Tweak - позволяет пользователям/разработчикам изменять код ончейн-контракта, сохраняя состояние ончейна нетронутым. Допускаются практически любые изменения при условии сохранения схемы хранения

Оценка и тестирование лучших протоколов DeFi (+выводы)

BugBounty Companion от tintinweb.

Компаньон BugBounty, который проверяет кодовые базы Bug Bounty с высоким вознаграждением от Immunefi/code4rena

(используйте на свой страх и риск)

Immunefi-terminal - единственный терминал для поиска крипто-ошибок, который вам когда-либо понадобится.

1 Используйте Datasette, чтобы просмотреть все доступные награды за обнаружение ошибок на Immunefi.

2 Создавайте сложные SQL-запросы с помощью своего личного хранилища данных об обнаружении ошибок.

3 Получайте обновления от Immunefi для любого проекта.

4 Найдите репозитории и адреса в цепочке, которые вы хотите проверить.

5 Беспроблемная загрузка любого исходного кода из любой программы поиска ошибок.

6 Гарантированная компиляция целей в цепочке с исправленной Crytic-compile.

Уязвимости встроенной сборки Solidity

https://dacian.me/solidity-inline-assembly-vulnerabilities

Живая ветка об известных #malware, замаскированных под программное обеспечение для встреч, web3-игры и т. д., нацеленных на нашу криптоэкосистему

https://twitter.com/d0wnlore/status/1793848775733379535

Современные протоколы кредитования DeFi, как это сделано на примерах: Euler V2 , Curve LlamaLend:

Euler V2 - представляет модульную конструкцию, включая Euler Vault Kit (EVK), позволяющую разработчикам настраивать кредитование. проекты хранилищ и Ethereum Vault Connector (EVC), инструмент для подключения хранилищ ERC-4626 к различным смарт-контрактам.

Curve LlamaLend — это набор кредитных рынков, работающих с CrvUSD в качестве стейблкоина

Это очень интересный протокол кредитования, построенный на основе стейблкоина CrvUSD и использующий его основной компонент: AMM. К особенностям CrvUSD относятся интригующая математическая модель и механика стабилизации, которая работает с ценовыми диапазонами (аналогично тикам, используемым в Uniswap V3), но по-другому. Кроме того, CrvUSD использует мягкую ликвидацию, которая работает совершенно иначе, чем традиционная ликвидация. Протокол разработан в основном на Vyper, наряду со многими другими примечательными функциями.

В дополнение :

Уязвимые места протоколов кредитования

Временное ограничение взаимодействия смарт-контрактов Solidity

В этой работе исследуются способы ограничения возможности вызова функций смарт-контракта Solidity в течение определенного периода времени. Авторы описывают методы, позволяющие запретить двойной вызов функций в одной и той же транзакции, блоке или периоде времени. Это связано с понятием нереентерабельных функций, которые могут быть вызваны в рамках предыдущего выполнения. Эти методы можно использовать для ограничения взаимодействия с целыми наборами функций смарт-контрактов.

https://arxiv.org/html/2405.09084v1

Ближайшее и среднесрочное будущее улучшения безопасности и децентрализации сети Ethereum,

автор: Виталик Бутерин

1 MEV и зависимость от застройщика
2 Ликвидный стейкинг
3 Аппаратные требования узлов


https://vitalik.eth.limo/general/2024/05/17/decentralization.html

Zelliс выпустил автономную библиотеку Python для анализа и преобразования исходного кода Solidity под названием SOLP предназначенная как для разработчиков, так и для аудиторов.

Библиотека довольно мощная и способна создавать стабильные AST, которые отлично подходят для анализа кода

Учитывает различия между версиями Solidity и настройкой кодовой базы и позволяет пользователю сосредоточиться на реализации собственных эвристик, анализа и преобразователей кода

Крипто-потери в мае 2024 года по данным Immunefi

https://assets.ctfassets.net/t3wqy70tc3bv/8N4fVPv3FeE3yUp2RryfD/f73a33d8405fe2a28ef85ed22a223916/Crypto_Losses_in_May_2024.pdf

Шаблон отчета об аудите

https://github.com/spo0ds/audit-report-template?tab=readme-ov-file

Много интересного! 🧠🫡

Learning:

1 Безопасная настройка сервера Discord вашего криптопроекта

2 Деанонимизация валидаторов Ethereum: в сети P2P есть проблема с конфиденциальностью .

3 Dark Skippy — мощный метод, с помощью которого вредоносное подписывающее устройство может выдать секретные ключи. Злонамеренный подписывающий может использовать измененную функцию подписи, чтобы эффективно и скрытно извлечь свой главный секретный ключ, внедрив его в подписи транзакций.

4 Постоянная угроза: почему атаки с повторным входом остаются проблемой в Web3

5 Демонстрация квитанций: понимание современной экосистемы программ-вымогателей

6 Разоблачение облачной криптографии: Google Cloud Platform

7 Изучаем Sui: технология, лежащая в основе высокой производительности и безопасности контрактов

TON

1 Введение в TON: учетные записи, токены, транзакции и безопасность

2 Лучшие практики обеспечения безопасности смарт-контрактов Toncoin

Deep learning:

1 Анализ последствий копирования и вставки уязвимых фрагментов кода Solidity с веб-сайтов вопросов и ответов

2 Использование оптимизации задержки при пересылке транзакций Ethereum

3 Демистификация и обнаружение криптографических дефектов в смарт-контрактах Ethereum .

4 Обобщение и анализ методов сохранения конфиденциальности в биткоине и других криптовалютах .

Tools:

1 tbl - cli-инструмент для чтения и редактирования файлов parquet. Последнее творение Storm позволяет легко управлять наборами данных блокчейна .

2 Языки смарт-контрактов: сравнительный анализ

New Tools! 🌐

Hacks Dashboard от Dune. Комплексная панель мониторинга мошенничества, фишинга и взломов с нескольких ресурсов.

RiskEVM — Мощный инструмент тестирования, специально разработанный для моделирования реальных сценариев рынка DeFi с высоким уровнем точности и эффективности.

🎩🥂

1 Странные токены erc721

В этом репозитории содержатся примеры токенов ERC721 (NFT) на языке Solidity, поведение которых может оказаться удивительным или неожиданным.
Цель этого репозитория — стать ценным ресурсом для разработчиков и аудиторов
Если вы разрабатываете токен ERC721, считайте этот репозиторий руководством по потенциальным подводным камням и поведению, к которому следует подходить с осторожностью. Если вы создаете протокол, взаимодействующий с токенами ERC721, вам настоятельно рекомендуется учитывать эти случаи или, по крайней мере, определить, какие сценарии ваш продукт намерен поддерживать.


2 Картографирование ландшафта преступности DeFi: картина, основанная на доказательствах

В данном исследовании рассматриваются преступления, направленные на децентрализованные финансы (DeFi), в период с 2017 по 2022 год: 1036 событий связаны с DeFi и 105 - с централизованными финансами. Минимальный ущерб всей индустрии криптоактивов составил 30 миллиардов долларов, две трети из которых были связаны с централизованными финансами, а одна треть - с DeFi. Субъекты DeFi могут быть прямыми целями, преступниками или посредниками, при этом 52 % событий были направлены против них из-за технических уязвимостей и на них приходится 83 % финансовых потерь

3 Фаззинг смарт-контрактов с целью выявления прибыльных уязвимостей

Одним из направлений гонки вооружений в области безопасности являются прибыльные уязвимости, которыми могут воспользоваться злоумышленники. Фаззинг является ключевым методом выявления этих уязвимостей.
Разработчики рассказывают о среде VERITE, ориентированную на выгодную структуру фаззинга смарт-контрактов, которая не только эффективно обнаруживает эти уязвимости, но и максимизирует эксплуатируемый профит.

4 Уникальная атака по деанонимизации в 0 кликов, нацеленная на Signal, Discord и сотни других платформ, разработанная hackermondev.

5 Анализ методов фишинга Web3 от SlowMist.

6 Понимание использования криптовалют картелями

После инаугурации Дональда Трампа правительство США причислило мексиканские наркокартели к террористическим организациям, что позволило внести существенные юридические и операционные изменения. Этот шаг был направлен на разрушение финансовых сетей картелей, включая использование ими криптовалют. Картели использовали криптовалюты для отмывания денег, перевода средств и покупки химикатов, необходимых для производства наркотиков. Управление по контролю за иностранными активами Министерства финансов США (OFAC) ввело санкции против физических и юридических лиц, связанных с картелями, включая тех, кто участвует в криптовалютных операциях. Мексиканский картель Синалоа использовал криптовалюты для отмывания денег, причем сумма некоторых транзакций превышала 740 000 долларов. Министерство юстиции США также выдвинуло обвинения против лиц, причастных к отмыванию денег и наркоторговле.

7 Web3 Hack Postmortem 2024 от ChainLight. Подробный обзор крупных инцидентов безопасности за последний год, меры реагирования после инцидентов, отмывание денег и другие важные уроки.

8 Лучшие практики кибербезопасности для хедж-фондов, работающих с криптоактивами

9 Документы blocsec (обзор иструментов для анализа, полезные инструменты для разработчиков)

10 Выборочные отчеты публичного аудита от OtterSec. В отличие от других репозиториев, этот охватывает Cosmos, Solana и другие сети.


Tools:

1 Поиск похожих контрактов с помощью Etherscan
Найдите другие контракты с похожим исходным кодом.

2 RugCheck — проверка токенов Solana

Part ll

1 BotDetect: децентрализованная федеративная обучающая среда для обнаружения финансовых ботов в блокчейнах EVM

В этой статье представлен подход децентрализованного федеративного обучения (DFL) для обнаружения финансовых ботов в блокчейнах на основе виртуальной машины Ethereum (EVM). Предлагаемая структура использует федеративное обучение, организованное с помощью смарт-контрактов, для обнаружения вредоносного поведения ботов, сохраняя при этом конфиденциальность данных и согласуясь с децентрализованной природой блокчейн-сетей. Устраняя ограничения как централизованных, так и основанных на правилах подходов, наша система позволяет каждому участвующему узлу обучать локальные модели на истории транзакций и данных взаимодействия смарт-контрактов с последующей агрегацией обновлений модели в цепочке с помощью механизма разрешенного консенсуса. Такая конструкция позволяет модели фиксировать сложное и развивающееся поведение ботов, не требуя прямого обмена данными между узлами. Экспериментальные результаты показывают, что наша структура DFL достигает высокой точности обнаружения, сохраняя при этом масштабируемость и надежность, предоставляя эффективное решение для обнаружения ботов в распределенных сетях блокчейнов


2 EVM trackooor — это фреймворк для отслеживания любых данных в блокчейне. Он позволяет пользователям легко запрашивать и обрабатывать данные блокчейна, включая журналы событий, транзакции и добытые блоки.

По сути, он позволяет вам регистрировать, какие данные вы хотите получить из блокчейна, будь то события, исходящие из определенного контракта, или транзакции определенного аккаунта. Затем вы можете определить, что произойдет, когда вы получите данные, например, обработаете их и запишете в базу данных или отправите оповещение через веб-хук.

Документ от chainalysis:

Как традиционные финансовые учреждения могут поэтапно внедрять криптовалюту