DeFi (in)security

Your Audit Passed. You Still Got Hacked

Написал статью на примере трёх кейсов — #Prisma Finance, #Zunami и #Resolv. Все проаудитированы. Все взломаны. Ни один взлом не был через баг в коде.

Prisma — периферийный контракт MigrateTroveZap вне скоупа аудита, $12M. Zunami — deployer wallet с god-mode доступом, withdrawStuckToken() одним вызовом вынес весь коллатерал zunUSD, четвёртый хак за три года. Resolv — один EOA ключ с безлимитным минтом, без cap, без oracle check, без timelock, $80M заминчено с $200K депозита.

Проблема не в качестве аудитов. Проблема в том что индустрия путает аудит кода с безопасностью системы.

Типичный подход: наняли аудиторов, получили отчёт, купили #Fireblocks или какой-нибудь on-chain monitoring, повесили badge "audited by X" на лендинг — и считают что безопасность закрыта. А она только началась.

Аудит — это snapshot кода в моменте. Он не покрывает threat modeling: кто держит ключи, какой blast radius при компрометации каждой привилегированной роли, что случится если off-chain signer утечёт. Он не покрывает архитектурное ревью: почему SERVICE_ROLE это EOA а не multisig+timelock, почему deployer wallet может вызвать withdrawStuckToken() без ограничений. Он не покрывает operational security: как хранятся ключи, кто имеет физический доступ, есть ли succession plan.

Безопасность — это не продукт который покупаешь. Это процесс который строишь. Threat modeling, architecture review, deployment gating, continuous monitoring, incident response, periodic reassessment. Это десятки направлений которые нужно вести параллельно и постоянно пересматривать при каждом изменении системы.

On-chain мониторинг поймает аномалию. Но кто получит алерт в 2 часа ночи? Кто примет решение о паузе? Кто вообще определил что считать аномалией? Resolv — $50M минт за одну транзакцию, Curve pool drained за 17 минут. Мониторинг без процесса реагирования — это dashboard который никто не смотрит.

Если у вас nine-figure TVL и нет security engineer в штате — у вас нет безопасности. У вас есть аудит-репорт который будет отлично смотреться в post-mortem.

Полный разбор всех трёх кейсов 👇
https://paragraph.com/@defi-in-security/your-code-audit-passed-you-still-got-hacked-three-times

#web3 #DeFi #security #incident

⚠️ Важно: отзовите все разрешения (approvals) для Balancer и его форков

Проверьте список форков здесь: https://defillama.com/forks/Balancer%20V2

Как отозвать разрешения:
1️⃣ Откройте расширение Rabby
2️⃣ Перейдите во вкладку Approvals
3️⃣ Введите в поиск Balancer (и другие связанные протоколы)
4️⃣ Нажмите Revoke для каждого разрешения.

#DeFi #balancer

Ну чтож, Виталия Дмитриевича Бутерина можно и поздравить! Ведь мало было запустить альтернативную финансовую систему. Гораздо сложнее за 10 лет пройти все испытания и остаться верным изначальным целям и идеалам. Отцовское воспитание точно дало о себе знать. Результат один — система стабильна и надёжна и даёт нам технологические блага, которых не было у наших предков. Уверенный ход этого гиганта — достижение даже более значимое, собственно, чем сам факт создания Эфириума!

Vitalik, my congratulations!
#Ethereum #ETH #DeFi

22 февраля 2025 г. из «холодных» кошельков биржи Bybit вывели рекордные 1,5 млрд $ в ETH — через подмену delegatecall в мультисиг‑транзакции. TRM Labs и ФБР почти сразу указали на северокорейскую группу Lazarus, ранее «замеченную» в Ronin, KuCoin, Upbit и десятках других атак. Итоговый счёт возможной добычи Пхеньяна с 2017 г. оценивается в $6 млрд.

Но за громкой атрибуцией скрываются нюансы:

Повторяемые TTP. Одинаковые цепочки обналичивания (быстрый своп в ETH/BTC → дробление → миксеры) действительно характерны для Lazarus, но их нетрудно скопировать.

Подробнее:
Инфраструктурные следы. Северокорейские IP и старый тулкит AppleJeus — сильный аргумент, однако доказательства остаются непубличными и недостижимыми суду.

Мотивация сторон.
• Биржи охотнее винят «государственного суперхакера», чем признают собственные дыры в процедурах.
• Госструктурам удобно подчеркивать «ось зла» и обосновывать санкции.
• Вендоры строят продукты «против Lazarus», усиливая медийный образ группы.

Подробнее: https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/duQfr_6yr1nxf669eZFNRagjAsgeXX5YWMvBtTGUiCs

#Bitcoin #старыймир

Голосование в Ethereum: что такое Snapshot, Tally, Aragon и Agora

Ethereum давно стал площадкой для децентрализованных решений, но полная ончейн-управляемость остаётся сложной задачей. Несмотря на это, появились инструменты, которые помогают сообществу голосовать и выносить решения. Snapshot, Tally, Aragon и Agora позволяют пользователям выражать мнение, но не заменяют полноценное управление через блокчейн.

Snapshot — один из самых популярных механизмов голосования вне блокчейна. Он использует владение токенами для определения прав голоса, но не требует транзакций, что делает процесс быстрым и без комиссий. Однако его решения не исполняются автоматически — для этого нужны дополнительные механизмы доверия, например, мультиподпись.

Tally предлагает иной подход, обеспечивая полноценное ончейн-голосование. Решения фиксируются в смарт-контрактах и исполняются автоматически, исключая необходимость в доверенных лицах. Но за это приходится платить: любое голосование требует оплаты газа, что может снизить вовлечённость пользователей.

Aragon — это не просто система голосования, а полноценная платформа для DAO. Она позволяет создавать децентрализованные организации, управлять финансами и назначать роли с помощью смарт-контрактов. Это делает процессы автоматизированными, но требует сложной настройки.

Agora также служит инструментом для голосования, но фокусируется на прозрачности и доступности. Как и Snapshot, это скорее средство для обсуждений и формирования мнения сообщества, а не инструмент для автоматического исполнения решений.

Хотя эти платформы позволяют пользователям влиять на развитие проектов, они не обеспечивают абсолютной децентрализации. Большинство из них требуют социальных механизмов для выполнения решений или дополнительных инструментов для ончейн-реализации. Вопрос о том, какой должна быть идеальная система управления Ethereum, остаётся открытым. Возможно, будущее за гибридными моделями, объединяющими оффчейн-координацию с ончейн-исполнением?

#DeFi #DAO

#Token2049

Для праздника закрытия #TOKEN2049 Singapore 19 сентября 2024 года в Marina Bay Sands и продвижения децентрализованных стейблкоинов опубликовано новое предложение по улучшению. Проект нацелен на масштабную интеграцию стейблкоинов в приложения, поддерживающие цифровые валюты, предлагая техническую поддержку, кастодиальные кошельки и мосты для других сетей. Среди ключевых направлений — разработка инструментов для легкой интеграции платежных систем, полное сопровождение внедрения токенов в приложения и P2P-обмены для выхода в фиат. #stablecoins

Этот проект обещает расширить возможности использования стейблкоинов и укрепить их позиции на рынке, открывая новые горизонты для децентрализованных финансов (#DeFi).

https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/ZWavyg5uRz1kGsbd1Xsmm8frH1N9IQUGLcLxnJHcLsE

TON Foundation Collaborates with Curve Finance to Incubate Stable Swap Project

TON Foundation and leading DEX Curve Finance will incubate a new TON-based stable swap project. This collaboration will open up new opportunities for stablecoin trading on the TON blockchain, providing a more accessible and efficient trading experience.

Leveraging Curve’s advanced CFMM technology, the project aims to simplify stablecoin swaps, enhance user experience, and minimize price impact. With Michael Egorov, founder of Curve Finance, advising the selected team, this collaboration is set to deliver a seamless, innovative DeFi solution on TON.

With USDt on TON reaching $729.9M in net circulation just four months after its launch, demand for stablecoins on TON is rapidly growing. This new initiative will meet that demand, boost liquidity, and propel the adoption of TON’s Web3 ecosystem. Details.

Interested in building the project? Apply now! Submissions are open until September 24.

If you're heading to Singapore for TOKEN2049, join Hexens' CTO, @kemmio, on 17th of September for a panel discussion at Multichain Day, where we'll be talking all things Web3 tooling!

#Token2049

OpenAI и его ChatGPT — хороший и положительный пример правильного капиталистического подхода к монетизации своего продукта.

Даже в странах, которые под санкциями, достаточно просто приобрести платную подписку. Всего лишь надо подключить VPN и скопировать платёжную ссылку. Компания OpenAI специально выбрала себе такого платёжного провайдера, который не задаёт лишних вопросов, не занимается лишним скорингом и прочей чушью, а просто собирает оплату. Конечно, абсолютно нелепо санкционировать целые страны в ключе доступа к каким-либо веб-приложениям в сети. Так что этот подход абсолютно оправдан и с точки зрения доходов, и с точки зрения разума. Хотя и у OpenAI есть перекосы, которые работают в отделе мобильной разработки: официальное приложение на Android требует не просто наличия GMS (Google Mobile Services), но и подключенного к ним Google-аккаунта.

Так что, пока некоторые играют в джентльменов, осторожничают, заигрывают и пляшут под дудку всевозможных государственных органов (как создатели Tornado Cash), такие гиганты захватывают рынки и зарабатывают. Берите пример. Павел Дуров и его TON, который он во многих азиатских странах успел лично продвинуть на государственном уровне, — тоже хороший пример, кстати. Павел ведь официально к TON не имеет отношения.

#старыймир

3 сентября 2024 года в моменте российских акций у одного знакомого. А вы верите также в российскую экономику? Говорят, уже хорошенько отскочило.
#старыймир

Всегда главный риск в DeFi и крипто проектах с живым и активным лидером – это, собственно, сам лидер этого проекта и все что его касается. Однако, применяя различные технологии и подходы лидер может митигировать эти риски в зависимости от уровня своей самоосознанности в этой сфере и способности грамотно оценить их, но не на 100%.

#FREEDUROV

Криптана Джулиана Ассанджа поздравим с освобождением!

Ранее мы писали про AssangeDAO, которая сыграла значительную роль в этом событии.

WikiLeaks публиковал множество документов, связанных с тюрьмой Гуантанамо, которые вызвали значительный общественный резонанс. Эти документы предоставили общественности более глубокое понимание операций, происходящих в этой тюрьме, и вскрыли ряд нарушений прав человека.

Основные публикации

1. Gitmo Files (2011):
В апреле 2011 года WikiLeaks опубликовал серию документов, известных как "Gitmo Files". Эти документы включали детальную информацию о 779 заключённых, которые содержались в Гуантанамо с момента его открытия в 2002 году. В этих файлах содержались оценки угрозы, представляемой каждым заключённым, а также данные о причинах их задержания и методы допроса. Оказалось, что многие задержанные были признаны малозначительными фигурами или даже вовсе невиновными, однако они продолжали оставаться в заключении на неопределённый срок.

2. Кабельгейт (Cablegate, 2010):
В рамках утечки дипломатических телеграмм США, известной как "Кабельгейт", WikiLeaks обнародовал множество сообщений, касающихся Гуантанамо. Эти телеграммы предоставили информацию о дипломатическом давлении на другие страны с целью убеждения их принять освобождаемых заключённых, чтобы облегчить закрытие тюрьмы. В них также обсуждались политические и правовые сложности, связанные с закрытием тюрьмы и перераспределением заключённых.

Основные выводы из утечек

1. Незаконные задержания:
Документы продемонстрировали, что многие заключённые были задержаны на основании слабых или ошибочных доказательств. Некоторые были схвачены по ошибке, другие — из-за неправдивых обвинений со стороны других заключённых, которые надеялись таким образом улучшить свои собственные условия содержания.

2. Методы допроса:
В файлах содержались подробности о методах допроса, которые зачастую граничили с пытками. Это включало использование одиночного заключения, лишение сна, стрессовые позы и другие жестокие методы воздействия, которые критиковались международными правозащитными организациями.

3. Риски и угрозы:
Внутренние оценки рисков, представленных заключёнными, показывали, что многие из них не представляли значительной угрозы. Однако политическое давление и страх перед возможными терактами приводили к длительному удержанию людей, несмотря на отсутствие убедительных доказательств их вины.

4. Политические мотивы:
Утечки также вскрыли политическую подоплёку некоторых задержаний и продолжительных удержаний. В ряде случаев задержание было обусловлено не только вопросами безопасности, но и стремлением к получению политических и дипломатических выгод.

Влияние утечек

Эти утечки вызвали широкое общественное осуждение и усилили критику США за их политику в отношении Гуантанамо. В ответ на опубликованные документы многие международные и национальные правозащитные организации усилили свои кампании за закрытие тюрьмы и освобождение или справедливое судебное разбирательство для заключённых.

Современное состояние

На момент 2024 года, Гуантанамо остаётся открытой, хотя число заключённых значительно уменьшилось по сравнению с пиком в середине 2000-х годов. Обсуждения вокруг законности и моральности существования этой тюрьмы продолжаются, и она остаётся одной из наиболее спорных тем в международных отношениях и правозащитных дискурсах.

Таким образом, публикации WikiLeaks о тюрьме Гуантанамо предоставили ценную информацию, которая способствовала более глубокому пониманию проблематики этой тюрьмы и вызвала значительное количество дебатов о её закрытии и реформах в области прав человека.

#новыймир #старыймир #nft #web3 #dao

Обновляющийся и дополняющийся материал
"Как и где правильно купить крипту в 2024":

https://telegra.ph/Kak-kupit-kriptu-2024-01-02

#BTC #ETH #CRV #P2P

По состоянию на 24 сентября 2023 года MicroStrategy владеет 158 245 биткойнами. В сообщении MicroStrategy указывается, что средняя цена покупки составляет 29 582 долл. за биткойн, а общая стоимость - 4,68 млрд. долл.

Когда компания MicroStrategy стала публичной? Компания MicroStrategy была основана в ноябре 1989 г., а 11 июня 1998 г. вышла на IPO.

Кто основал компанию MicroStrategy? Соучредителями компании MicroStrategy стали Майкл Джей Сейлор, Санджу Бансал и Томас Спар. Они были однокурсниками в Массачусетском технологическом институте.

Сколько сотрудников работает в компании MicroStrategy?
По состоянию на 2021 год в компании MicroStrategy работает 2100 сотрудников, по сравнению с примерно 2000 в 2020 году.

Больше инфы (Eng.): https://buybitcoinworldwide.com/microstrategy-statistics/
#bitcoin

Одного из подписчиков заблочили в платёжной системе YooMoney, бывшей Яндекс.Деньги. Он занимается рисованием NFT. #старыймир

​​14 октября 2023 года и пока Гост предлагает покупать акции Газпрома, сейчас посмотрим лучшее универсальное предложение сезона в крипте для любого — от младенца до ветерана. Разумный размер вожений: 500$ — 2M$.

Назовём этот пул "Крипто-дифай-макси". Полное название в оригинале: TricryptoLLAMA from Curve Finance boosted by Convex Finance on Ethereum Blockchain automated via Beefy Finance. Ссылка на пул.

TL;DR. Этот пул позволяет иметь отношение к и переживать за цену BTC, ETH. Держать треть вклада в долларах в самой современной их форме. Получать прибыль от главного De-Fi приложения вселенной. И всё это в автоматическом режиме с минимальным вовлечением -- важно только читать иногда новости, чтобы понимать -- взломали ли хакеры, происходит ли миграция на новую версию или отключилась в пуле доходность.

Что вы получаете, вкладывая в этот пул:
1) треть вклада в самом современном и технологичном долларовом стейбле -- crvUSD от Curve Finance;
2) вторая треть в самом современном биткоиновом стейбле -- tBTC от Threshold Network;
3) третья треть в самом популярном эфирном стейбле, цена которого запрограмирована на рост за счёт доходов от стейкинга -- wstETH от Lido Finance. А ещё это самое популярное DeFi-приложение во вселенной;
4) Итак: баксы, биток и эфир, а что ещё? А ещё доход автоматизирован агрегатором доходности Beefy Finance, обзор на который есть в канале. То есть 14% это сложный процент и происходит автоматический реинвест;
5) Непостоянные потери (Impermanent Loss, IL) -- это потенциальные потери, связанные с колебаниями курса токенов в пуле. Но также автоматизированная доходность постоянно понижает цену входа, тем самым постоянно уменьшая непостоянные потери. Это самое важное и самое сложное для понимания во всей этой истории. А ещё важно помнить, что этот же эффект, связанный с IL и склеенными в ликвидность в пуле токенами (LP), также защищает от падения цены крипты, сколько же мешает заработать на росте цены крипты.
#defi #btc #beefy #curve #eth #lido

​​При покупке крипты: всегда покупайте её только на ваши кошельки, ключи которых вы делали сами вне рамок текущей сделки. Важная тема для тех, кто работает с криптовалютой. Рано или поздно мы сталкиваемся с процессами покупки-продажи. К сожалению, даже в концепции "не твои ключи — не твои коины" не все так понятно, как кажется.

Не покупайте чужие ключи, а также устройства-кошельки типа Ledger, Trezor или другие с криптой на них. Только перевод на ваши кошельки.

А для тех, кому это интересно и кто дочитал до этого момента, я приведу пример исследования:
1) На Ledger Nano сгенерены ключи, на них залита крипта, кошелёк подключен по Ledger Live к ноуту где отобразились средства;
2) Устройство отключается, включается и блокируется тремя неудачными попытками ввода PIN и переформатируется на других ключах с новым PIN-ом. Прошлые ключи стираются с устройства полностью и не подлежат восстановлению с него;
3) На устройство загружаются новые ключи, новый PIN. Устройство подключается к Ledger Live и показывает баланс старых ключей;
4) Вы видите старый баланс, пытаетесь провести транзакцию, но получаете ошибку как на скрине.
#cybersecurity #defi #crypto