Путь к освоению безопасности смарт-контрактов стал проще

Погрузитесь в коллективное хранилище ресурсов по безопасности (статей, видео, инструментов, твитов и т. д.) от ведущих аудиторов и компаний. SmartSecHub — это открытая платформа, обогащенная вкладом сообщества. Изучайте разнообразные темы, учитесь у экспертов и вносите свой вклад в растущую базу знаний.

Добавлена реакция.
Теперь можно смеяться )

P.s всем выжившим первого числа салют !

Делюсь документом с ограниченным доступом от ChainLight

Взлом Web3 : Post-Mortem
Пароль: duediligence

Включает в себя более ста разборов кейсов со взломом множества компаний.

Эксплойты, ущербы от каждого типа инцидента + цепочки, лежащие в основе возникновения инцидентов.

По традиции делюсь сводкой из руководств и документов.

Тенденции кибербезопасности на 2024 год, роадмап по солане, инструменты и многое другое.

Так же здесь собраны отчеты за прошедший год от множества компаний которые вы можете использовать для анализа.


Начнем с отчетов:

1 Глобальная статистика безопасности Web3 и анализ борьбы с отмыванием денег за 2023 год проведенная Beosin

2 Отчет De.Fi Rekt: Потери криптовалюты за 2023 год

3 Hack3d: отчет о безопасности Web3 за 2023 год

4 Годовой отчет по безопасности блокчейна и борьбе с отмыванием денег за 2023 год от slowmist

5 Ежегодный отчет о безопасности Web3 за 2023 год от QuillAudits

К руководствам:

1 Руководство по безопасности DeFi

2 Roadmap безопасности dApp Solana

3 Изучение Соланы: комплексное руководство по учетным записям, токенам, транзакциям и обеспечению безопасности активов

4 Кураторский список ссылок на экосистему Cosmos с упором на ее аспект безопасности.

5 Криптографическая асимметрия и как отключить мост Cosmos-Ethereum

6 Курс программирования EVM & Yul от deliriusz

Часть 1 , 2 , 3


Материалы для входа в 2024 и другое:

1 Тенденции кибербезопасности 2024
Immunefi & Zellic подкаст (Осторожно! Твиттер!)

2 Инструменты и советы по работе с данными Web3 — Ежегодное руководство на 2024 год. Индексаторы, механизмы запросов, преобразования данных и ZK реверс ETL - ключевые компоненты, которые вам необходимо понимать для навигации по криптографическим данным.

3 Перемотка аудитов смарт-контрактов за 2023 год от участников и победителей различных конкурсов.

4 Анализ хищений посредством санкционированных вредоносных контрактов

Новая площадка:

0xHacked0xHacked - Здесь «белые шляпы» могут предоставить доказательства использования эксплойта, чтобы потребовать вознаграждение за обнаружение ошибок, не раскрывая деталей с помощью доказательства с нулевым разглашением

Good morning, gentlemen aristocrats. 🫡

Для аналитики :

1 Панель мониторинга инцидентов безопасности (превышающие 100k$) С адресами, цепочками, уязвимостями и датой

2 Отчет о криптопреступлениях за 2024 год от Chainalysis

Руководства и исследования:

1 D.U.C.K — База знаний, которая предоставляет систему реагирования на риски и инциденты с открытым исходным кодом для операторов узлов Lido (beta version)

2 Подробное исследование потенциала улучшения смарт-контрактов с использованием модели GPT-4

3 Глобальное исследование:"Latency is Money: Timing Games"

Предполагаемая аудитория: исследователи и стейкеры Ethereum. Вы понимаете цепочку поставок MEV, имеете базовое представление о фазах слота и хорошо знакомы с ролями, которые играют строители, реле и пропперы. Вы знаете, что такое тайминговые игры, и разбираетесь в негативных внешних эффектах, которые они вызывают для сети.

4 Лучшие практики безопасности смарт-контрактов Solana от SlowMist

5 Uniswap v3: интересный обзор от NicaN0r

6 «Обнаружение Auxdatas в байт-коде»

7 ERC404: Экспериментальный полувзаимозаменяемый стандарт от Three Sigma , который охватывает функциональность токена и проблемы безопасности.

СМИ:

Web3 Security в 2024 году X Space (при участии pashov, juliettech, bytes032, nisedo)

Слушаем и практикуем:

Выступление «Освоение фаззинга» и соотвествуюший репозиторий, содержащий примеры фаззинга Foundry и Echidna.

Инструменты:

1 Key by TrueBlocks - получите полный исторический список появлений (номер блока, идентификатор транзакции) для любого адреса Ethereum.

2 Libmev - MEV-транзакция и обозреватель блоков.

3 Fuzz-utils - автоматизированный инструмент для создания модульных тестов Foundry на основе ошибочных свойств фаззера смарт-контрактов с помощью Crytic.

🫡🎩

Руководства и исследования:

1 Обзор инструментов аудита смарт-контрактов: плюсы, минусы и необходимость ручных проверок

2 Поддерживаемая сообществом коллекция ошибок, уязвимостей и эксплойтов в приложениях, использующих криптографию ZK.

3 Открытый набор данных, содержащий проблемы аудита смарт-контрактов из различных источников

4 Как безопасно перевести невостребованные токены из взломанного кошелька

5 Обучение путем взлома: практический пример LayerZero
Часть 1 , 2 , 3 ( by Trust Security. )

6 Все о Uniswap (репозиторий GitHub)

7 Отчет ФБР об интернет-преступлениях за 2023 год указывает на рост мошенничества с инвестициями в криптовалюту на миллиард долларов. Эта цифра, вероятно, резко возрастет, когда мы вступим в бычий рынок

Инструменты

1 Glider: революция в аудите и анализе безопасности Web3

2 Онлайн-кодировщик ABI

3 BALLS - DSL для генерации оптимального байт-кода

4 lazy-etherscanlazy-etherscan — простой пользовательский интерфейс терминала для Ethereum Blockchain Explorer

5 Репозиторий Gaslite CoreGaslite Core Repository — гипероптимизированные смарт-контракты от PopPunk для повседневного использования

6 Riverguard: ловля потерь средств в потоке транзакций

Tweak - позволяет пользователям/разработчикам изменять код ончейн-контракта, сохраняя состояние ончейна нетронутым. Допускаются практически любые изменения при условии сохранения схемы хранения

Оценка и тестирование лучших протоколов DeFi (+выводы)

BugBounty Companion от tintinweb.

Компаньон BugBounty, который проверяет кодовые базы Bug Bounty с высоким вознаграждением от Immunefi/code4rena

(используйте на свой страх и риск)

Immunefi-terminal - единственный терминал для поиска крипто-ошибок, который вам когда-либо понадобится.

1 Используйте Datasette, чтобы просмотреть все доступные награды за обнаружение ошибок на Immunefi.

2 Создавайте сложные SQL-запросы с помощью своего личного хранилища данных об обнаружении ошибок.

3 Получайте обновления от Immunefi для любого проекта.

4 Найдите репозитории и адреса в цепочке, которые вы хотите проверить.

5 Беспроблемная загрузка любого исходного кода из любой программы поиска ошибок.

6 Гарантированная компиляция целей в цепочке с исправленной Crytic-compile.

Уязвимости встроенной сборки Solidity

https://dacian.me/solidity-inline-assembly-vulnerabilities

Живая ветка об известных #malware, замаскированных под программное обеспечение для встреч, web3-игры и т. д., нацеленных на нашу криптоэкосистему

https://twitter.com/d0wnlore/status/1793848775733379535

Современные протоколы кредитования DeFi, как это сделано на примерах: Euler V2 , Curve LlamaLend:

Euler V2 - представляет модульную конструкцию, включая Euler Vault Kit (EVK), позволяющую разработчикам настраивать кредитование. проекты хранилищ и Ethereum Vault Connector (EVC), инструмент для подключения хранилищ ERC-4626 к различным смарт-контрактам.

Curve LlamaLend — это набор кредитных рынков, работающих с CrvUSD в качестве стейблкоина

Это очень интересный протокол кредитования, построенный на основе стейблкоина CrvUSD и использующий его основной компонент: AMM. К особенностям CrvUSD относятся интригующая математическая модель и механика стабилизации, которая работает с ценовыми диапазонами (аналогично тикам, используемым в Uniswap V3), но по-другому. Кроме того, CrvUSD использует мягкую ликвидацию, которая работает совершенно иначе, чем традиционная ликвидация. Протокол разработан в основном на Vyper, наряду со многими другими примечательными функциями.

В дополнение :

Уязвимые места протоколов кредитования

Временное ограничение взаимодействия смарт-контрактов Solidity

В этой работе исследуются способы ограничения возможности вызова функций смарт-контракта Solidity в течение определенного периода времени. Авторы описывают методы, позволяющие запретить двойной вызов функций в одной и той же транзакции, блоке или периоде времени. Это связано с понятием нереентерабельных функций, которые могут быть вызваны в рамках предыдущего выполнения. Эти методы можно использовать для ограничения взаимодействия с целыми наборами функций смарт-контрактов.

https://arxiv.org/html/2405.09084v1

Ближайшее и среднесрочное будущее улучшения безопасности и децентрализации сети Ethereum,

автор: Виталик Бутерин

1 MEV и зависимость от застройщика
2 Ликвидный стейкинг
3 Аппаратные требования узлов


https://vitalik.eth.limo/general/2024/05/17/decentralization.html

Zelliс выпустил автономную библиотеку Python для анализа и преобразования исходного кода Solidity под названием SOLP предназначенная как для разработчиков, так и для аудиторов.

Библиотека довольно мощная и способна создавать стабильные AST, которые отлично подходят для анализа кода

Учитывает различия между версиями Solidity и настройкой кодовой базы и позволяет пользователю сосредоточиться на реализации собственных эвристик, анализа и преобразователей кода

Крипто-потери в мае 2024 года по данным Immunefi

https://assets.ctfassets.net/t3wqy70tc3bv/8N4fVPv3FeE3yUp2RryfD/f73a33d8405fe2a28ef85ed22a223916/Crypto_Losses_in_May_2024.pdf

Шаблон отчета об аудите

https://github.com/spo0ds/audit-report-template?tab=readme-ov-file

Много интересного! 🧠🫡

Learning:

1 Безопасная настройка сервера Discord вашего криптопроекта

2 Деанонимизация валидаторов Ethereum: в сети P2P есть проблема с конфиденциальностью .

3 Dark Skippy — мощный метод, с помощью которого вредоносное подписывающее устройство может выдать секретные ключи. Злонамеренный подписывающий может использовать измененную функцию подписи, чтобы эффективно и скрытно извлечь свой главный секретный ключ, внедрив его в подписи транзакций.

4 Постоянная угроза: почему атаки с повторным входом остаются проблемой в Web3

5 Демонстрация квитанций: понимание современной экосистемы программ-вымогателей

6 Разоблачение облачной криптографии: Google Cloud Platform

7 Изучаем Sui: технология, лежащая в основе высокой производительности и безопасности контрактов

TON

1 Введение в TON: учетные записи, токены, транзакции и безопасность

2 Лучшие практики обеспечения безопасности смарт-контрактов Toncoin

Deep learning:

1 Анализ последствий копирования и вставки уязвимых фрагментов кода Solidity с веб-сайтов вопросов и ответов

2 Использование оптимизации задержки при пересылке транзакций Ethereum

3 Демистификация и обнаружение криптографических дефектов в смарт-контрактах Ethereum .

4 Обобщение и анализ методов сохранения конфиденциальности в биткоине и других криптовалютах .

Tools:

1 tbl - cli-инструмент для чтения и редактирования файлов parquet. Последнее творение Storm позволяет легко управлять наборами данных блокчейна .

2 Языки смарт-контрактов: сравнительный анализ