Это пиздец

Решил я сегодня покопаться в ADS, чтобы разобраться из-за чего могла произойти утечка кошельков.
Вариант со взломом серверов сразу отбросил, т.к шанс этого крайне мал, и не зря.

Сразу вспомнил про массовый дрейн летом 23 года и их локальную апишку. Тогда я нашёл локальную апишку, которая запускается из под процесса AdsPower на localhost:50325 , но не придал уделил особого внимания, т.к подумал что это апи для управления через puppeteer.
Сейчас решил сразу проверить её и просканить её роуты, сразу же попал на роут /status, сразу смутило то что на нём не было никакой авторизации.
После этого вскрыл asar файл и нашёл все остальные роуты этой апи - "/api/v1/browser/start","/api/v1/browser/stop","/api/v1/browser/active","/api/v1/browser/local-active" и все они так же работали без авторизации, но это не самое интересное, у этой апи были роуты - "/api/v1/browser/cloud-active","/api/v1/user/create","/api/v1/user/update","/api/v1/user/delete", которые сейчас удалены из локал апи в последних версиях ADS.
Эти и другие роуты давали полный доступ к управлению профилями и самый пиздец в том, что они не имеют проверку авторизации. Это даёт возможностью любому человеку поднять сайт, который будет инжектить js/wasm скрипт и в обход CORS обращаться к этой локальной апи из браузера и вносить какие-то изменения в профиль или собирать данные и отправлять на сервер злоумышленника.

На текущий момент все самые опасные роуты вырезаны, но я не исключаю возможность заражения машин, на которых был задрейнен ADS, т.к методы для создания профилей работают с файлововой системой напрямую и есть вероятность что там тоже была какая-то дыра.

Все скриншоты с расследования будут в комментариях, включая тест вызова локальной апи с сайта, как и вероятно производилась атака

📟 Прилетело из @KritosLTD

☯️ Почистить карму

Сегодня вечером наши искусственно-интеллектуальные бдения, залетайте https://youtube.com/live/eqjr2FOCEiI?feature=share

📟 Прилетело из @dev_in_ruby_colors

👧 На суши и девочек

#комментарии - дайджест:

1. Пессимистические доказательства в Agglayer mainnet.
Позволят добавлять сети с разными системами безопасности.
Эти доказательства проверяют, что сети обновляются правильно, что они ведут правильный учёт (не пытаются вывести больше, чем есть) и все сети вели правильный учёт.

2. Предлагают сделать Ethereum L1 ещё одним L2, а L1 сделать простой сетью для депозитов и выводов, доказательств роллапов и всё.
Как написал автор, много кода придётся написать, поэтому просто идея, которую вряд ли реализуют.
Но она интересная, поэтому я решил упомянуть.

3. Появилась возможность создания L1 блокчейнов ИИ-агентами ElizaOS при помощи Saga.

4. Про сеть исполнения Spicenet: оркестраторы (предоставляют оптимальный маршрут для выполнения заказов), исполнители и ребалансировщики (ребалансируют запасы исполнителей до желаемых пропорций).
Позволяет выходить за пределы экосистем, объединять активы и избавляться от фрагментации.

5. X статья про белую бумагу Berachain.
Основная цель блокчейна - согласовать стимулы между основными заинтересованными сторонами цепочки: dApps, пользователями и валидаторами. В то же время цепочка была спроектирована таким образом, чтобы приложения, созданные и используемые в ней, могли механически накапливать ценность обратно в цепочку, и наоборот.
Разница между другими механизмами консенсуса и PoL Berachain заключается в его распределении вознаграждений, где большинство из них поступает в хранилища вознаграждений приложений, а не в карманы валидаторов.
Приложения на платформе Berachain могут стимулировать различные типы поведения пользователей, эффективно используя эти хранилища вознаграждений, направляя больше ликвидности в различные пулы или просто в целом используя преимущества различного поведения пользователей в сети.
Berachain также использует делегированную модель Proof-of-Stake (или dPoS), состоящую из доли (в BERA) и делегирования (в BGT).
BGT нельзя передавать, но их можно конвертировать в BERA. BERA же нельзя перевести в BGT.
BGT для управления в ДАО и делегирования валидаторам, которое позволяет пользователям получать награды от экономической деятельности этого валидатора.
BERA - для оплаты комиссий, передачи и использования в DeFI.
Остальное читайте в статье.

6. Запущен Symbiotic mainnet.
Неизменяемые контракты с 5 аудитами; модульная архитектура, которая позволяет блокчейнам определять каждый аспект их реализации (от от залоговых активов и выбора оператора до вознаграждений и механизмов слешинга).
Рестейкеры выбирают хранилище с определёнными параметрами слешинга и доходности, которые их устраивают. Сети выбирают их исходя из желаемых параметров. Операторы выбирают сети, получая делегирование от хранилищ, в которые добавились эти проекты.
Есть и первые сети, например, Capx (сеть ИИ-агентов), Hyperlane и пр...

7. Ethos запустил рынки доверия.
Вы можете покупать доверие или недоверие к чьей-то репутации. Рынок репутации начинается с 50% / 50% доверия и недоверия. Покупая доверие, вы повышаете его процент = цену, покупая недоверие - понижаете доверие и повышаете недоверие.
Важно: рынки репутации никогда не разрешаются (они вечны).
ethos.markets пока ограничен 9 рынками, но в будущем возможно расширение.
Все аккаунты связаны с X профилями, что позволяет оценивать торговлю пользователями исходя из их популярности / репутации (в будущем).
Мне нравится эта идея...

Продолжение ниже...

Канал (подписаться), Чат | бот | Поддержать донатом

📟 Прилетело из @blind_dev

📟 На серваки

#комментарии - Часть 2:

8. Angstrom на основе Uniswap V4 предлагает MEV, специфичный для приложения, где арбитражеры платят за право арбитража напрямую LP (провайдерам ликвидности).
Пользователи же могут оплачивать комиссии в токене, которым торгуют, а также отправляют транзакции не в смарт-контракт Юнисвопа, а в сеть Angstrom.
Недостаток: при создании пула необходимо указание хука Angstrom, а это не факт что будут делать... Может оказаться мало ликвидности.
Сеть Angstrom использует безопасность на основе EigenLayer.

9. SSV 2.0: рестейкинг, где операторами являются валидаторы Ethereum. При этом ETH не слешатсся, а слешится $SSV и / или токен приложения.
Позволит в том числе создавать основанные (базовые) роллапы.

10. Omni аккаунты Rhinestone: решение для смарт-аккаунтов и EOA (обычных кошельков) с поддержкой намерений (Across) и абстрагированием от блокчейнов (можно использовать их в фоне, не заботясь о том, в какой сети работаем).

11. Проверяемые ИИ-агенты на EigenLayer.
Описали, как работают ИИ-агенты, и что для надёжности необходимо использовать EigenLayer:
Если использовать оффчейн агенты без рестейкинга операторам его обслуживающим, не будет слешинга, а значит он может манипулировать результатами в соответствии с выгодой создателя или определённых пользователей.
Есть AVS, которые позволяют получать данные из web2 с доказательством (zkTLS), EigenDA и другие - это инструменты, которые помогут ИИ-агентам стать более эффективными.
Например, через zkTLS можно получать результаты API Chat GPT с подтверждением его получения.
Политики, прописанные в AVS, не позволят выполнять ИИ-агентом то, что он не должен делать. В качестве примера привели Freysa: если бы у него был AVS, он бы никогда никому не отправил токены.

12. Распаковка следующего поколения Ethereum L2s (III): Native Rollups.
Native Rollups — это новый этап в развитии Ethereum L2. В отличие от существующих решений, они используют встроенный механизм верификации состояний Ethereum (EXECUTE precompile), устраняя необходимость в кастомных системах доказательств. Это позволяет автоматически синхронизировать rollup с обновлениями EVM, снижая затраты на поддержку и безопасность. Native Rollups упрощают верификацию SNARK-доказательств, делают rollups более безопасными и независимыми от мультисигов или советов безопасности. Они обеспечивают Ethereum-уровень децентрализации, улучшенную совместимость и потенциально более дешёвую проверку off-chain доказательств.

Всё. Благодарю за внимание. Хорошего дня!

Канал (подписаться), Чат | бот | Поддержать донатом

📟 Прилетело из @blind_dev

☯️ Почистить карму

Wallet checker

v2.5.9

Berachain airdrop checker

📟 Прилетело из @by_munris

🍣 На суши