Крипто Devs | Gnezdo Hub – Telegram
Крипто Devs | Gnezdo Hub
431 subscribers
984 photos
61 videos
20 files
2.21K links
Агрегатор с крипто dev'ами

🦧 Основной канал: https://news.1rj.ru/str/cryptomokakke

☯️ Все каналы: https://news.1rj.ru/str/cryptomokakke/742

🗂 Все агрегаторы: https://news.1rj.ru/str/addlist/dNb2TYSUysU3Nzgy
Download Telegram
Limitless | Drop Checker

Клеймер - тык
Токен $LMTS на DexScreener - тык

Получилась быстрая отработка:
Ресерч - 08 июня
Софт - 28 июня
Чекер - 22 октябра
Но даже в приватке его отработали не все ибо сайт безбожно лагал, и нужно было очень аккуратно делать аккаунты ввиду слипаджей на событиях

Сделалавшим грац, у мена на акках до 5$ затрат по 140 токенов

foundation | astrum.labs | astrum.solver

📟 Прилетело из @askaer
Please open Telegram to view this post
VIEW IN TELEGRAM
Limitless | Drop Checker

Клеймер - тык
Токен $LMTS на DexScreener - тык

Получилась быстрая отработка:
Ресерч - 08 июня
Софт - 28 июня
Чекер - 22 октября


Но даже в приватке его отработали не все ибо сайт безбожно лагал, и нужно было очень аккуратно делать аккаунты ввиду слипаджей на событиях

Сделавшим грац, у меня на аккаунтах до 5$ затрат по 140 токенов

foundation | astrum.labs | astrum.solver

📟 Прилетело из @askaer
Please open Telegram to view this post
VIEW IN TELEGRAM
Крипто Devs | Gnezdo Hub
Всем привет В среду, 22 октября в 18:00 по мск, будем разбирать очень полезный и редкий по содержанию кейс. Не сухая теория, а разбор реального проекта Resupply.fi — от архитектуры до хака. Часто видите у проекта надпись «аудит пройден» и думаете, что всё…
Напоминаю, что через час и 5 минут будет трансляция с разбором аудита одного проекта и хака после него.
Также задам вопросы спикеру в конце. Вы тоже сможете присоединиться: опубликую пост для вопросов после начала.

Жду интересующихся онлайн сегодня в 18 по МСК.

📟 Прилетело из @blind_dev
Начинаем! https://news.1rj.ru/str/blind_dev/1540

Вопросы в комментариях. Задам их спикеру после выступления.

📟 Прилетело из @blind_dev
Запись будет завтра. Постараюсь сделать с таймкодами.

Было интересно. Тоже кое что новое для себя получил.

Если кратко:

При просмотре аудитов (пусть и через ИИ) стоит смотреть версии, а также:

1. Сравнивать адрес смарт-контракта депозита у себя в кошельке с адресами контрактов в аудите.

2. Отправлять PDF файлы ИИ с просьбой сравнить задеплоенный код с проаудированным.

Причина:

Проекты могут обновлять код на непроверенный, а потом их ломают.

📟 Прилетело из @blind_dev
чуйка? ну в целом похуй, из моего инвентаря ниче не дампнулось и ниче не пампнулось, вышел по той же цене, по которой вышел бы и на данный момент

📟 Прилетело из @n4z4v0d
Replay атака. Часть 2

Существует ли защита от повторного использования подписей в разных сетях?

Этот пункт проверки касается критической уязвимости нескольких сетей. Поскольку приватный ключ пользователя контролирует его адрес во всех сетях EVM, подпись, созданная для контракта на Ethereum, может быть повторно использована при идентичном развертывании этого контракта на Polygon, Arbitrum или любой другой сети EVM. Если подпись не содержит идентификатор блокчейна, она становится универсальным ключом, который злоумышленник может использовать в разных сетях.

Рассмотрим контракт VulnerableVault, предназначенный для того, чтобы его владелец мог изменить получателя с помощью подписанного сообщения.

// SPDX-License-Identifier: UNLICENSED
pragma solidity ^0.8.0;


contract VulnerableVault {
address public owner;
address public recipient;
mapping(bytes32 => bool) public isConsumed;


constructor(address _owner, address _recipient) {
owner = _owner;
recipient = _recipient;
}


function changeRecipient(address _newRecipient, uint256 _expiry, bytes memory _signature) external {
require(block.timestamp <= _expiry, "Signature expired");


// VULNERABILITY: Missing chain ID in the signature data
bytes32 messageHash = keccak256(abi.encode(
msg.sender, // In the PoC, this is the test contract's address
_newRecipient,
_expiry
));


// For PoC, use a simple signature check
bytes32 signedHash = abi.decode(_signature, (bytes32));
require(signedHash == messageHash, "Invalid signature");
require(!isConsumed[messageHash], "Signature already used");


isConsumed[messageHash] = true;
recipient = _newRecipient;
}
}


MessageHash включает нового получателя и метку времени истечения срока действия, но в нем отсутствует block.chainid. Это означает, что подпись, сгенерированная для этого действия, является переносимой, т. е. злоумышленник может взять действительную подпись из одной сети и использовать ее в другой.

Исправление: встраивание данных, специфичных для цепочки, в подписи.

Прямым исправлением является включение block.chainid в данные, которые хэшируются и подписываются. Это навсегда привязывает подпись к одной сети. Для более надежного и стандартизированного решения используйте EIP-712, который встраивает эту защиту непосредственно в свою структуру через разделитель домена.

Вот простое исправление, примененное к новому контракту SecureVault.

// Corrected changeRecipient function (inside a new SecureVault contract)
contract SecureVault {
// ... same state variables and constructor as VulnerableVault ...
address public owner;
address public recipient;
mapping(bytes32 => bool) public isConsumed;


constructor(address _owner, address _recipient) {
owner = _owner;
recipient = _recipient;
}


function changeRecipient(address _newRecipient, uint256 _expiry, bytes memory _signature) external {
require(block.timestamp <= _expiry, "Signature expired");


// REMEDIATION: Include the chain ID to make the signature chain-specific.
bytes32 messageHash = keccak256(abi.encode(
msg.sender,
_newRecipient,
_expiry,
block.chainid // Added chain ID
));


// For PoC, use a simple signature check
bytes32 signedHash = abi.decode(_signature, (bytes32));
require(signedHash == messageHash, "Invalid signature");
require(!isConsumed[messageHash], "Signature already used");


isConsumed[messageHash] = true;
recipient = _newRecipient;
}
}


Атаки с повторным воспроизведением используют действительные намерения пользователей в недействительных контекстах. Понимая, как злоумышленники могут дублировать действия во времени или между сетями, мы можем встроить в наши контракты более точную и безопасную логику проверки.

Разработка безопасных контрактов требует верной точки зрения:

📟 Прилетело из @solidityset
- Всегда спрашивайте: полностью ли я аннулировал эту подпись после использования? Nonce должен быть использован независимо от того, удалась ли транзакция или нет.

- Проверяйте контекст подписи: где эта подпись действительна? Если ваш протокол работает или может работать в нескольких сетях, каждая внесетевая подпись должна быть привязана к конкретной сети через block.chainid или разделитель домена EIP-712.

- Проверяйте каждое предположение: предполагает ли мой код, что транзакция будет успешной? Предполагает ли он, что подпись предназначена только для одной сети? Проактивное выявление и устранение этих неявных предположений является ключом к предотвращению атак повторного воспроизведения.

Строго применяя эти принципы и используя такие инструменты, как чек-лист Solodit, вы можете создавать системы, устойчивые к этим тонким, но опасным уязвимостям.

#replay

📟 Прилетело из @solidityset
🌟 УПРОЩАЕМ РЕСЕРЧ В 20 РАЗ (Ч1)

Я пользовался браузером Comet целый месяц: искал информацию по проектам через Perplexity, на лету анализировал информацию по щиткам, заставлял браузер торговать за меня и решать аттестацию на сайте

В посте собрал всю нужную информацию — стоит ли им пользоваться сейчас, как он помогает в жизни по крипте и какие минусы заметил. Пост получился большим, поэтому поделен на две части

💙 ДОСТУПНОСТЬ

Браузер долгое время был доступен только по подписке за 200$ или по инвайтам, но с начала октября стал доступен для всех, причем бесплатная версия покрывает все нужды при простом поиске

Основные фишки
~ встроенный ИИ-ассистент
~ резюмирование статьей, видео и тп
~ автоматизация действий
~ управление вкладками
~ автоматизация поиска контента
~ интеграция сервисов
~ нет ебли с оплатой

Платная подписка же крута тем, что за 20$ вы получаете доступ к GPT5, Grok4, Claude 4.5 и Gemini разом + доступ к загрузке файлов и генерации изображений. Ну и тут нет ебли с оплатой, как у GPT

Оплата
~ создаем Solcard по гайду
~ оформляем Comet Pro

🔍 ПОИСК ИНФОРМАЦИИ

После открытия браузера сразу попадаем на домашнюю страницу, которая отвечает за поиск информации (база Perplexity). Удобно то, что все в пределах одной вкладки и с сохранением контекста

При поиске можно: выбрать какая модель будет искать(Perplexity, GPT-4, Claude и тп) и указать нужные источники (веб поиск, по соц. сетям, по научным статьям и по документам SEC)

Режимов три:
1. Поиск: краткое и быстрое ревью
2. Исследование: подольше и больше источников
3. Лаборатория: создание проектов с нуля

После запроса выдается ответ с отдельным указанием источников на тот случай если захочется обычного поиска.

Еще ахуенно, что в конце ответа генерируются связанные вопросы по теме и дополнительные команды, типа генерации кароточек для закрепления теории или оформления ответа под нужный формат

Для своих ресерчей я использовал исследование и за 3-5 минуты получал всю нужную информацию. Также это было полезно, когда я сравнивал какие-то данные и получал подробную табличку с минусами/плюсами


🤩 ДОМАШНЯЯ СТРАНИЦА

Помимо поисковой строки мое внимание заняло боковое меню, на котором помимо библиотеки запросов можно найти вкладки со сводками, новостями и пространствами

• Сводки — шедеврально оформленные тематические чаты, основной мой интерес был на финансы. Сложно кратко описать все возможности, но могу сказать что это ебануто упрощает анализ настроения на рынке фондов и крипты

На одном экране можно открыть графики токенов, полную статистику по ним и дополнительно задавать вопросы, в ответах на которые учитываются все свежие новости, просто шелевр

• Новости — это называется "открытия", по сути является просто газетой с тематическими разделами. Также выводит погоду, индексы и кучу других показателей. По каждой новости можно открыть чат и найти связанные

• Пространства — это аналог проектов из GPT, просто куча чатов по определенной тематике. Можно подгрузить файлы, задать инструкции и так далее. На домашней странице надо юзать @, чтобы обратиться к определённому пространству

Также хочу отметить, что раздел с библиотекой чатов оформлен пиздато, очень много фильтров и можно быстро удалять ненужные чатые. Этой фичи очень не хватает GPT

🙂 ВСТРОЕННЫЙ АССИСТЕНТ

Главная фишка это встроенный агент, который может брать под контроль выбранную вкладку и выполнять на ней любые действия. В общем это ИИ BAS скриптер, только прокси и юзерагенты не меняет

Дополнительно он умеет резюмировать большие статьи и делать выжимку из любых видео или выделять самые интересные моменты в них. Это особенно полезно при просмотре английских роликов, когда часть терминов не понятна

Сценариев использования тут тонна и про свои практические примеры в течение месяца я расскажу во второй части. Также затрону минусы браузера и скажу, почему им опасно пользоваться в данный момет

Следующая часть будет очень скоро, пока что можете сами потыкать браузер, благо он бесплатный и доступен на любой платформе

😵‍💫 щитпост | все мои ссылки | плати соланой

📟 Прилетело из @in_crypto_info
Please open Telegram to view this post
VIEW IN TELEGRAM
Запись разбора кейса проекта Resupply - от архитектуры до хака.

Спикер: Олег, аудитор из MixBytes с 15-летним опытом разработки.

Столь интересная трансляция и видео получились благодаря предложению от Guide Dao - образовательного комьюнити в сфере web3 разработки.

Узнать подробнее о нём и получить бесплатные бонусы можно в боте @GuideDAO_hallo_bot

По промокоду blind будет приятная скидка


Таймкоды (созданы нейронкой):
00:00 Путь к Web3: от майнинга до аудита смарт-контрактов
03:30 Путь разработчика смарт-контрактов и аудит проектов в Web3
07:01 Анализ аудит-репортов протоколов: как оценивать безопасность
10:31 Сложности аудита DeFi проектов: от 2017 до 2020 годов
14:03 Аудит CurveUSD и FraxUSD: Обзор и анализ
17:33 Анализ безопасности смарт-контрактов и причины взломов
21:04 Анализ хакерской атаки на Resupply и её последствия
24:34 Анализ хакерской атаки на Resupply: постмортем и таймлайн событий
28:04 Атака на пул: манипуляции с донейшенами и ценами
31:35 Анализ аудиторов и проверка контрактов в блокчейне
35:05 Аудит и использование AI в анализе контрактов
38:35 Аудит безопасности: выявление уязвимостей с помощью AI-инструментов
42:06 Анализ уязвимостей протокола и роль AI в аудите
45:36 Сравнение подходов хакеров и аудиторов в безопасности
49:06 Возможности заработка в аудите безопасности при помощи контестах
52:36 Обзор комьюнити Guide DAO и его образовательных возможностей
56:07 Погружение в мир крипторазработки и нетворкинга
59:37 Профессионализм аудиторов и роль ИИ в поиске уязвимостей
01:03:07 Проблемы поиска уязвимостей с помощью AI и будущее аудита смарт-контрактов
01:06:37 Использование ИИ для разработки смарт-контрактов
01:10:10 Проблемы со звуком и обсуждение профессии анчейн детективов
01:13:41 Аудит безопасности в криптосистемах: возможности и вызовы
01:17:11 Обзор уникальных возможностей Hyper-EVM и сервисов мониторинга безопасности
01:20:42 Обсуждение безопасности транзакций и инвестиций в блокчейне
01:24:12 Использование AI для анализа смарт-контрактов

Ссылки:

1. Документация проекта resupply, который взломали несмотря на аудиты. Причина - деплой новой непроверенной версии.
2. Новость про взлом того проекта.
Важно, что здесь рассказали о невиновности аудиторов.
3. Описание эксплойта.
4. Отчёт по безопасности.
5. Контесты по аудиту.

Полезного просмотра .

😎 Незрячий web3 программист (подписаться)
Чат | бот

📟 Прилетело из @blind_dev
Итоги AntiDrain по Meteora ($MET)

Всего было подано кошельков на сумму 160,000 $MET (~$80,000).
Из них успешно спасено 110,000 $MET (~$60,000)
что составляет примерно 70% успеха, и это отличный результат.

Все выплаты клиентам были произведены.
Если вам не отписали — значит, спасти дроп на ваших кошельках, к сожалению, не удалось.

Спасибо всем за доверие к сервису antidrain.me.
Продолжаем работать и помогать тем, кто оказался в сложной ситуации.


📟 Прилетело из @n4z4v0d
Ну а если вы хотите обменять крипту, полученную с дропа, на карту/наличку, не забывайте выбирать самые выгодные курсы через
@r8scan_bot

📟 Прилетело из @n4z4v0d
В вопросах стейблкоинов, чувствую, что становлюсь уже не идущим к реке, а самой рекой… 🥸

Скоро новая статья про стейблы, поэтому как обычно жду ваших реакций, чтобы материал вышел поскорее!

📟 Прилетело из @ortomich_main
Крипто Devs | Gnezdo Hub
Пишу передним числом что сейчас делаю 🟢 Подготовил legion для сейла YB от Михаила Егорова. Предлагаемая оценка адекватная. На Score-based аллоку не сильно рассчитываю, больше целюсь в фкфс. Выбрал именно легион, поскольку он дает возможность участвовать со…
Мои действия/ставки сейчас

🔵 Докручиваю объемы на полимаркете + делаю ставки на маркеты, которые могут дать некоторый бонус (напр. 3+ trump trades, 3+ fed predictions, etc.). Думаю, времени осталось немного. Если честно, веры особой в дроп нет, но и сдаваться под конец не хочется.
В целом ставок на дропы не осталось, и это меня радует.

🟢 Плотно закупился PUMP, идея описана выше (Сейчас цена около моего бу). План — получить хотя бы +50%, дальше смотреть по ситуации.

🟢 Купил CULT — даже на обычном отскоке щитков вполне может дать х2. План — получить хотя бы х2, дальше смотреть по ситуации.

🔵 Хочу регнуться на megaETH сейл, сейчас присматриваюсь к плотному шорту премаркета (х5 от сейла дают здесь и сейчас). Скоро уже он начнется, думаю хеджеры продавят цену хотя бы на -50%. Проект хоть мне и нравится, 5 миллиардов он явно не стоит.

📟 Прилетело из @findmeonchain
Please open Telegram to view this post
VIEW IN TELEGRAM
🧠 Как Разобраться с базой крипты? Альфа Сайт

Разумеется сегодня мы поговорим про thealpharchives.com

2 года назад я уже делал пост о нем и недавно решил снова перечитать этот документ

Но авторы решили прекратить поддержку проекта и на сайт уже не перейти

Нас это остановит? Нет конечно

1. Переходим на archive.org
2. Вводим домен нашего сайта - thealpharchives.com
3. Получаем снепшоты сайта 2022 - 2025 года, это сохраненный HTML + CSS + JS код нашего сайта

Зачем все это и как это работает?

Wayback Machine - глобальный веб-архив, созданный Internet Archive, некоммерческой организацией из США. Цель - сохранять историю интернета, чтобы сайты не исчезали навсегда.

Как создаются снепшоты?

Веб-краулеры (специальные боты) периодически обходят сайты в интернете - как поисковики (Google bot).

Когда бот заходит на сайт, он:

1. загружает HTML-страницу,

2. скачивает связанные ресурсы (CSS, изображения, JS и т.д.),

3. фиксирует точное время и дату.

4. Все эти данные сохраняются на серверах Wayback в виде "замороженной" версии страницы - снепшота.

Когда ты выбираешь дату в календаре, тебе просто показывают эту заархивированную страницу, как она выглядела в тот день.


Все, лирика окончена, я нашел +- свежий вариант данного сайта, поэтому переходим и впитываем альфу

web.archive.org/web/20230410192659/https://thealpharchives.com

Внутри собрана бесценная информация про блокчейн, мосты, ноды, децентрализацию, технические обзоры проектов и дополнительные материалы...


🤝 Думаю вечером выгружу код проекта, и допилим его для нашего комьюнити!

📟 Прилетело из @code_vartcall
Please open Telegram to view this post
VIEW IN TELEGRAM
🤩 ПОТЕРЯЛ ВСЮ КРИПТУ

Но меня это не волнует, потому что я выводил 90% с профитов в рубли и теперь могу легко их конвертировать их обратно в стейблы через @prostoexbot с их новым апдейтом

Тафик молодец, запартнерился с абхазским банком и теперь каждый может абсолютно легально купить USDT на сумму от 5000 ₽ до 500 000 ₽ (а сейчас даже от 1000 ₽)

🤩 Почему ProstoEx?

• Самые чистые рубли на продажу

• И самые чистые стейблы на покупку

• Наличный и безналичный обмен

• Покрывают банки всех крупных стран: от РФ до ОАЭ

• Быстрая техподдержка и обмены

• Помогут снять 115-ФЗ и решить другие проблемы

• Этим сервисом пользуюсь я и мой парень


Кроме всех этих крутых функций, мои рефералы получают самый выгодный курс — лучше, чем у других! Клянусь, можете проверить это сами — @prostoexbot

😵‍💫 щитпост | все мои ссылки | плати соланой

📟 Прилетело из @in_crypto_info
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1
Обновление в Prosto Exchange

Вышло крупное обновление: теперь @prostoexbot стал официальным провайдером Очамчыр Банка.
Через него можно легально покупать USDT с оплатой напрямую банку по СБП — без серых схем и «грязных» обменников.

Я также добавил в свой трекер курсов @r8scan_bot поддержку Prosto Exchange.
Теперь бот автоматически парсит курс покупки USDT за рубли по карте, чтобы вы могли видеть актуальные значения в реальном времени.

Если вы хотите покупать крипту безопасно и легально — попробуйте @prostoexbot.
Работает быстро, чисто и с нормальной поддержкой.

https://news.1rj.ru/str/ProstoEx_News/22

📟 Прилетело из @n4z4v0d