Good morning, gentlemen aristocrats. 🫡

Для аналитики :

1 Панель мониторинга инцидентов безопасности (превышающие 100k$) С адресами, цепочками, уязвимостями и датой

2 Отчет о криптопреступлениях за 2024 год от Chainalysis

Руководства и исследования:

1 D.U.C.K — База знаний, которая предоставляет систему реагирования на риски и инциденты с открытым исходным кодом для операторов узлов Lido (beta version)

2 Подробное исследование потенциала улучшения смарт-контрактов с использованием модели GPT-4

3 Глобальное исследование:"Latency is Money: Timing Games"

Предполагаемая аудитория: исследователи и стейкеры Ethereum. Вы понимаете цепочку поставок MEV, имеете базовое представление о фазах слота и хорошо знакомы с ролями, которые играют строители, реле и пропперы. Вы знаете, что такое тайминговые игры, и разбираетесь в негативных внешних эффектах, которые они вызывают для сети.

4 Лучшие практики безопасности смарт-контрактов Solana от SlowMist

5 Uniswap v3: интересный обзор от NicaN0r

6 «Обнаружение Auxdatas в байт-коде»

7 ERC404: Экспериментальный полувзаимозаменяемый стандарт от Three Sigma , который охватывает функциональность токена и проблемы безопасности.

СМИ:

Web3 Security в 2024 году X Space (при участии pashov, juliettech, bytes032, nisedo)

Слушаем и практикуем:

Выступление «Освоение фаззинга» и соотвествуюший репозиторий, содержащий примеры фаззинга Foundry и Echidna.

Инструменты:

1 Key by TrueBlocks - получите полный исторический список появлений (номер блока, идентификатор транзакции) для любого адреса Ethereum.

2 Libmev - MEV-транзакция и обозреватель блоков.

3 Fuzz-utils - автоматизированный инструмент для создания модульных тестов Foundry на основе ошибочных свойств фаззера смарт-контрактов с помощью Crytic.

🫡🎩

Руководства и исследования:

1 Обзор инструментов аудита смарт-контрактов: плюсы, минусы и необходимость ручных проверок

2 Поддерживаемая сообществом коллекция ошибок, уязвимостей и эксплойтов в приложениях, использующих криптографию ZK.

3 Открытый набор данных, содержащий проблемы аудита смарт-контрактов из различных источников

4 Как безопасно перевести невостребованные токены из взломанного кошелька

5 Обучение путем взлома: практический пример LayerZero
Часть 1 , 2 , 3 ( by Trust Security. )

6 Все о Uniswap (репозиторий GitHub)

7 Отчет ФБР об интернет-преступлениях за 2023 год указывает на рост мошенничества с инвестициями в криптовалюту на миллиард долларов. Эта цифра, вероятно, резко возрастет, когда мы вступим в бычий рынок

Инструменты

1 Glider: революция в аудите и анализе безопасности Web3

2 Онлайн-кодировщик ABI

3 BALLS - DSL для генерации оптимального байт-кода

4 lazy-etherscanlazy-etherscan — простой пользовательский интерфейс терминала для Ethereum Blockchain Explorer

5 Репозиторий Gaslite CoreGaslite Core Repository — гипероптимизированные смарт-контракты от PopPunk для повседневного использования

6 Riverguard: ловля потерь средств в потоке транзакций

Tweak - позволяет пользователям/разработчикам изменять код ончейн-контракта, сохраняя состояние ончейна нетронутым. Допускаются практически любые изменения при условии сохранения схемы хранения

Оценка и тестирование лучших протоколов DeFi (+выводы)

BugBounty Companion от tintinweb.

Компаньон BugBounty, который проверяет кодовые базы Bug Bounty с высоким вознаграждением от Immunefi/code4rena

(используйте на свой страх и риск)

Immunefi-terminal - единственный терминал для поиска крипто-ошибок, который вам когда-либо понадобится.

1 Используйте Datasette, чтобы просмотреть все доступные награды за обнаружение ошибок на Immunefi.

2 Создавайте сложные SQL-запросы с помощью своего личного хранилища данных об обнаружении ошибок.

3 Получайте обновления от Immunefi для любого проекта.

4 Найдите репозитории и адреса в цепочке, которые вы хотите проверить.

5 Беспроблемная загрузка любого исходного кода из любой программы поиска ошибок.

6 Гарантированная компиляция целей в цепочке с исправленной Crytic-compile.

Уязвимости встроенной сборки Solidity

https://dacian.me/solidity-inline-assembly-vulnerabilities

Живая ветка об известных #malware, замаскированных под программное обеспечение для встреч, web3-игры и т. д., нацеленных на нашу криптоэкосистему

https://twitter.com/d0wnlore/status/1793848775733379535

Современные протоколы кредитования DeFi, как это сделано на примерах: Euler V2 , Curve LlamaLend:

Euler V2 - представляет модульную конструкцию, включая Euler Vault Kit (EVK), позволяющую разработчикам настраивать кредитование. проекты хранилищ и Ethereum Vault Connector (EVC), инструмент для подключения хранилищ ERC-4626 к различным смарт-контрактам.

Curve LlamaLend — это набор кредитных рынков, работающих с CrvUSD в качестве стейблкоина

Это очень интересный протокол кредитования, построенный на основе стейблкоина CrvUSD и использующий его основной компонент: AMM. К особенностям CrvUSD относятся интригующая математическая модель и механика стабилизации, которая работает с ценовыми диапазонами (аналогично тикам, используемым в Uniswap V3), но по-другому. Кроме того, CrvUSD использует мягкую ликвидацию, которая работает совершенно иначе, чем традиционная ликвидация. Протокол разработан в основном на Vyper, наряду со многими другими примечательными функциями.

В дополнение :

Уязвимые места протоколов кредитования

Временное ограничение взаимодействия смарт-контрактов Solidity

В этой работе исследуются способы ограничения возможности вызова функций смарт-контракта Solidity в течение определенного периода времени. Авторы описывают методы, позволяющие запретить двойной вызов функций в одной и той же транзакции, блоке или периоде времени. Это связано с понятием нереентерабельных функций, которые могут быть вызваны в рамках предыдущего выполнения. Эти методы можно использовать для ограничения взаимодействия с целыми наборами функций смарт-контрактов.

https://arxiv.org/html/2405.09084v1

Ближайшее и среднесрочное будущее улучшения безопасности и децентрализации сети Ethereum,

автор: Виталик Бутерин

1 MEV и зависимость от застройщика
2 Ликвидный стейкинг
3 Аппаратные требования узлов


https://vitalik.eth.limo/general/2024/05/17/decentralization.html

Zelliс выпустил автономную библиотеку Python для анализа и преобразования исходного кода Solidity под названием SOLP предназначенная как для разработчиков, так и для аудиторов.

Библиотека довольно мощная и способна создавать стабильные AST, которые отлично подходят для анализа кода

Учитывает различия между версиями Solidity и настройкой кодовой базы и позволяет пользователю сосредоточиться на реализации собственных эвристик, анализа и преобразователей кода

Крипто-потери в мае 2024 года по данным Immunefi

https://assets.ctfassets.net/t3wqy70tc3bv/8N4fVPv3FeE3yUp2RryfD/f73a33d8405fe2a28ef85ed22a223916/Crypto_Losses_in_May_2024.pdf

Шаблон отчета об аудите

https://github.com/spo0ds/audit-report-template?tab=readme-ov-file

Много интересного! 🧠🫡

Learning:

1 Безопасная настройка сервера Discord вашего криптопроекта

2 Деанонимизация валидаторов Ethereum: в сети P2P есть проблема с конфиденциальностью .

3 Dark Skippy — мощный метод, с помощью которого вредоносное подписывающее устройство может выдать секретные ключи. Злонамеренный подписывающий может использовать измененную функцию подписи, чтобы эффективно и скрытно извлечь свой главный секретный ключ, внедрив его в подписи транзакций.

4 Постоянная угроза: почему атаки с повторным входом остаются проблемой в Web3

5 Демонстрация квитанций: понимание современной экосистемы программ-вымогателей

6 Разоблачение облачной криптографии: Google Cloud Platform

7 Изучаем Sui: технология, лежащая в основе высокой производительности и безопасности контрактов

TON

1 Введение в TON: учетные записи, токены, транзакции и безопасность

2 Лучшие практики обеспечения безопасности смарт-контрактов Toncoin

Deep learning:

1 Анализ последствий копирования и вставки уязвимых фрагментов кода Solidity с веб-сайтов вопросов и ответов

2 Использование оптимизации задержки при пересылке транзакций Ethereum

3 Демистификация и обнаружение криптографических дефектов в смарт-контрактах Ethereum .

4 Обобщение и анализ методов сохранения конфиденциальности в биткоине и других криптовалютах .

Tools:

1 tbl - cli-инструмент для чтения и редактирования файлов parquet. Последнее творение Storm позволяет легко управлять наборами данных блокчейна .

2 Языки смарт-контрактов: сравнительный анализ

New Tools! 🌐

Hacks Dashboard от Dune. Комплексная панель мониторинга мошенничества, фишинга и взломов с нескольких ресурсов.

RiskEVM — Мощный инструмент тестирования, специально разработанный для моделирования реальных сценариев рынка DeFi с высоким уровнем точности и эффективности.

🎩🥂

1 Странные токены erc721

В этом репозитории содержатся примеры токенов ERC721 (NFT) на языке Solidity, поведение которых может оказаться удивительным или неожиданным.
Цель этого репозитория — стать ценным ресурсом для разработчиков и аудиторов
Если вы разрабатываете токен ERC721, считайте этот репозиторий руководством по потенциальным подводным камням и поведению, к которому следует подходить с осторожностью. Если вы создаете протокол, взаимодействующий с токенами ERC721, вам настоятельно рекомендуется учитывать эти случаи или, по крайней мере, определить, какие сценарии ваш продукт намерен поддерживать.


2 Картографирование ландшафта преступности DeFi: картина, основанная на доказательствах

В данном исследовании рассматриваются преступления, направленные на децентрализованные финансы (DeFi), в период с 2017 по 2022 год: 1036 событий связаны с DeFi и 105 - с централизованными финансами. Минимальный ущерб всей индустрии криптоактивов составил 30 миллиардов долларов, две трети из которых были связаны с централизованными финансами, а одна треть - с DeFi. Субъекты DeFi могут быть прямыми целями, преступниками или посредниками, при этом 52 % событий были направлены против них из-за технических уязвимостей и на них приходится 83 % финансовых потерь

3 Фаззинг смарт-контрактов с целью выявления прибыльных уязвимостей

Одним из направлений гонки вооружений в области безопасности являются прибыльные уязвимости, которыми могут воспользоваться злоумышленники. Фаззинг является ключевым методом выявления этих уязвимостей.
Разработчики рассказывают о среде VERITE, ориентированную на выгодную структуру фаззинга смарт-контрактов, которая не только эффективно обнаруживает эти уязвимости, но и максимизирует эксплуатируемый профит.

4 Уникальная атака по деанонимизации в 0 кликов, нацеленная на Signal, Discord и сотни других платформ, разработанная hackermondev.

5 Анализ методов фишинга Web3 от SlowMist.

6 Понимание использования криптовалют картелями

После инаугурации Дональда Трампа правительство США причислило мексиканские наркокартели к террористическим организациям, что позволило внести существенные юридические и операционные изменения. Этот шаг был направлен на разрушение финансовых сетей картелей, включая использование ими криптовалют. Картели использовали криптовалюты для отмывания денег, перевода средств и покупки химикатов, необходимых для производства наркотиков. Управление по контролю за иностранными активами Министерства финансов США (OFAC) ввело санкции против физических и юридических лиц, связанных с картелями, включая тех, кто участвует в криптовалютных операциях. Мексиканский картель Синалоа использовал криптовалюты для отмывания денег, причем сумма некоторых транзакций превышала 740 000 долларов. Министерство юстиции США также выдвинуло обвинения против лиц, причастных к отмыванию денег и наркоторговле.

7 Web3 Hack Postmortem 2024 от ChainLight. Подробный обзор крупных инцидентов безопасности за последний год, меры реагирования после инцидентов, отмывание денег и другие важные уроки.

8 Лучшие практики кибербезопасности для хедж-фондов, работающих с криптоактивами

9 Документы blocsec (обзор иструментов для анализа, полезные инструменты для разработчиков)

10 Выборочные отчеты публичного аудита от OtterSec. В отличие от других репозиториев, этот охватывает Cosmos, Solana и другие сети.


Tools:

1 Поиск похожих контрактов с помощью Etherscan
Найдите другие контракты с похожим исходным кодом.

2 RugCheck — проверка токенов Solana