Обзор доступности интерфейса Ethos для незрячих.
Начинаю новую-старую рубрику #доступность.
И в рамках первого поста хочу рассказать о том, что я написал для Ethos: https://app.ethos.network.
Радостно, что фаундер попросил сам описать недостатки, что и побудило оставить комменты с предложениями по улучшению.
Пока что к сожалению ничего не было исправлено, но вероятно приоритеты другие (по крайней мере надеюсь на это).
Итак, вот список:
1. Кнопки "Нравится" и "Не нравится" под комментариями не имеют подписей. Было бы лучше сделать их похожими на кнопку "Ответить".
2. Под кнопкой "Не нравится" под комментарием есть еще одна кнопка - я не знаю, для чего она нужна, и не хочу ее тестировать (вдруг это что-то серьезное).
3. В разделе "Лента" на главной странице неясно, какой вариант активен в списке выбора. Только после его открытия становится ясно, что это "distance". Я бы предпочел сразу видеть надпись над полем.
4. В списке отзывов есть несколько кнопок без надписей в самой ссылке. Возможно, они ничего не делают, поэтому я их не трогаю. Но если они предназначены для оценки или чего-то подобного, я бы хотел знать их назначение. Они расположены над "share-alt".
5. Я бы хотел видеть кнопку "x" для перехода в Twitter аккаунт рядом с профилем человека, которого оценивают. Это упростило бы проверку его учетной записи X.
6. На страницах отзывов рейтинг и еще одна кнопка над "share-alt" также не имеют подписей.
7. В разделе "Ethos activity" профилей кнопки фильтров не имеют подписей. Поэтому я не знаю, для чего они нужны. Все от строки "Filter by" до "eye-invisible" (которая озвучивается - это здорово, и другие должны быть такими же).
8. Хотелось бы, чтобы заголовок и текст отзыва сохранялись перед отправкой. Иногда, когда времени на разблокировку кошелька мало, или когда вкладка закрывается, или выключается свет, весь текст теряется... Очень обидно, когда пишешь много информации, а отправить не успеваешь.
9. наконец-то установил расширение Ethos. Проблема в том, что я не вижу оценку Ethos для учетной записи X на странице, где я открыл расширение. Есть только настройки, ползунок с числом 1000 и ссылка на Ethos. Возможно, я смотрю не в том месте, но, скорее всего, данные представлены только в графическом виде. Я хотел бы попросить добавить текстовое альтернативное описание для доступности метрики.
P. S. По девятому пункту: я позже увидел, что на страницах Твиттера под логинами показывается рейтинг. Возможно это они уже улучшили, а возможно не замечал ранее.
P. P. S. То, что я писал ниже и выше - это в html структуре, а не визуально.
Ссылка на мой отзыв с комментариями.
Как вам такие обзоры? Пишите мнения в комментариях.
📟 Прилетело из @blind_dev
Начинаю новую-старую рубрику #доступность.
И в рамках первого поста хочу рассказать о том, что я написал для Ethos: https://app.ethos.network.
Радостно, что фаундер попросил сам описать недостатки, что и побудило оставить комменты с предложениями по улучшению.
Пока что к сожалению ничего не было исправлено, но вероятно приоритеты другие (по крайней мере надеюсь на это).
Итак, вот список:
1. Кнопки "Нравится" и "Не нравится" под комментариями не имеют подписей. Было бы лучше сделать их похожими на кнопку "Ответить".
2. Под кнопкой "Не нравится" под комментарием есть еще одна кнопка - я не знаю, для чего она нужна, и не хочу ее тестировать (вдруг это что-то серьезное).
3. В разделе "Лента" на главной странице неясно, какой вариант активен в списке выбора. Только после его открытия становится ясно, что это "distance". Я бы предпочел сразу видеть надпись над полем.
4. В списке отзывов есть несколько кнопок без надписей в самой ссылке. Возможно, они ничего не делают, поэтому я их не трогаю. Но если они предназначены для оценки или чего-то подобного, я бы хотел знать их назначение. Они расположены над "share-alt".
5. Я бы хотел видеть кнопку "x" для перехода в Twitter аккаунт рядом с профилем человека, которого оценивают. Это упростило бы проверку его учетной записи X.
6. На страницах отзывов рейтинг и еще одна кнопка над "share-alt" также не имеют подписей.
7. В разделе "Ethos activity" профилей кнопки фильтров не имеют подписей. Поэтому я не знаю, для чего они нужны. Все от строки "Filter by" до "eye-invisible" (которая озвучивается - это здорово, и другие должны быть такими же).
8. Хотелось бы, чтобы заголовок и текст отзыва сохранялись перед отправкой. Иногда, когда времени на разблокировку кошелька мало, или когда вкладка закрывается, или выключается свет, весь текст теряется... Очень обидно, когда пишешь много информации, а отправить не успеваешь.
9. наконец-то установил расширение Ethos. Проблема в том, что я не вижу оценку Ethos для учетной записи X на странице, где я открыл расширение. Есть только настройки, ползунок с числом 1000 и ссылка на Ethos. Возможно, я смотрю не в том месте, но, скорее всего, данные представлены только в графическом виде. Я хотел бы попросить добавить текстовое альтернативное описание для доступности метрики.
P. S. По девятому пункту: я позже увидел, что на страницах Твиттера под логинами показывается рейтинг. Возможно это они уже улучшили, а возможно не замечал ранее.
P. P. S. То, что я писал ниже и выше - это в html структуре, а не визуально.
Ссылка на мой отзыв с комментариями.
Как вам такие обзоры? Пишите мнения в комментариях.
📟 Прилетело из @blind_dev
Крипто Devs | Gnezdo Hub
Photo
Поразительно!
Я заходил в Ethos вчера или позавчера - ещё не было доступности. Хотя я написал отзыв месяц назад.
Сейчас через час после публикации поста захожу - все элементы описаны!
Безумно рад этому!
Ура!
Люблю, когда проектами становится удобнее пользоваться.
📟 Прилетело из @blind_dev
Я заходил в Ethos вчера или позавчера - ещё не было доступности. Хотя я написал отзыв месяц назад.
Сейчас через час после публикации поста захожу - все элементы описаны!
Безумно рад этому!
Ура!
Люблю, когда проектами становится удобнее пользоваться.
📟 Прилетело из @blind_dev
Атака майнеров. Часть 1
Сегодня мы углубимся в тему атак майнеров. Валидаторы (ранее известные как майнеры в системах Proof of Work) — это процессоры транзакций, которые обладают значительным контролем над механикой блокчейна. Понимание их привилегий в рамках протоколов консенсуса имеет важное значение для реализации безопасных смарт контрактов.
Мы рассмотрим сценарии, в которых валидаторы могут влиять на исполнение контрактов. Не путем прямого взлома, а путем использования своего положения в механизме консенсуса блокчейна.
В частности, мы рассмотрим следующие пункты контрольного списка:
SOL-AM-MA-1: Используется ли block.timestamp для операций, чувствительных ко времени?
SOL-AM-MA-2: Использует ли контракт свойства блока, такие как временная метка или сложность, для генерации случайных чисел?
SOL-AM-MA-3: Чувствительна ли логика контракта к порядку транзакций?
Давайте углубимся в тему и узнаем, как защитить ваши смарт контракты от этих тонких, но потенциально разрушительных атак!
Влияние майнеров на блокчейн системы
Майнеры играют ключевую роль в блокчейн сетях PoW, проверяя транзакции и обеспечивая безопасность сети посредством конкурентного процесса решения криптографических задач. Этот процесс, известный как майнинг, требует значительных вычислительных ресурсов и энергии для генерации действительных решений PoW, которые соответствуют целевому уровню сложности сети.
Эволюция Ethereum от PoW к Proof of Stake (PoS) превратила «майнеров» в «валидаторов». Тем не менее, сообщество специалистов по безопасности блокчейна продолжает использовать такие термины, как «извлекаемая майнерами ценность» - MEV - и «манипуляции майнеров» из-за их исторической распространенности и технической преемственности. Однако в настоящее время эти атаки осуществляются валидаторами, которые контролируют порядок транзакций в экосистеме Ethereum после слияния.
Майнеры обладают несколькими предоставленными протоколом возможностями, которые напрямую влияют на работу блокчейна. Они определяют включение транзакций и их порядок в блоках на основе стимулов в виде комиссий (цен на газ в Ethereum), что дает им контроль над очередностью обработки мемпула. Эта возможность определять порядок позволяет извлекать максимальную извлекаемую ценность (MEV) путем стратегического позиционирования транзакций без нарушения правил консенсуса. Майнеры могут манипулировать временными метками блоков в пределах допустимых сетью допусков, которые обычно составляют ±15 секунд в Ethereum и до 2 часов в Bitcoin, что может потенциально повлиять на логику контрактов, зависящих от времени, таких как периоды разблокировки или расчет процентов.
Кроме того, майнеры влияют на свойства блоков, включая ограничения газа, и определяют значения blockhash посредством своей майнинговой деятельности. Эти свойства становятся частью неизменного состояния блокчейна и могут влиять на контракты, функциональность которых зависит от них.
Мы уделяем основное внимание манипуляциям майнеров, которые могут быть выполнены без контроля над большинством хешрейта. В частности, это манипуляции, связанные с временными метками блоков, свойствами блоков, используемыми для генерации случайных чисел, и уязвимостями в порядке транзакций. Эти уязвимости могут быть использованы майнерами с небольшим участием в сети и представляют собой практические векторы атак на развернутые смарт-контракты.
Существуют и другие интересные векторы атак, в том числе:
- Атаки 51%: контроль над большей частью хешрейта для обеспечения двойной траты;
- Эгоистичный майнинг: стратегическое удержание блоков для увеличения относительного вознаграждения;
- Timejacking: манипулирование восприятием времени в сети;
- Атаки Eclipse: изоляция узлов от честных пиров;
📟 Прилетело из @solidityset
Сегодня мы углубимся в тему атак майнеров. Валидаторы (ранее известные как майнеры в системах Proof of Work) — это процессоры транзакций, которые обладают значительным контролем над механикой блокчейна. Понимание их привилегий в рамках протоколов консенсуса имеет важное значение для реализации безопасных смарт контрактов.
Мы рассмотрим сценарии, в которых валидаторы могут влиять на исполнение контрактов. Не путем прямого взлома, а путем использования своего положения в механизме консенсуса блокчейна.
В частности, мы рассмотрим следующие пункты контрольного списка:
SOL-AM-MA-1: Используется ли block.timestamp для операций, чувствительных ко времени?
SOL-AM-MA-2: Использует ли контракт свойства блока, такие как временная метка или сложность, для генерации случайных чисел?
SOL-AM-MA-3: Чувствительна ли логика контракта к порядку транзакций?
Давайте углубимся в тему и узнаем, как защитить ваши смарт контракты от этих тонких, но потенциально разрушительных атак!
Влияние майнеров на блокчейн системы
Майнеры играют ключевую роль в блокчейн сетях PoW, проверяя транзакции и обеспечивая безопасность сети посредством конкурентного процесса решения криптографических задач. Этот процесс, известный как майнинг, требует значительных вычислительных ресурсов и энергии для генерации действительных решений PoW, которые соответствуют целевому уровню сложности сети.
Эволюция Ethereum от PoW к Proof of Stake (PoS) превратила «майнеров» в «валидаторов». Тем не менее, сообщество специалистов по безопасности блокчейна продолжает использовать такие термины, как «извлекаемая майнерами ценность» - MEV - и «манипуляции майнеров» из-за их исторической распространенности и технической преемственности. Однако в настоящее время эти атаки осуществляются валидаторами, которые контролируют порядок транзакций в экосистеме Ethereum после слияния.
Майнеры обладают несколькими предоставленными протоколом возможностями, которые напрямую влияют на работу блокчейна. Они определяют включение транзакций и их порядок в блоках на основе стимулов в виде комиссий (цен на газ в Ethereum), что дает им контроль над очередностью обработки мемпула. Эта возможность определять порядок позволяет извлекать максимальную извлекаемую ценность (MEV) путем стратегического позиционирования транзакций без нарушения правил консенсуса. Майнеры могут манипулировать временными метками блоков в пределах допустимых сетью допусков, которые обычно составляют ±15 секунд в Ethereum и до 2 часов в Bitcoin, что может потенциально повлиять на логику контрактов, зависящих от времени, таких как периоды разблокировки или расчет процентов.
Кроме того, майнеры влияют на свойства блоков, включая ограничения газа, и определяют значения blockhash посредством своей майнинговой деятельности. Эти свойства становятся частью неизменного состояния блокчейна и могут влиять на контракты, функциональность которых зависит от них.
Мы уделяем основное внимание манипуляциям майнеров, которые могут быть выполнены без контроля над большинством хешрейта. В частности, это манипуляции, связанные с временными метками блоков, свойствами блоков, используемыми для генерации случайных чисел, и уязвимостями в порядке транзакций. Эти уязвимости могут быть использованы майнерами с небольшим участием в сети и представляют собой практические векторы атак на развернутые смарт-контракты.
Существуют и другие интересные векторы атак, в том числе:
- Атаки 51%: контроль над большей частью хешрейта для обеспечения двойной траты;
- Эгоистичный майнинг: стратегическое удержание блоков для увеличения относительного вознаграждения;
- Timejacking: манипулирование восприятием времени в сети;
- Атаки Eclipse: изоляция узлов от честных пиров;
📟 Прилетело из @solidityset
Однако для этого обычно требуются либо значительные вычислительные ресурсы, либо сложные механизмы управления сетью, выходящие за рамки стандартных операций майнинга. Такие атаки нацелены на уязвимости уровня консенсуса, а не на эксплуатацию контрактов на уровне приложений, и поэтому выходят за рамки наших непосредственных соображений по безопасности смарт контрактов.
Далее разберем несколько таких атак.
#miner #mev
📟 Прилетело из @solidityset
Далее разберем несколько таких атак.
#miner #mev
📟 Прилетело из @solidityset
This media is not supported in your browser
VIEW IN TELEGRAM
🌹 Что далее....
пару анонсов этой недели
Записал пару уроков, сделаем отдельную ветку в канале, куда я буду публиковать обучение web3
Новый формат, новый подход
В общем, прогрел, дроп на этой неделе
🥀 100 реакций и сделаю это быстрее
📟 Прилетело из @code_vartcall
пару анонсов этой недели
Записал пару уроков, сделаем отдельную ветку в канале, куда я буду публиковать обучение web3
Новый формат, новый подход
В общем, прогрел, дроп на этой неделе
🥀 100 реакций и сделаю это быстрее
📟 Прилетело из @code_vartcall
Vote for me in Nominee Selection of the Security Council!
• https://www.tally.xyz/gov/arbitrum/council/security-council/election/4/round-1/candidate/0x391cF05fb66DF7dD46E34da0Ebf9c74e3b663c45
#offtopic
📟 Прилетело из @insuline_eth
• https://www.tally.xyz/gov/arbitrum/council/security-council/election/4/round-1/candidate/0x391cF05fb66DF7dD46E34da0Ebf9c74e3b663c45
#offtopic
📟 Прилетело из @insuline_eth
Tally
OfficerCIA | Vladimir S. | Officer’s Notes | Security Council Candidate
Operational security, OSINT, and DeFi are my primary areas of expertise and concentration. Having worked in cybersecurity for the past ten years, I am now totally focused on blockchain security, especially investigating new attack types and doing some on…
Succinct (PROVE): насколько хороша токеномика?
Мне показался проект интересным с технической точки зрения. Если кто не знает, они создали лёгкий Клиент к Ethereum с ZKP.
Также создали ZK-решения для оптимистичных роллапов.
Их сеть занимается созданием доказательств с нулевым разрешением (ZKP) для блокчейн-приложений.
Клиенты и партнёры: Polygon, Celestia, Avail, Lido, Near и Gnosis.
Также к сети Succinct подключились топовые OP Stack rollups и протоколы, такие как Base, Optimism, Katana и Mantle.
Поэтому подумал, что успех вероятен.
Но что-то разочаровался, увидев 80% токенов в блокировке и разлок в августе 2026 23.3% от предложения (119.7% от market cap)!
Да: до этого рисков не особо много (если не учитывать OTC-продажи разочаровавшихся инвесторов), но всё же разлоки очень неприятные.
Начальное распределение тоже не очень хорошее (источник):
1. Public Allocation and Future Incentives - 25%. По данным Cryptorank и Tokenomist, на TGE разблокировано 15%. Остальное через год с разлоками раз в 6 месяцев на протяжении 3 лет.
Описание:
"Поощрения для пруверов, стейкеров и других участников и сторонников сети. Первому аирдропу PROVE было выделено 5%".
2. Contributors - 29.5%.
"Основные участники сети Succinct, включая членов команды Succinct Labs, и будущие основные участники".
Сомнительная категория. Можно считать, что это команде. > 10% - много!
Вестинг: Клифф 1 год, затем разблокировка каждые 6 месяцев в течение 4 лет
3. Succinct Foundation - 10%.
"Для покрытия операционных расходов, поддержки управления и обеспечения устойчивого развития фонда Succinct".
По сути, команде на развитие.
Если бы предыдущая категория распределялась не команде, было бы норм. Но это уже 39% (+-) - много.
Вестинг: 5% разблокированных в TGE, затем блокировка на 1 год, после чего разблокировка каждые 6 месяцев в течение 3 лет
4. Ecosystem & R&D - 25%.
"Поддерживать экосистему, инициативы в области исследований и разработок, а также обеспечивать постоянную поддержку роста сети в долгосрочной перспективе".
Пока все заблокированы.
Количество нормальное, но кому будут распределять непонятно. И странно, что на TGE ничего не выпустили.
Вестинг: ожидание на 1 год, затем разблокировка каждые 6 месяцев в течение 3 лет.
5. Investors - 10.5%.
Здесь нормально (всего на 0.5% больше нормы).
Хотя у них разлок через год каждые 6 месяцев на протяжении 4 лет. А это существенные выплески токенов на рынок.
Стоит также обратить внимание на то, что в Tokenomist написано следующее: "(Seed & Series A)". Возможно это не все инвесторы, а другим будет распределяться из средств команды.
Итог:
Перспектива непонятна. Сможет ли проект обеспечить доходами спрос на актив и будет ли это делать неизвестно.
Может и не восстановиться, а то и дальше падать.
Я воздержусь от покупки.
P. S. Дроп не получил: не смог участвовать.
Благодарю за внимание. И буду рад распространению поста.
😎 Незрячий web3 программист (подписаться)
Чат | бот
📟 Прилетело из @blind_dev
Мне показался проект интересным с технической точки зрения. Если кто не знает, они создали лёгкий Клиент к Ethereum с ZKP.
Также создали ZK-решения для оптимистичных роллапов.
Их сеть занимается созданием доказательств с нулевым разрешением (ZKP) для блокчейн-приложений.
Клиенты и партнёры: Polygon, Celestia, Avail, Lido, Near и Gnosis.
Также к сети Succinct подключились топовые OP Stack rollups и протоколы, такие как Base, Optimism, Katana и Mantle.
Поэтому подумал, что успех вероятен.
Но что-то разочаровался, увидев 80% токенов в блокировке и разлок в августе 2026 23.3% от предложения (119.7% от market cap)!
Да: до этого рисков не особо много (если не учитывать OTC-продажи разочаровавшихся инвесторов), но всё же разлоки очень неприятные.
Начальное распределение тоже не очень хорошее (источник):
1. Public Allocation and Future Incentives - 25%. По данным Cryptorank и Tokenomist, на TGE разблокировано 15%. Остальное через год с разлоками раз в 6 месяцев на протяжении 3 лет.
Описание:
"Поощрения для пруверов, стейкеров и других участников и сторонников сети. Первому аирдропу PROVE было выделено 5%".
2. Contributors - 29.5%.
"Основные участники сети Succinct, включая членов команды Succinct Labs, и будущие основные участники".
Сомнительная категория. Можно считать, что это команде. > 10% - много!
Вестинг: Клифф 1 год, затем разблокировка каждые 6 месяцев в течение 4 лет
3. Succinct Foundation - 10%.
"Для покрытия операционных расходов, поддержки управления и обеспечения устойчивого развития фонда Succinct".
По сути, команде на развитие.
Если бы предыдущая категория распределялась не команде, было бы норм. Но это уже 39% (+-) - много.
Вестинг: 5% разблокированных в TGE, затем блокировка на 1 год, после чего разблокировка каждые 6 месяцев в течение 3 лет
4. Ecosystem & R&D - 25%.
"Поддерживать экосистему, инициативы в области исследований и разработок, а также обеспечивать постоянную поддержку роста сети в долгосрочной перспективе".
Пока все заблокированы.
Количество нормальное, но кому будут распределять непонятно. И странно, что на TGE ничего не выпустили.
Вестинг: ожидание на 1 год, затем разблокировка каждые 6 месяцев в течение 3 лет.
5. Investors - 10.5%.
Здесь нормально (всего на 0.5% больше нормы).
Хотя у них разлок через год каждые 6 месяцев на протяжении 4 лет. А это существенные выплески токенов на рынок.
Стоит также обратить внимание на то, что в Tokenomist написано следующее: "(Seed & Series A)". Возможно это не все инвесторы, а другим будет распределяться из средств команды.
Итог:
Перспектива непонятна. Сможет ли проект обеспечить доходами спрос на актив и будет ли это делать неизвестно.
Может и не восстановиться, а то и дальше падать.
Я воздержусь от покупки.
P. S. Дроп не получил: не смог участвовать.
Благодарю за внимание. И буду рад распространению поста.
😎 Незрячий web3 программист (подписаться)
Чат | бот
📟 Прилетело из @blind_dev
Проект на виду. Часть 8. Какой контекст у смарт контракта?
Если вы уже некоторое время на канале, то, вероятно, помните, что я потихоньку разбираюсь и делаю свой небольшой проект на граница ИИ и Web3. По сути, это будет небольшой ассистент, который будет помогать аудировать код контракта и акцентировать внимание на похожих уязвимостях, которые были указаны в отчетах аудиторских компаний за продолжительный срок.
На данный момент я собрал около 28К уязвимостей из таких отчетов. Было бы больше 35К-40К, если бы я не удалял большинство Low и 99,5% Ingo/Gas описаний багов (честно говоря, во многих компаниях эти разделы откровенный мусор!).
Сейчас я в стадии ранжирования этих уязвимостей и определения "веса" каждой из них, для более аккуратных рекомендаций ассистента. Но сейчас не об этом.
На днях я столкнулся с проблемой, а что такое "контекст контракта"?
С одной стороны, "контекст контракта" - это его описание и основное назначение. Но насколько хорошим будет такой контекст для ответов на вопросы по нему?
С другой стороны, контракт - это набор определенных функций. И может стоит рассматривать контекст через призму его функций?
Или описание контекста функций недостаточно без детализации их внешних и внутренних действий? Кроме того, большую роль в контексте функций являются изменения состояний переменных хранилища и использование storage/memory пространств...
Кроме того, глупо рассматривать контекст отдельного контракта, когда он работает сообща с другими контрактами в протоколе и вне его.
А документация? Своя и протоколов, с которыми он работает... Это же тоже все должно быть частью контекста...
И вот получается, что для создания какого-то общего контекста проекта нужно как-то не понятным образом обработать огромные платы данных, и где есть вероятность, что они просто не поместятся в один запрос к ИИ на обработку.
На данном этапе анализаторов и аудиторов кода, все рассматривают контракты с позиции "разбить через solc и распознать" или "самому составить контекст", чтобы понять весь протокол и сгенерировать потенциальные атаки.
Этот подход отличный и рабочий (не зря есть столько мощных аудиторов).
А в своем проекте я хочу помочь аудиторам быстрее "понимать проект", а значит быстрее переходить к стадии поиска потенциальных уязвимостей.
P.S. Напомню, что я делаю не очередного ИИ-аудитора, а ассистента, который помогает разобраться в коде, а не ищет проблемы за самого аудитора.
С этим постом я просто хотел поделиться с вами, чем сейчас занимаюсь и куда стремлюсь. И если у вас появятся идеи или что-то по поводу контекста смарт контрактов, буду рад, если поделитесь в комментариях. Это очень поможет моей текущей работе.
#ai #tool
📟 Прилетело из @solidityset
Если вы уже некоторое время на канале, то, вероятно, помните, что я потихоньку разбираюсь и делаю свой небольшой проект на граница ИИ и Web3. По сути, это будет небольшой ассистент, который будет помогать аудировать код контракта и акцентировать внимание на похожих уязвимостях, которые были указаны в отчетах аудиторских компаний за продолжительный срок.
На данный момент я собрал около 28К уязвимостей из таких отчетов. Было бы больше 35К-40К, если бы я не удалял большинство Low и 99,5% Ingo/Gas описаний багов (честно говоря, во многих компаниях эти разделы откровенный мусор!).
Сейчас я в стадии ранжирования этих уязвимостей и определения "веса" каждой из них, для более аккуратных рекомендаций ассистента. Но сейчас не об этом.
На днях я столкнулся с проблемой, а что такое "контекст контракта"?
С одной стороны, "контекст контракта" - это его описание и основное назначение. Но насколько хорошим будет такой контекст для ответов на вопросы по нему?
С другой стороны, контракт - это набор определенных функций. И может стоит рассматривать контекст через призму его функций?
Или описание контекста функций недостаточно без детализации их внешних и внутренних действий? Кроме того, большую роль в контексте функций являются изменения состояний переменных хранилища и использование storage/memory пространств...
Кроме того, глупо рассматривать контекст отдельного контракта, когда он работает сообща с другими контрактами в протоколе и вне его.
А документация? Своя и протоколов, с которыми он работает... Это же тоже все должно быть частью контекста...
И вот получается, что для создания какого-то общего контекста проекта нужно как-то не понятным образом обработать огромные платы данных, и где есть вероятность, что они просто не поместятся в один запрос к ИИ на обработку.
На данном этапе анализаторов и аудиторов кода, все рассматривают контракты с позиции "разбить через solc и распознать" или "самому составить контекст", чтобы понять весь протокол и сгенерировать потенциальные атаки.
Этот подход отличный и рабочий (не зря есть столько мощных аудиторов).
А в своем проекте я хочу помочь аудиторам быстрее "понимать проект", а значит быстрее переходить к стадии поиска потенциальных уязвимостей.
P.S. Напомню, что я делаю не очередного ИИ-аудитора, а ассистента, который помогает разобраться в коде, а не ищет проблемы за самого аудитора.
С этим постом я просто хотел поделиться с вами, чем сейчас занимаюсь и куда стремлюсь. И если у вас появятся идеи или что-то по поводу контекста смарт контрактов, буду рад, если поделитесь в комментариях. Это очень поможет моей текущей работе.
#ai #tool
📟 Прилетело из @solidityset
У меня уже появились планы на ноябрь!
Да, это Форум-выставка THE TRENDS, который на этот раз объединился с форумом Mining ru, образовав Технологическую неделю:
▪️ 18-19 ноября встречайте пятый юбилейный The Trends - форум-выставку про новейшие технологии и инвестиции.
▪️ 19 ноября вечером пройдет церемония награждения The Trends Awards.(подать заявку до 13 октября можно тут )
▪️ 20 ноября на той же площадке пройдет форум Mining ru.
ВАЖНО!!!
Приобретая тикет на The Trends - вы получаете возможность посетить и церемонию награждения The Trends Awards и третий день технологической недели - форум Mining ru.
Мощная B2G и B2B повестка и серьезный спикерский состав. Чувствуется масштаб.
В фокусе решения и процессы, которые трансформируют не только индустрии,
но и сам способ мышления.
Место: Москва, TAU, Рязанский проспект, 8Ас10
Возможно буду, так как 17 ноября как раз у меня день рождения. Это вероятно хороший способ провести время.
Подробности — тут
Скидка на билеты 15% — тут
📟 Прилетело из @blind_dev
Да, это Форум-выставка THE TRENDS, который на этот раз объединился с форумом Mining ru, образовав Технологическую неделю:
▪️ 18-19 ноября встречайте пятый юбилейный The Trends - форум-выставку про новейшие технологии и инвестиции.
▪️ 19 ноября вечером пройдет церемония награждения The Trends Awards.
▪️ 20 ноября на той же площадке пройдет форум Mining ru.
ВАЖНО!!!
Приобретая тикет на The Trends - вы получаете возможность посетить и церемонию награждения The Trends Awards и третий день технологической недели - форум Mining ru.
Мощная B2G и B2B повестка и серьезный спикерский состав. Чувствуется масштаб.
В фокусе решения и процессы, которые трансформируют не только индустрии,
но и сам способ мышления.
Место: Москва, TAU, Рязанский проспект, 8Ас10
Возможно буду, так как 17 ноября как раз у меня день рождения. Это вероятно хороший способ провести время.
Подробности — тут
Скидка на билеты 15% — тут
📟 Прилетело из @blind_dev
🪨 Как начать свой путь в блокчейн разработке?
Записал подборку материалов на эту тему, найти её вы сможете в комментариях под этим видео!
Приятного обучения
📟 Прилетело из @code_vartcall
Записал подборку материалов на эту тему, найти её вы сможете в комментариях под этим видео!
Приятного обучения
📟 Прилетело из @code_vartcall
Зачем я ВЛЕЗ в WEB3?
youtu.be/VfwWb-lC8Ys
youtu.be/VfwWb-lC8Ys
youtu.be/VfwWb-lC8Ys
Приятного просмотра!
📟 Прилетело из @code_vartcall
youtu.be/VfwWb-lC8Ys
youtu.be/VfwWb-lC8Ys
youtu.be/VfwWb-lC8Ys
Приятного просмотра!
📟 Прилетело из @code_vartcall
четырехлетний путь.
сегодня 4 года, как мы в крипте. как прошел наш первый, второй и третий год можете почитать в предыдущих постах, сегодня же обсудим как прошел текущий год и что вообще мы планируем делать в крипте в ближайшее время.
время было не самое легкое, но забавное, по сути дикие качели: в августе того года — лои нашего банка, луз 40к$ на aio pro, открытие aio study, в ноябре и декабре рынок становится диким и мы снова выходим на хаи за счет постоянного арбитража и роста альты. в январе на фомотяге залет в мемы, которые в последствии обнуляются. мы решаем отбросить все ретро и снова погрузиться в арбитраж. в марте и апреле возвращаемся на рельсы постоянного кэшфлоу, создаем лопату и развиваем новый канал. летом много путешествий и чилла и с сентября снова фуллворк в арбитраже.
по споту хочется сказать отдельно. с момента как мы пришли в крипту мы все время ждали ту самую бычку, где каждое дерьмище будет расти на 5-10 иксов, а наше дерьмище как минимум на 20. но в этом году мы попрощались с этой несбыточной мечтой и начали распродавать весь портфель. сейчас у нас 80% в кэше и 20% в эфире и солане. рынок поменялся, и вдобавок зашуганную собаку слишком долго били палкой.
сейчас наша задача — наращивать свой ежемесячный доход в крипте. не распыляться и брать все что мы можем взять с арбитража. ретро идет нахуй. билдинг проектов (временно) идет нахуй. строить проекты это здорово и может приносить намного больше бабок чем что угодно, но для этого нужна мета и немножечко удачи. пока меты нет, сидим тихо и ожидаем.
крипта за последние годы очень сильно поменялась. она и раньше была не простой отраслью, но сейчас стала еще сложнее и агрессивнее. 1.5-2 года назад новичку с парой тысяч в кармане было из чего выбирать, и куда бы он ни сунулся (ретро, арбитраж, нфт, сейлы), везде он мог сделать себе хороший банк если бы немного постарался и включил голову. сейчас бОльшая часть сфер вымерла, а те что остались — стали намного сложнее для входа. бОльшая часть наших коллег за последний год ушли в ирл на обычную работу, бОльшая часть каналов заброшены. остались либо везучие лудики, которых вот вот ликвиднет, либо самые богатые, либо смарты. так что поздравляю, если вы все еще здесь и пытаетесь — вы молодцы.
подводя итоги, я бы сказал что это наш самый сложный год в крипте, и не только из-за финансовых качелей, но и из-за эмоциональных: у нас был сложный расход по работе с нашими друзьями, с которыми мы работали несколько лет. сейчас мы развиваемся отдельно, и, к счастью, все в итоге сложилось наилучшим образом. не знаю что будет дальше и во что превратится эта дикая сфера, но думаю все как всегда будет заебись.
спасибо нашим друзьям, нашему комьюнити и всем криптонам, которые встретились на нашем пути. спасибо вам.
as always, это были наши лучшие 4 года жизни, ну а дальше плотный ворк парни. we are degens.
у меня была мечта, и никаких ебаных игр.
я всего лишь хотел воплотить ее.
[ links ] | hodlmod | nba | lopata
📟 Прилетело из @hodlmodeth
сегодня 4 года, как мы в крипте. как прошел наш первый, второй и третий год можете почитать в предыдущих постах, сегодня же обсудим как прошел текущий год и что вообще мы планируем делать в крипте в ближайшее время.
время было не самое легкое, но забавное, по сути дикие качели: в августе того года — лои нашего банка, луз 40к$ на aio pro, открытие aio study, в ноябре и декабре рынок становится диким и мы снова выходим на хаи за счет постоянного арбитража и роста альты. в январе на фомотяге залет в мемы, которые в последствии обнуляются. мы решаем отбросить все ретро и снова погрузиться в арбитраж. в марте и апреле возвращаемся на рельсы постоянного кэшфлоу, создаем лопату и развиваем новый канал. летом много путешествий и чилла и с сентября снова фуллворк в арбитраже.
по споту хочется сказать отдельно. с момента как мы пришли в крипту мы все время ждали ту самую бычку, где каждое дерьмище будет расти на 5-10 иксов, а наше дерьмище как минимум на 20. но в этом году мы попрощались с этой несбыточной мечтой и начали распродавать весь портфель. сейчас у нас 80% в кэше и 20% в эфире и солане. рынок поменялся, и вдобавок зашуганную собаку слишком долго били палкой.
сейчас наша задача — наращивать свой ежемесячный доход в крипте. не распыляться и брать все что мы можем взять с арбитража. ретро идет нахуй. билдинг проектов (временно) идет нахуй. строить проекты это здорово и может приносить намного больше бабок чем что угодно, но для этого нужна мета и немножечко удачи. пока меты нет, сидим тихо и ожидаем.
крипта за последние годы очень сильно поменялась. она и раньше была не простой отраслью, но сейчас стала еще сложнее и агрессивнее. 1.5-2 года назад новичку с парой тысяч в кармане было из чего выбирать, и куда бы он ни сунулся (ретро, арбитраж, нфт, сейлы), везде он мог сделать себе хороший банк если бы немного постарался и включил голову. сейчас бОльшая часть сфер вымерла, а те что остались — стали намного сложнее для входа. бОльшая часть наших коллег за последний год ушли в ирл на обычную работу, бОльшая часть каналов заброшены. остались либо везучие лудики, которых вот вот ликвиднет, либо самые богатые, либо смарты. так что поздравляю, если вы все еще здесь и пытаетесь — вы молодцы.
подводя итоги, я бы сказал что это наш самый сложный год в крипте, и не только из-за финансовых качелей, но и из-за эмоциональных: у нас был сложный расход по работе с нашими друзьями, с которыми мы работали несколько лет. сейчас мы развиваемся отдельно, и, к счастью, все в итоге сложилось наилучшим образом. не знаю что будет дальше и во что превратится эта дикая сфера, но думаю все как всегда будет заебись.
спасибо нашим друзьям, нашему комьюнити и всем криптонам, которые встретились на нашем пути. спасибо вам.
as always, это были наши лучшие 4 года жизни, ну а дальше плотный ворк парни. we are degens.
у меня была мечта, и никаких ебаных игр.
я всего лишь хотел воплотить ее.
[ links ] | hodlmod | nba | lopata
📟 Прилетело из @hodlmodeth
История о том, как я доступность Hyperliquid улучшил.
Напомню, что работал с проектом где-то с февраля 2024. Интерфейс был удобным и понятным / доступным в основном.
Единственное, в чём была сложность - это переводы между spot и perps.
Представьте 2 элемента (у меня две строки подряд):
spot
perps
И что между ними где-то там затесалась иконка, по которой надо нажать для переключения.
(если непонятно, попробую проиллюстрировать при помощи ИИ).
Естественно иконка никак не озвучивалась, и я не мог по ней нажать.
Приходилось просить зрячих, но не всегда такая возможность была. А это неудобно.
Через некоторое время написал в Discord, создав тикет.
Там попросил улучшить доступность, реализовав переключение между спотом и перп-балансами кликом по элементу с клавиатуры.
То есть чтоб было так:
spot
perp
Нажимаю по элементу с этими двумя словами.
И становится так:
perp
spot
Проходит месяц-полтора.
Пишу вновь: когда сделают.
Мне отвечают, что пока другие приоритеты, но обязательно сделают.
Вот только уже веры у меня особо не было в это.
Тем было радостнее ещё через 1-2 месяца увидеть это изменение!
Как было классно нажимать и переключаться для перевода токенов между балансами, а также для стейкинга / онстейкинга (там та же проблема была)!
Сейчас пользуюсь 100% доступным интерфейсом, и очень доволен.
P. S. Поражает, когда в perp дексах делают плохо доступными даже установку стоп-лосса с тейк-профитом.
Напишите в комментариях, про доступность каких проекты было бы интересно вам почитать ещё.
Может хотели бы узнать о доступности Aster или других perp dex? Может о чём-то ином?
😎 Незрячий web3 программист (подписаться)
Чат | бот
📟 Прилетело из @blind_dev
Напомню, что работал с проектом где-то с февраля 2024. Интерфейс был удобным и понятным / доступным в основном.
Единственное, в чём была сложность - это переводы между spot и perps.
Представьте 2 элемента (у меня две строки подряд):
spot
perps
И что между ними где-то там затесалась иконка, по которой надо нажать для переключения.
(если непонятно, попробую проиллюстрировать при помощи ИИ).
Естественно иконка никак не озвучивалась, и я не мог по ней нажать.
Приходилось просить зрячих, но не всегда такая возможность была. А это неудобно.
Через некоторое время написал в Discord, создав тикет.
Там попросил улучшить доступность, реализовав переключение между спотом и перп-балансами кликом по элементу с клавиатуры.
То есть чтоб было так:
spot
perp
Нажимаю по элементу с этими двумя словами.
И становится так:
perp
spot
Проходит месяц-полтора.
Пишу вновь: когда сделают.
Мне отвечают, что пока другие приоритеты, но обязательно сделают.
Вот только уже веры у меня особо не было в это.
Тем было радостнее ещё через 1-2 месяца увидеть это изменение!
Как было классно нажимать и переключаться для перевода токенов между балансами, а также для стейкинга / онстейкинга (там та же проблема была)!
Сейчас пользуюсь 100% доступным интерфейсом, и очень доволен.
P. S. Поражает, когда в perp дексах делают плохо доступными даже установку стоп-лосса с тейк-профитом.
Напишите в комментариях, про доступность каких проекты было бы интересно вам почитать ещё.
Может хотели бы узнать о доступности Aster или других perp dex? Может о чём-то ином?
😎 Незрячий web3 программист (подписаться)
Чат | бот
📟 Прилетело из @blind_dev
Без ЭТИХ языков WEB3 НЕ СУЩЕСТВУЕТ
youtu.be/U5rzrFIhXEQ
youtu.be/U5rzrFIhXEQ
youtu.be/U5rzrFIhXEQ
Изучаем
📟 Прилетело из @code_vartcall
youtu.be/U5rzrFIhXEQ
youtu.be/U5rzrFIhXEQ
youtu.be/U5rzrFIhXEQ
Изучаем
📟 Прилетело из @code_vartcall
Атака майнеров. Часть 2
Используется ли block.timestamp для операций, чувствительных ко времени?
Майнеры могут манипулировать block.timestamp на несколько секунд, что может повлиять на логику контрактов, зависящих от времени.
Как предотвратить: используйте block.number вместо временных меток для критически важных операций, связанных со временем, или убедитесь, что допустимая погрешность манипуляций приемлема.
block.timestamp представляет время, которое майнер предлагает для блока. Хотя оно обычно точное, майнеры имеют некоторую свободу для его корректировки. Эта свобода допускает потенциальные уязвимости в логике, чувствительной ко времени, такой как аукционы или периоды стейкинга.
Эта уязвимость является прямым следствием манипуляций майнеров, отражая их способность влиять на создание блоков. Хотя майнеры не могут устанавливать произвольные временные метки, они имеют некоторый контроль в рамках правил консенсуса. В Ethereum это примерно +/- 900 секунд (15 минут), хотя точный диапазон может варьироваться в зависимости от блокчейна.
Представьте себе аукцион, на котором майнер сдвигает временную метку в пользу своей ставки или ставки своего союзника. Это может привести к несправедливым преимуществам, таким как преждевременное завершение аукциона или манипулирование процессом торгов.
Посмотрите на пример:
В этом аукционном контракте время окончания аукциона (auctionEndTime) определяется как block.timestamp + _duration. Майнер может слегка изменить block.timestamp, чтобы досрочно завершить аукцион или отложить его. Он может отложить его настолько, чтобы его ставка была включена в блок, или ускорить его, чтобы исключить конкурирующую ставку.
Вместо того, чтобы полагаться непосредственно на block.timestamp, рассмотрите возможность использования block.number.
📟 Прилетело из @solidityset
Используется ли block.timestamp для операций, чувствительных ко времени?
Майнеры могут манипулировать block.timestamp на несколько секунд, что может повлиять на логику контрактов, зависящих от времени.
Как предотвратить: используйте block.number вместо временных меток для критически важных операций, связанных со временем, или убедитесь, что допустимая погрешность манипуляций приемлема.
block.timestamp представляет время, которое майнер предлагает для блока. Хотя оно обычно точное, майнеры имеют некоторую свободу для его корректировки. Эта свобода допускает потенциальные уязвимости в логике, чувствительной ко времени, такой как аукционы или периоды стейкинга.
Эта уязвимость является прямым следствием манипуляций майнеров, отражая их способность влиять на создание блоков. Хотя майнеры не могут устанавливать произвольные временные метки, они имеют некоторый контроль в рамках правил консенсуса. В Ethereum это примерно +/- 900 секунд (15 минут), хотя точный диапазон может варьироваться в зависимости от блокчейна.
Представьте себе аукцион, на котором майнер сдвигает временную метку в пользу своей ставки или ставки своего союзника. Это может привести к несправедливым преимуществам, таким как преждевременное завершение аукциона или манипулирование процессом торгов.
Посмотрите на пример:
pragma solidity ^0.8.0;
// SPDX-License-Identifier: UNLICENSED
contract Auction {
uint public auctionEndTime;
address public highestBidder;
uint public highestBid;
mapping(address => uint) public pendingReturns;
bool public ended;
event BidPlaced(address bidder, uint amount);
event AuctionEnded(address winner, uint amount);
constructor(uint _duration) {
auctionEndTime = block.timestamp + _duration; // Vulnerability!
}
function isAuctionEnded() public view returns (bool) {
return block.timestamp >= auctionEndTime; // Vulnerable comparison!
}
function bid() public payable {
require(!isAuctionEnded(), "Auction has ended");
require(msg.value > highestBid, "Bid not high enough");
if (highestBid > 0) {
pendingReturns[highestBidder] += highestBid;
}
highestBidder = msg.sender;
highestBid = msg.value;
emit BidPlaced(msg.sender, msg.value);
}
function endAuction() public {
require(!ended, "Auction already ended");
require(isAuctionEnded(), "Auction not yet ended");
ended = true;
emit AuctionEnded(highestBidder, highestBid);
}
function withdraw() public returns (bool) {
uint amount = pendingReturns[msg.sender];
if (amount > 0) {
pendingReturns[msg.sender] = 0;
// Use call instead of transfer for better compatibility
(bool success, ) = payable(msg.sender).call{value: amount}("");
require(success, "Transfer failed");
}
return true;
}
}
В этом аукционном контракте время окончания аукциона (auctionEndTime) определяется как block.timestamp + _duration. Майнер может слегка изменить block.timestamp, чтобы досрочно завершить аукцион или отложить его. Он может отложить его настолько, чтобы его ставка была включена в блок, или ускорить его, чтобы исключить конкурирующую ставку.
Вместо того, чтобы полагаться непосредственно на block.timestamp, рассмотрите возможность использования block.number.
pragma solidity ^0.8.0;
contract FixedAuction {
uint256 public auctionEndBlock;
uint256 public blockDuration;
constructor(uint256 _blockDuration) {
auctionEndBlock = block.number + _blockDuration;
blockDuration = _blockDuration; // Duration of auction in blocks
}
function finalizeAuction() public {
require(block.number >= auctionEndBlock, "Auction is not yet over.");
// Distribute funds
}
}
📟 Прилетело из @solidityset
В этом примере FixedAuction мы используем block.number вместо block.timestamp для определения окончания аукциона. Это делает время проведения аукциона предсказуемым и устойчивым к манипуляциям майнеров с block.timestamp.
Однако майнер может вообще отказаться от добычи блоков, что задержит окончание аукциона, хотя это и является менее прямой формой манипуляции. Кроме того, использование block.number делает аукцион зависимым от скорости создания блоков. Если время блоков несовместимо, продолжительность аукциона может немного варьироваться в реальном времени.
Если требуется более детальное и согласованное время, рассмотрите возможность использования оракула Chainlink, но имейте в виду повышенную сложность и затраты на газ.
В целом рекомендуется избегать разработки функций, чувствительных ко времени с точностью до секунд, поскольку майнеры могут манипулировать временными метками блоков в пределах допустимых значений (обычно ±15 секунд в Ethereum). Смарт-контракты должны реализовывать механизмы, основанные на времени, с достаточными буферными периодами, чтобы предотвратить экономическую эксплуатацию посредством незначительных корректировок временных меток.
#miner #mev
📟 Прилетело из @solidityset
Однако майнер может вообще отказаться от добычи блоков, что задержит окончание аукциона, хотя это и является менее прямой формой манипуляции. Кроме того, использование block.number делает аукцион зависимым от скорости создания блоков. Если время блоков несовместимо, продолжительность аукциона может немного варьироваться в реальном времени.
Если требуется более детальное и согласованное время, рассмотрите возможность использования оракула Chainlink, но имейте в виду повышенную сложность и затраты на газ.
В целом рекомендуется избегать разработки функций, чувствительных ко времени с точностью до секунд, поскольку майнеры могут манипулировать временными метками блоков в пределах допустимых значений (обычно ±15 секунд в Ethereum). Смарт-контракты должны реализовывать механизмы, основанные на времени, с достаточными буферными периодами, чтобы предотвратить экономическую эксплуатацию посредством незначительных корректировок временных меток.
#miner #mev
📟 Прилетело из @solidityset
Кладезь Знаний | Мысли вслух
За последние 2 года ведения этого телеграм-канала я накопил сотни полезных материалов для разработчиков: от начинающих до людей, которые хотят найти свою первую работу в web3
И как свойственно контенту - он устаревает и у меня нету желания мониторить и обновлять то, что я писал 2-3 года назад!
Поэтому я создал свой кладезь знаний, свою общину, свой Олимп разработчиков web3
Задача была одна - объединение таких-же амбициозных личностей в одном месте, для совместного создания проектов и инструментов которыми в результате будут пользоваться сотни тысяч и миллионы пользователей
Сегодня я представляю Олимп - наше место силы и базы знаний о web3
Цена: $99 / Пожизненно
Каждый год 31 декабря в 23:03 цена будет повышаться
Оплата и прочие вопросы - @jerskrew
Пора собираться на Олимп!
📟 Прилетело из @code_vartcall
За последние 2 года ведения этого телеграм-канала я накопил сотни полезных материалов для разработчиков: от начинающих до людей, которые хотят найти свою первую работу в web3
И как свойственно контенту - он устаревает и у меня нету желания мониторить и обновлять то, что я писал 2-3 года назад!
Поэтому я создал свой кладезь знаний, свою общину, свой Олимп разработчиков web3
Задача была одна - объединение таких-же амбициозных личностей в одном месте, для совместного создания проектов и инструментов которыми в результате будут пользоваться сотни тысяч и миллионы пользователей
Сегодня я представляю Олимп - наше место силы и базы знаний о web3
На Олимпе:
Гайды с нуля до первой работы в web3
Мои Закрытые Материалы, как вы могли видеть в этом посте
Гайды с нуля до Solidity
Гайды с нуля до Solana
Гайды по взаимодействию с криптой с нуля
И в последующем прямые эфиры, совместные проекты, живые встречи, игры и веселье
Цена: $99 / Пожизненно
Каждый год 31 декабря в 23:03 цена будет повышаться
Оплата и прочие вопросы - @jerskrew
Пора собираться на Олимп!
📟 Прилетело из @code_vartcall
RPC с НУЛЯ: как работает сердце блокчейна
youtu.be/g34Lk2SPIoc
youtu.be/g34Lk2SPIoc
youtu.be/g34Lk2SPIoc
Время блокчейна!
📟 Прилетело из @code_vartcall
youtu.be/g34Lk2SPIoc
youtu.be/g34Lk2SPIoc
youtu.be/g34Lk2SPIoc
Время блокчейна!
📟 Прилетело из @code_vartcall
ПЕРВЫЙ СКРИПТ для БЛОКЧЕЙНА: проще, чем ты думаешь
youtu.be/c4tsb_tubHs
youtu.be/c4tsb_tubHs
youtu.be/c4tsb_tubHs
Применяем!
📟 Прилетело из @code_vartcall
youtu.be/c4tsb_tubHs
youtu.be/c4tsb_tubHs
youtu.be/c4tsb_tubHs
Применяем!
📟 Прилетело из @code_vartcall