Есть ли мошенническая торговля на централизованных биржах?

Отмывочная торговля на криптовалютных биржах — тема не новая. Из-за отсутствия регулирования на централизованных биржах некоторые CEX склонны скрывать свои сделки, чтобы скрыть истинные объемы торгов, чтобы улучшить свой рейтинг по объему торгов.
В статье представлен анализ объема торгов для выявления и уточнения поддельного объема торгов.

https://mirror.xyz/x-explore.eth/i3MmA_prEYnRT5jin7JI-L4i6BE_vfl_Y1k7DTYpi8M

Ребрендинг.

Считаю что тема обучения по solidity дает исчерпывающие ответы на вопросы в этом канале.
Для успешного вступления пройдемся по всем основам ниже где я прикреплю ссылки избранные личным двухлетним опытом.

Мы устали быть в рамках за которые уже давно вылезли. Пришло время охватывать большее количество информации и тем, с которыми мы будем делиться с вами в этом канале. Смена названия канала дает больше простора.
Посты на тему solidity так же будут выходить, как только на эту тему будут появляться обширные материалы.

Ничего не меняется в корне, мы лишь будем затрагивать большее количество тем: аудит смарт-контрактов, безопасность, исследования феноменов бирж, гуманитарные статьи на тему web3 и многое другое.


BlockainDeveloperRoadmaps - три вариации на выбор:

первая
вторая
третья

Сборник телеграмм каналов и чатов
Плагины для VSCode
Настройка платформы разработки Dapp
Идеи для практики
Самая масштабная база уязвимостей смарт-контрактов на данный момент
Гранты Ethereum
Google web3 jobs

Tools for blockchain security by Anon

Blockchain Security Roadmap

Все векторы атак на смарт-контракты

The Eye of Horus: выявление и анализ атак на смарт-контракты Ethereum

BLOCKEYE - Охота за DeFi атаками на блокчейне

Обнаружение топологических аномалий в динамических многослойных блокчейн-сетях

Верификация постепенного алгоритма дерева Меркла с помощью Dafny

GoHammer: Инструмент для тестирования производительности блокчейна

EtherClue: digital-расследование атак на смарт-контракты Ethereum

Анализ требований и оценка платформ блокчейн по возможным вариантам использования

Заметка о конфиденциальности в постоянных функциях маркет-мейкеров

Подход к обнаружению уязвимости отказа в обслуживании в смарт-контрактах Ethereum

AGSolT: инструмент для автоматизированной генерации тест-кейсов для смарт-контрактов

Идентификация уязвимости реентерабельности в смарт-контрактах Ethereum

Coinbugs: Перечисление распространенных уязвимостей на уровне реализации блокчейна

SuMo: Стратегия тестирования мутаций для смарт-контрактов Solidity

Framework and Dataset для поиска багов в смарт-контрактах

Блокчейн-мосты, не требующие доверия и сохраняющие конфиденциальность

Контрольные списки безопасности при разработке смарт-контрактов Ethereum: образцы и лучшие практики

Динамическое обнаружение уязвимостей в смарт-контрактах с помощью машинного обучения

Targeting the Weakest Link: Атаки социальной инженерии в смарт-контрактах Ethereum

DEFECTCHECKER: Автоматизированное обнаружение дефектов смарт-контрактов путем анализа байткода EVM

Профайлинг утечек газа в смарт-контрактах

Обнаружение уязвимостей смарт-контракта Ethereum с помощью глубокой нейронной сети и трансфертного обучения

Что такое флэш-кредит-атаки?

Флэш-кредиты являются относительно новой технологией и, следовательно, подвержены атакам со стороны хакеров и злоумышленников, которые пытаются обмануть систему и использовать ее в своих интересах.

При атаке на мгновенную ссуду заемщик может обмануть кредитора, заставив его поверить в то, что ссуда была полностью погашена, даже если это не так.

Технически вор выдает себя за заемщика и берет срочный кредит из кредитного протокола. Затем протокол используется для манипулирования рынком и обмана кредиторов. В некоторых случаях злоумышленники создают арбитражные возможности для использования уязвимых смарт-контрактов. Таким образом, злоумышленники могут покупать токены по дешевке или продавать их по более высоким ценам на эксплуатируемые контракты.

Почему в DeFi происходят атаки с использованием мгновенных кредитов?
Атаки с использованием мгновенных кредитов распространены, потому что их проще и быстрее всего осуществить.

Это связано с тем, что протоколы, связанные с быстрыми кредитами, еще не защищены от новых атак и манипуляций. Поскольку транзакции происходят за считанные секунды, хакеры могут атаковать сразу несколько рынков.

Наиболее распространенные атаки с использованием флэш-кредитов в DeFi — это поддельные арбитражные возможности, о которых мы упоминали выше. При флэш-кредит-атаке злоумышленник создает возможность арбитража, изменяя относительную стоимость торговой пары токенов. Это можно сделать, используя их кредитные токены, чтобы заполнить контракт и создать проскальзывание.

Как системы DeFi могут защитить себя от флэш-кредит-атак?

Подавляющее большинство взломов DeFi — это атаки с использованием флэш-кредитов. Поскольку технология является новой, уязвимости не сразу бросаются в глаза, и для их выявления могут потребоваться опытные разработчики.

Атаки с использованием флэш-кредитов могут стоить протоколам DeFi и их пользователям сотен миллионов долларов. Таким образом, должны быть приняты меры безопасности, чтобы гарантировать надежность и чистоту протокола.

Пост выше тезис к этому посту

13 марта 2023 года Euler Finance подвергся серьезному взлому, в результате чего было потеряно около 196 миллионов долларов активов.

Прочитал новость о том, что хакер все таки вернул 200 миллионов долларов.
Пока не понятно что заставило его повернуть назад

Статья о эксплуатации экспресс-кредита Euler Finance на 196 миллионов | Узнайте, как повторить взлом с помощью флеш-кредит-атаки :

Ссылка на статью

Код на GitHub

🛠 Подборка источников и инструментов для аудита.

Редкие инструменты для аудита:

• github.com/naddison36/sol2uml
• github.com/naddison36/tx2uml
• twitter.com/danielvf/status/1637815201243320320
• openchain.xyz/trace
• github.com/PraneshASP/vscode-solidity-inspector
• evm-slotreader.on.fleek.co
• github.com/Jon-Becker/heimdall-rs (decompile.tools)
• github.com/DanielVF/evm-contract-draw
• lab.miguelmota.com/ethereum-input-data-decoder/example
• antoncoding.github.io/eth-tx-decoder
• github.com/nascentxyz/pyrometer
• twxtter.com/FungifyNFT/status/1638230119960420380
• tx.eigenphi.io/analyseTransaction
• github.com/SheldonHolmgren/code2pdf/blob/master/MakerDAO
• github.com/ziyadedher/evm-bench
• tenderly.co

Аккаунты аудиторов в twitter:
Faith, patrickd, zzykxx, Trust, okkothejawa, pashov, afeli.eth, WINTΞR, philogy, Liam | Sydney, WATCHPUG, 0xrudra, Samrat Gupta, rmi7.eth, Christoph Michel, Officer's Notes, alpharush.

(Подборка аудиторов by Влад) https://news.1rj.ru/str/solidityset

Опрос разработчиков за 2022 год

Статистика о:

Местоположении
Сколько времени потрачено на обучение
Внесение вклада в проекты с открытым исходным кодом
И многое другое


https://blog.soliditylang.org/2023/03/10/solidity-developer-survey-2022-results/

Immunefi Crypto Losses Report Q12023

This is how I found my second high severity vuln on @immunefi

Или как я нашёл уязвимость уровня high на immunefi

https://zzykxx.com/2023/02/27/a-very-helpful-sign/

Twitter : https://twitter.com/zzykxx?s=21&t=FSoNvV1PWGLv0sdnDFmuOA

Solhunt - это статический анализатор Solidity. Он предназначен для поиска наиболее распространенных уязвимостей перед началом ручного аудита.

https://t.co/rsRyym7chZ

https://twitter.com/franfraneth/status/1644391363364913153?s=46&t=FSoNvV1PWGLv0sdnDFmuOA

+Нашёл полезный курс по взлому Смарт контрактов

https://t.co/7hgfZcC9JL?ssr=true

Моя персональня aggregated подборка задач связанные с аудитом смарт-контрактов, а также виды уязвимостей & взломы DeFi протоколов
Rektoff 👾

https://news.1rj.ru/str/dbtlp

Для всех аудиторов смарт-контрактов выкатили годноту! Датасет из 150 тысяч смарт-контрактов с Ethereum Mainnet, 175 миллионов строк кода! Применив чуть-чуть OSINT можно найти контракты с уязвимыми кусками кода.

Новые инструменты, уязвимости и исследования

Что нового принесли в сообщество за вторую половину апреля?

————————————
Найденные уязвимости:
————————————
- Уязвимость в TrustWallet расширение для браузера в ноябре прошлого года.

- Кража газа: обход обработчиков Ethermint

- Серия исследований программных кошельков: проблема реализации EIP-712, затрагивающая более 40 поставщиков (Coinspect)

- Критические ошибки в библиотеке Facebook/Polygon

- Gnosis Gnosis развернул хард-форк , чтобы исправить проблему с повторным входом в смарт-контракт
————————
Исследования:
————————
- EF/CF: высокопроизводительный тестинг смарт-контрактов для создания эксплойтов

- Как HYDN спасла средства пользователей на сумму 600 тысяч долларов для SushiSwap

- Взлом узла Ethereum от TrustChain

- Uniswap V2 — протокол DeFi, объясненныйUniswap V2

- Концепции кредитования DeFi, часть 1: кредитование и заимствование
-Концепции кредитования DeFi, часть 2: ликвидацияDeFi Lending Concepts Part 2: Liquidations
———————————
Новые инструменты:
———————————
- EVM Bytecode Decomplier - для сложных в декомпиляции смарт-контрактах

- MEV BlockerMEV Blocker защищает от атак с опережением и сэндвич-атак.

Safe Smart Accounts & Diamond Proxies

Safe — это модульный протокол Smart Account, который использует абстракцию учетной записи для создания широкого спектра кошельков и других решений через общий интерфейс плагинов.

Одной из целей контрактов Safe является модульность и расширяемость. Это необходимо для полного использования возможностей смарт-аккаунтов (абстракции учетных записей).

more details: safe.mirror.xyz

⇝ This is the index repository

общее количество смарт-контрактов, развëрнутых на Ethereum: (token/router/factory addresses laying etc)

GitHub: github.com/tintinweb/smart-contract-sanctuary

AST — это аббревиатура от абстрактного синтаксического дерева. Это концепция в информатике, которая представляет структуру исходного кода программы для использования компилятором и обычно является результатом фазы синтаксического анализа компилятора. Это дерево также помогает просматривать структуру исходного кода подобно тому, как DOM помогает просматривать структуру HTML-файла. Применение AST заключается в статическом анализе кода, при котором автоматизированные инструменты могут проходить AST программы, чтобы находить синтаксические ошибки и неверные шаблоны в коде, не выполняя его на самом деле, процесс, который помогает отладке при программировании Solidity.

Почему AST так важен?
Ссылка: