TGViewer
Channel Public Channel
DeFi (in)security

DeFi (in)security

@defisec

Контакт: @defisec_bot
DeFi — альтернативная финансовая система нового мира, базирующаяся на принципах Web3.
Open in Telegram
Subscribers
195
Photos
20
Videos
0
Links
116

Showing posts older than #158 · Back to latest

Older Posts 20 shown
Post #156 277
Перспективные направления исследований криптовалют и крипто тезисы 2024:

Ключевые риски в постоянно меняющемся мире. Балканизация интернета;

#Lightning и его практические кейсы. Микротранзакции и их применение;

Современное мостостроение #Bitcoin <-> #Ethereum. Кризис сферы и развитие технологий Proof-of-Stake и Snark;

Snark и его место в современных децентрализованных и обычных приложениях;

Технологический стек и состояние экосистемы #DAO. Практика внедрения в любые существующие органы управления;

Кибербезопасность: новые подходы, прозрачность и открытость, Proof-of-Assets;

Постоянный Proof-of-Assets и новые способы апгрейда безопасности бирж и приложений Web2;

Практические кейсы инновационных смарт-контрактов и их блага;

Flywheel-стартапы и прочие приложения к главным #DeFi 2.0 проектам;

#DeFi 3.0 — экосистемы полного финансового сервиса;

Стейблкоины и резервные валюты;

Прошлое, настоящее и будущее токеномики;

Анализ и оценка подходов к созданию, ведению и управлению топовыми проектами в #DeFi (#DAO);

Анализ подходов к привлечению ликвидности, поиск новых способов;

Практика применения современных технологий для повышения отказоустойчивости: IPv6, IPFS, ENS. Анализ перспективных технологий;

Проблематика хранения и доступности данных в скорости и бесконечности;

Исследования и аналитика: 1)алгоритмы консенсуса и 2)языки программирования смарт-контрактов;

Перспективные технологии биометрии, которые позволят включить её в доверенный фактор на блокчейн-приложениях;

Концепции и технологии позволяющие вернуть Proof-of-Work на #Ethereum;

Существующая экосистема образовательных и вспомогательных проектов. Упрощение и ускорение вовлечения новых разработчиков и креаторов;

Новые подходы к образованию и вовлечению пользователей, разработчиков, креаторов, визионеров, управленцев, архитекторов и советчиков;

Инновационные статистические и аналитические проекты. Ончейн и оффчейн метрики. Сантимент социальных сетей;

Обоюдное влияние на мировую повестку и старую финансовую систему;

Перспективы с точки зрения угроз по отношению к человеку и личности.

Более подробно некоторые тезисы описаны в отдельной статье: https://telegra.ph/Kripto-tezis-2024-11-19
Telegraph Крипто тезисы 2024 22 ноября 2022 года до истечения срока полномочий президента Сальвадора Найиба Букеле остаётся почти 1 год и 6 месяцев, а точнее 555 дней. Вслед за Национальным фондом естественных наук Китая, опубликовавшим 14-й пятилетний план и мы пройдёмся тезисно, но…
Post #155 237
DeFi (in)security Новый рекорд в области криптовалютных ограблений установили неизвестные хакеры, похитившие у NFT-игры Axie Infinity более 600 млн долларов (173 600 ETH) и 25.5 миллионов USDC. В компании уверяют, что атака стала результатом социальной инженерии, а не какой…
До сих пор взлом Axie Infinity (Ronin Bridge) остаётся самым крупным с точки зрения финансовых потерь. Сегодня тезисно пройдёмся по трём ключевым брешам в безопасности, которые в сумме позволили данному инциденту случиться. Но отдельная тема — атрибуция с Lazarus, но об этом в другой раз. А сейчас про три серьёзных просчёта в безопасности, из-за которых было украдено $600 миллионов из сайдчена, считавшегося децентрализованным.


https://telegra.ph/Tri-seryoznyh-breshi-bezopasnosti-privedshih-k-glavnomu-vzlomu-v-GameFi-10-10

#инцидент #cybersecurity
Telegraph Три серьёзных бреши безопасности приведших к главному взлому в GameFi 23 марта 2022 года был взломан мост Ronin Bridge, который использовал специально разработанный сайдчейн Эфириума для игры с финансовыми инициативами под названием Axie Infinity. В результате спланированной атаки 23 Марта 2022 года было выведено из моcта токенов…
Post #154 221
DeFi (in)security 06.10.22 очередной крупный мост в #DeFi был взломан. Вторая по размерам смарт-сеть Binance Smart Chain (#BSC) была приостановлена после того, как с официального моста было слито более $500 млн в BNB, родном токене экосистемы Binance. Атакующий вывел из моста…
К выводам и урокам. Но для начала немного предыстории для ясности. #Binance успешно стартанул в 2017 году. Одним из обещанных пунктов дорожной карты, исполнения которого очень многие ждали, был запуск DeX — децентрализованной площадки для торговли криптой. В апреле 2019 года этот DeX был запущен совместно с собственным блокчейном BNB Chain (анонс на binance.com). Это токены стандарта BEP-2. Много времени ушло на разработку, но всё же обещание выполнено. В сентябре 2020 года крайне успешно предвосхитив тренд запускается EVM-совместимая Binance Smart Chain. #BSC, токены BEP-20. Сеть смарт-контрактов BSC благодаря репутации компании, программам акселераторов, маркетингу и удачному моменту набирает бешеную популярность весной 2021 года и успешно закрепляется на второй позиции после Ethereum. Соответственно, чтобы из BNB Chain (BEP2) в BSC (BEP20) токены вывести (и обратно) и служит тот самый взломанный мост Binance Bridge.

Первый блокчейн Binance — BNB Chain, как и DeX на нём, особой популярности не обрели. В отличие от PancakeSwap (CAKE) и BSC. Про проблемы с безопасностью кросс-чейн мостов писал и Виталик Бутерин, как и случались многочисленные крупнейшие инциденты с ними. Таким образом, очевидно, что до сих пор существующий мост Binance Bridge — сложный технологический узел, который несёт в себе серьёзные риски и требует повышенной внимательности разработчиков и безопасников. А функционал его не нашёл популярности в экосистеме. Наиболее правильным решением было бы перевести его в ручной режим и запустить процедуру отключения BNB Chain. Так, кстати, делает Google со своими не нашедшими успеха сервисами. Это минимизирует риски и затраты на обслуживание. Выводы такие: если в экосистеме есть устаревший и непопулярный, но сверх рисковый технологический узел — выгоднее будет его отключить. Такой вот риск-менеджмент у Binance 🤷‍♂️ Будем надеяться, что другие платформы научатся на этих ошибках.
#defi #cybersecurity #инцидент
Post #153 255
DeFi (in)security Мост Solana под названием Wormhole был использован для получения $320 млн. согласно сообщениям, появившимся 3 февраля. 120 000 эфиров (ETH) было получено злоумышленником на сети Ethereum из-за бага в смарт-контракте моста на сети Solana. Solana — вторая после…
06.10.22 очередной крупный мост в #DeFi был взломан. Вторая по размерам смарт-сеть Binance Smart Chain (#BSC) была приостановлена после того, как с официального моста было слито более $500 млн в BNB, родном токене экосистемы Binance. Атакующий вывел из моста 2 млн токенов BNB, но не очень удачно. Скорее всего, $430 млн в BNB, оставшиеся на BSC, будут хакеру недоступны, оставив ему примерно $100 млн в активах на других цепочках. Очередной мост и очередной баг в реализации. В способе проверки доказательств в Binance Bridge была обнаружена ошибка, которая могла позволить злоумышленникам подделывать произвольные сообщения. К счастью, злоумышленник подделал только два сообщения, но ущерб мог быть гораздо серьезнее. Пользовательские средства не пострадали и это уже прекрасно. Ранее уже сообщали об устранённой уязвимости в Multichain (AnySwap), про взлом моста Nomad, взлом моста Horizon, потерявшиеся средства моста EVODeFi, взлом моста Wormhole. А ведь это только самые интересные инциденты. Чтобы хотелось ещё проанализировать в данном конкретном случае: своевременность реакции, отчёт о проделанной работе над ошибками и какие выводы будут сделаны корпорацией #Binance. И ещё как хакер распорядится средствами и смогут ли их заморозить на других смарт-чейнах. Вот его кошелёк: https://debank.com/profile/0x489a8756c18c0b8b24ec2a2b9ff3d4d447f79bec

Источники (Eng.): https://thedefiant.io/bsc-paused-560m-hack
Тех. разбор: https://twitter.com/samczsun/status/1578167198203289600

#cybersecurity #инцидент
Post #152 164
🆘Три решающих концептуальных уязвимости всея DeFi на сегодня и конец 2022 года:

🇺🇸1) Зависимость DAI (MakerDAO) от USDC

🍄2) Оракул Chainlink (пункт от Андрэ \отца DeFi\ Кронье)

👨‍👨‍👦‍👦3) Централизация нод в Proof-of-Stake

#defi #cybersecurity
Post #151 183
DeFi (in)security Cash App — одно из самых популярных приложений для платежных сервисов, с более чем 50 миллионами загрузок в Google Play Store. Приложение Cash App также получило определенную известность благодаря масштабным акциям по раздаче наличных денег в социальных сетях.…
На данной схеме представлены модели работы самых современных платёжных инструментов старого мира — будь то часы или кольцо с NFC. Вот с этими схемами и правильно сравнивать Web3 приложения. И в чью пользу будет сравнение? Точно не в пользу старых технологий, как на схеме. А в случае оффлайн-торговли вообще никаких посредников и серверов нет вовсе.

Подход Google лучше с точки зрения производительности и надежности, подход Apple — с точки зрения конфиденциальности и безопасности (меньше мест для утечки данных).

#старыймир #google #cybersecurity
Post #150 174
DeFi (in)security Метавселенная или #metaverse - сколько сегодня разговоров. А сколько новостей, я даже не буду приводить примеры - вы их сами все видите буквально на каждом портале и в каждом канале. На самом деле всё просто. Когда Facebook заявил о ребрендинге в Meta? А когда…
Приложения VK удалили из App Store (iOS). Именно из-за возможных подобных легальных санкций в отношении своего приложения Telegram Павел Дуров в своё время отказался от запуска криптовалюты TON. Позже, он, конечно перестроил схему и всё таки TON был запущен его "товарищами". Сообразил рабочую схему. Но всё таки момент был уже упущен, как и растерян весь авторитет как новатора. Хотя TON всё же имеет успех, но не гиперуспех, как мог бы. Павел всего лишь про корпорации, не про технологии. Скоро у Telegram настанет пик. И в этот момент начнут появляться новые типы приложений. Что это будет? Социальные метавселенные. Возвращается в сеть метод регистрации без номеров телефонов и E-mail. А может пора создавать Lightning-кошелёк со встроенным Telegram и автоматической покупкой аккаунта?

#старыймир #lightning
Post #149 201
🔥 Платформа-агрегатор услуг VPN. Или еще назовём это "Децентрализованный рынок VPN". Сам концепт загружен в блокчейн в виде NFT, которого имеется 25 копий. По 0.01 ETH за штуку. Нацеливайте свой браузер децентр. приложений на эту ссылку и переключайтесь на сеть Optimism. Но выпускается скорее с целью застолбить идею, чем заработать. В блокчейне всё авторство сохранится за аккаунтом (кошельком). И подобные платформы рано или поздно захватят рынок, ведь все необходимые технологии доступны уже сегодня. Исходя из опыта есть четкая уверенность в этом, что именно за такими проектами будущее. Это лишь вопрос времени.

#web3 #концепт

https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/MT-tAp5x9e_lLtn6KlvTQCbBBlyY6qvwe03_aypyh8I
mirror.xyz Децентрализованный рынок p2p услуг VPN Код — это закон. Смарт-рынок VPN-услуг с технологиями приватности на основе zk-Snark. У продавца технически отсутствует возможность собрать данные
Post #148 177
15 сентября 2022 прошла новость про уязвимость в утилите Profanity. Она используется для создания удобно-читаемых (vanity) Ethereum-кошельков, но давно не поддерживается и имеет серьёзную уязвимость в своей архитектуре. Уже 18 сентября поступали первые сообщения об эксплуатации данной уязвимости злоумышленниками. А сегодня, 20 сентября, случилась очередная брешь в безопасности слишком крупного проекта — Wintermute. В результате эксплойта уязвимого Ethereum-аккаунта подтверждаются потери на сумму около $160млн. Когда-то безопасность в DeFi всё таки перекочует из лозунгов на веб-сайтах в современные и конструктивные техники защиты. Но не сегодня и не для Wintermute.

Источники (Eng.): запись в блоге 1inch про Profanity, первые сообщения об эксплуатации на cointelegraph, инцидент с Wintermute на blockworks.

#defi #cybersecurity #инцидент
Post #147 172
DeFi (in)security Допустим, банк нанял бригаду гопников, чтобы они стояли у банка, оценивали прохожих и привлекали их в банк чтоб те клиентами становились. А тут значит идёте вы с мешком денег и хотите положить в этот банк на свой счёт. И эти гопники у вас деньги отобрали и…
02 сентября 2022 года децентрализованный протокол ликвидности Kyber Network раскрыл в Twitter, что его пользователи потеряли средства в размере 265 000 долларов США из-за эксплойта фронт-энда. Уязвимость связана с вредоносным кодом добавленным через Google Tag Manager на сайте KyberSwap. Целью злоумышленников стали китовые кошельки. Вставляя поддельные одобрения (spending approvals) в код страницы киты разрешали перевод средств с их кошельков злоумышленникам.

Google Tag Manager используется в маркетинговых целях с целью анализа рекламных кампаний и отслеживания действий пользователей.

Иногда легкие по компенсации инциденты помогают командам DeFi-проектов начать относиться к безопасности более комплексно. Проактивный мониторинг сообществ, оценка ситуации с поступающими сообщениями об инцидентах от пользователей. Аналитика легко собирается благодаря созданию бота по тех. поддержке. При обращении проводится опрос пользователя: в виде четырех-пяти вопросов из двух вариантов. Варианты динамические и меняются в соответствии с тенденциями. Безопасность пользователя должна быть в центре, в том время как безопасность платформы — лишь один из её аспектов.

#defi #cybersecurity #инцидент
Post #146 195
Допустим, банк нанял бригаду гопников, чтобы они стояли у банка, оценивали прохожих и привлекали их в банк чтоб те клиентами становились. А тут значит идёте вы с мешком денег и хотите положить в этот банк на свой счёт. И эти гопники у вас деньги отобрали и убежали. А теперь вопрос: какой недавний инцидент в DeFi я имею ввиду?

#cybersecurity #defi #инцидент
Post #145 199
DeFi (in)security Замаскированный под моды WhatsApp Android-троян проник на 500 000 устройств. Для распространения использовался официальный магазин приложений Google Play Store. О злонамеренном приложении, которое авторы замаскировали под WhatsApp-моды, рассказали специалисты…
Cash App — одно из самых популярных приложений для платежных сервисов, с более чем 50 миллионами загрузок в Google Play Store. Приложение Cash App также получило определенную известность благодаря масштабным акциям по раздаче наличных денег в социальных сетях. Приложение принадлежит компании Block, которая ранее была известна как Square. Компанией руководит Джек Дорси (бывш. директор Твиттер).

Хакеры взламывают счета ничего не подозревающих жертв Cash App и крадут сотни и тысячи долларов, утверждают жертвы, с которыми пообщалось издание Motherboard. В случае с одним человеком, по их словам, Cash App не возместил им украденные средства.
В даркнете и на форумах множество людей продают данные для входа в учетные записи Cash App. Некоторые из этих людей указывают, что в данных содержится адрес электронной почты и пароль для связанного аккаунта электронной почты. Некоторые из этих объявлений могут быть мошенническими, но те, что размещены на даркнетовских веб-рынках, исходят от мошенников, которые получили положительные отзывы от предполагаемых клиентов, согласно системе отзывов, распространенной на таких сайтах.

Проблемы с безопасностью средств — это не проблемы децентрализованных приложений. Централизованные платёжные сервисы также имеют множество недочётов в их системах, что также приводит к потере пользовательских средств. Однако, за счёт того, что такие компании более закрыты — мы узнаём об этом из соц. сетей, а не из блокчейнов. Так что те, кто говорят, что децентрализованные приложения, DeFi или Web3 более подвержены взломам и рискам с точки зрения архитектуры безопасности — это не правда. Всё зависит исключительно от отношения к безопасности самой команды.

Источник (Eng.): vice.com

#cybersecurity #google #инцидент #старыймир
Post #143 204
DeFi (in)security Ethereum 2.0 Мы ждём его сколько уже, года три-четыре? Читаем обзор ключевых событий за последнее время и планов на будущее. Итак, в начале Октября 2021 года проходит слёт разработчиков ETH1.0 и ETH2.0, где они успешно тестируют и проводят в тестовой сети…
Ethereum 2.0 на Proof-of-Stake и главная угроза от банкиров для DeFi.

От этого нейминга (2.0) уже отказались, кстати. Зря, но чтож. Многие инфоресурсы пестрят лонгридами по теме. И везде по сути одно и тоже — гадание на кофейной гуще. Лучше их не читать, чтобы не забивать себе голову. Как будут развиваться события не знает никто. Смысла нет тратить время на обсуждение вариантов событий с какими-то сомнительными допущениями и тем более на какие-то смешные стратегии с "ETH-PoW". Мы же обсудим перспективы технологического батла – стейкинг против майнинга. И главную угрозу от цензоров и банкиров для DeFi.

2.0 – это затянувшийся бенефис Виталика Бутерина. И переломный момент в индустрии майнинга, безусловно. Пока что у Виталика получалось доставлять результат вполне успешно. Если смотреть на капу, TVL, а не на обещания. Даже оглядываясь на историю с "хаком DAO" и форком Ethereum Classic, какой бы критике это решение не подвергалось, проект оно не потопило и конкуренты ситуацией не смогли воспользоваться. Да, по мнению Бутерина майнинг (Proof-of-Work) и смарт-контракты — вещи несовместимые на данном этапе развития. Никто не запрещает конкурентам доказать обратное на практике. Все спецификации, наработки и опыт в открытом доступе. Очевидно, будет и момент, когда технологии позволят майнингу вновь вернуться на сцену смарт-контрактов. Для этого необходим значительный прогресс в технологиях передачи данных и/или в самом PoW. А текущий переход на PoS скорее всего завершится успешно, хотя трудности и не исключены. Касательно рисков — свинью могут подложить централизованные эмитенты стейблов вроде USDC, USDT, BUSD и т.д. Договориться им не составит труда. Пример: у Виталика и новой сети в PoS какие-то трудности и нюансы, а эти эмитенты поддержат хардфорк от альтернативной команды и заявят, что их стейблы действительны только в новом хардфорке, поддержанном ими. В случае, если альтернативный хардфорк будет на PoW, — то его поддержат и майнеры. Мотивация простая — цензура на уровне блокчейна (санкции). Обзор на тенденции цензуры в DeFi-проектах уже в работе, кстати. А такой риск есть и он будет означать действительно перезапуск всего DeFi практически с нуля. Кстати, избежать этого риска достаточно просто — надо заранее вывести стейблы на альтчейны (BSC, Polygon, Avalanche, Fantom) или на биржи. Либо, что ещё надёжнее, — в Биткоин (через мост renBTC). Но DeFi-токены и прочий ETH это, конечно, не спасёт от краха в цене.

#defi #eth20 #ethereum #cybersecurity
Post #142 550
DeFi (in)security Мне часто задают вопрос про анонимность крипты. Мол, она же не анонимна. Всё правильно. Технологически сами блокчейны Bitcoin и Ethereum не несут в себе функций анонимности и приватности. Их благодетели в другом — в предоставлении механизмов доверия в среде…
В Нидерландах арестован разработчик смарт-контрактов платформы Tornado Cash. Его обвиняют в том, что он являлся бенефициаром платформы, хотя исходный код говорит об обратном. То есть доказательств его вины нет как таковых. Скорее всего это 29-ти летний Алексей Перцев. На днях Казначейство США внесло приложение Tornado Cash в санкционный список. Это первый случай в истории, когда децентрализованное приложение попадает под санкции. Разработчиками Tornado Cash являются Роман Сторм, Роман Семёнов и Алексей Перцев. Это событие очень глобально и будет иметь глубокое влияние на историю Web3.

#defi #tornadocash

Источник (Eng): https://www.coindesk.com/policy/2022/08/12/netherlands-arrests-suspected-tornado-cash-developer/
CoinDesk Netherlands Arrests Suspected Developer of Sanctioned Crypto-Mixing Service Tornado Cash The country's Fiscal Information and Investigation Service hasn't ruled out making more arrests.
Post #141 403
DeFi (in)security При изучении эта новость пришлась как бревном по затылку – ошеломляет. Даже взлом всея Твиттера был какой-то обыденный и скучный. А похожие ощущения я испытал только когда узнал про арест Ильи Сачкова из Group-IB, но про него и про компанию посты пока что…
Да, по взлому DNS на Convex Finance и на Curve Finance. Эта история тянется ещё с Декабря 2021 года, когда в канале вышел обзор на взлом BadgerDAO. Уже тогда надо было сделать соответствующие выводы и принять меры. Тем не менее ситуации будут продолжаться. А вот и обзор и выводы по текущим инцидентам DNS: https://telegra.ph/Vzlom-glavnogo-proekta-po-dohodnosti-v-Ethereum-07-18

#cybersecurity #defi #curve #convex
Telegraph Взлом DNS Curve и Convex и как защитить токен Среди многих участников сообщества проявляется мнение, что старые угрозы не должны присутствовать в новых финансовых протоколах. Но это совсем не так. Старые угрозы и векторы атак максимально актуальны для современных финансовых протоколов. Новые протоколы…
Post #139 298
DeFi (in)security Мост Solana под названием Wormhole был использован для получения $320 млн. согласно сообщениям, появившимся 3 февраля. 120 000 эфиров (ETH) было получено злоумышленником на сети Ethereum из-за бага в смарт-контракте моста на сети Solana. Solana — вторая после…
⚡️ Очередной глобальный инцидент на сети Solana. Из большого количества кошельков выводят токены SOL, USDC. Вектор атаки пока так и не выяснен. Рекомендуется вывести средства из сети Solana на другие сети или на биржи. Предположительно скомпрометированы приватные ключи пользователей кошельков Phantom и Slope.

Источник (Eng): твиттер CZ
#defi #solana #cybersecyrity
Post #138 320
Залоговая долговая позиция (Collateralized Debt Position, CDP):

Это позиция, созданная путем блокировки залога в смарт-контракте MakerDAO для генерации децентрализованного стейблкоина DAI. Эта система была представлена миру децентрализованных финансов командой MakerDAO и именно так создается децентрализованный стейблкоин DAI.

Стоимость залога, заблокированного в CDP, всегда должна превышать 150% от стоимости DAI, который был использован для генерации. Если позиция оказывается недостаточно обеспеченной, активы, заблокированные в смарт-контракте, продаются, чтобы вернуть сгенерированный DAI. За ликвидацию взимается штраф, а также есть комиссия за обслуживание позиции.

Сгенерированные DAI — это, по сути, децентрализованный кредит, обеспеченный стоимостью залога. Чтобы разблокировать залог, пользователю необходимо вернуть сгенерированные DAI плюс комиссию за стабильность. Каждый из находящихся в обращении стейблкоинов DAI, которых на момент написания статьи насчитывается почти 7 с половиной миллиардов, был создан таким образом.

Традиционно для залога в MakerDAO можно было использовать только Ether (ETH), но теперь поддерживаются также WBTC и другие.



Хотя MakerDAO представил термин Залоговая долговая позиция (Collateralized Debt Position, CDP), технически другие проекты DeFi могут принять CDP и как термин, и как систему.

Источник (Eng)

#defi #dai #makerdao
Post #137 243
Мост Nomad (app.nomad.xyz) был взломан и злоумышленниками активно эксплуатируется критическая уязвимость. НЕ используйте мост Nomad и отмените разрешения!

В настоящее время с контракта 0x88A69B4E698A4B090DF6CF5Bd7B2D47325Ad30A3 было слито более $50 млн WBTC и WETH. Хакер, похоже, нацелился на USDC и USDT.

Источник (Eng): https://t.me/RugDocChat/403238
#defi #cybersecurity
Telegram RugDoc Announcements in RugDoc Chat READ GROUP INFO. Trust no one but the code. 🚨 The Nomad Bridge (app.nomad.xyz) bridge has been hacked and is being actively exploited. Do NOT use the Nomad bridge and revoke permissions! Currently over $50m of WBTC and WETH have been drained from contract 0x88A69B4E698A4B090DF6CF5Bd7B2D47325Ad30A3.…
Post #136 280
Охота на угрозы. В этом выпуске за Июль 2022 года у нас интересная троица: разработчик-инсайдер из Северной Кореи; малварь под видом DeFi-кошелька и классический агент угрозы, выдающий себя за сотрудника DeFi-проекта.

https://telegra.ph/Aktualnye-fishing-ugrozy-v-DeFi-iz-Telegram-pervoj-poloviny-2022-goda-07-16

#cybersecurity #defi #phishing #report
Telegraph Актуальные фишинг-угрозы в DeFi из Telegram первой половины 2022 года Данное исследование было сделано на основе мониторинга телеграм-каналов топовых DeFi-проектов в Июле 2022 года. Проводится с целью изучения актуальных тактик злоумышленников. Исследование инфраструктуры агентов угрозы, аттрибуция и полное изучение цепочки…
Post #135 297
В понедельник фишинговая афера с предложением мошеннического airdrop смогла лишить пользователей Uniswap почти 8 миллионов долларов США.

Фишинговая афера обещала бесплатную раздачу 400 токенов UNI (стоимостью около 2200 долларов США). Пользователям предлагалось подключить свои криптокошельки и подписать транзакцию, чтобы получить вредоносный airdrop. После подключения неизвестный хакер завладевал средствами пользователей с помощью вредоносного смарт-контракта.

На сегодняшний день, согласно данным Etherscan, более 74 000 кошельков взаимодействовали со смарт-контрактом фишинговой аферы.

По данным Etherscan, 11 июля 2022 года хакер развернул вредоносный смарт-контракт.

Примечательно, что код смарт-контракта, развернутого на Etherscan, не был проверен - то, что делают большинство легитимных проектов.

Для получения своих токенов, полученных пользователями в рамках airdrop, хакер обманом заставил пользователей подписать транзакцию. Вместо этого транзакция выполняла функцию одобрения, предоставляя хакеру доступ ко всем токенам Uniswap LP (Liquidity Pool), принадлежащим пользователю.

Каждый раз, когда пользователи добавляют ликвидность в Uniswap, они получают взамен токены LP, представляющие их позиции ликвидности. Эти токены, как и все другие NFT, могут передаваться и используют стандарт токенов ERC-721.

Таким образом, через транзакцию одобрения третья сторона (в данном случае хакерский кошелек) может тратить средства от имени пользователя.

Получив доступ от предыдущей транзакции одобрения, хакер перевел все токены LP на свой кошелек и вывел всю ликвидность из Uniswap.

Источник (Eng.): https://decrypt.co/104916/hackers-nab-8m-ethereum-uniswap-phishing-attack

#cybersecurity #defi #ethereum #uniswap #фишинг #инцидент
Older posts →
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →