налогоплательщиков, определенный в 2017 году Coinbase, и провело комплексную кампанию для оказания психологического давления на криптоинвесторов.

Источник

#криптовалюты #налогообложение #IRS #США

А там глядишь и Apple coin

https://news.1rj.ru/str/markettwits/46405

При поддержке Goldman, набравших опыта в крипте за последние полтора года, коллаборация с Apple рисует мне именно такую картинку будущего.

К сожалению Apple теряет, а возможно уже потеряла позицию технологического лидера, но все равно располагает армией потребителей и фанатов ее софта (не устройств)

Криптаны, вы должны понимать, что срок за отмывку или мошенничество, который светит многим из вас - это далеко не худшее, что бывает

https://forklog.com/sovladeltsa-polskoj-bitkoin-birzhi-bitmarket-nashli-v-lesu-s-prostrelennoj-golovoj/