Crypto Offensive

#hack #GenomesDAO Взломан GenomesDAO - https://genomes.io/ - DAO сервиса монетизации генетических данных в сети Polygon. Сумма ущерба - около 25.5 ETH (использовался Wrapped ETH на Polygon). Уязвимость нашлась в контракте стейкинга LP-токенов (токенов поставщиков ликвидности). Функция инициализации "initialize" вызывала функцию "initialized", которая оказалась публичной и позволила взломщику подменить адрес токена, используемого для стейкинга, на адрес "самодельного" токена. Затем было произведено вложение фиктивных токенов в обмен на токены LPSTAKING, которые после вызовa "initialized" с первоначальным значением были обменяны на реальные LP-токены. Один из контрактов стейкинга: прокси - https://polygonscan.com/address/0x3606cfa43f53098bc00b3fcff3a333f6947f3c92 реализация с уязвимостью - https://polygonscan.com/address/0x41476c8d9f24a95dde65bcd38a2948f7a667696b (было задействовано несколько аналогичных контрактов для разных токенов) Транзакция печати огромного количества самодельных LP-токенов https://polygonscan.com/tx/0xcaa5f1193d5fb88d52b1de30bd0a12fd8269514f08e0bc5d69782b7c24a5f4fe Транзакция вложения фиктивных токенов и вывода реальных (процесс повторён несколько раз для разных токенов) https://polygonscan.com/tx/0x252a7e6f23ffb516c23df2a3b2e09b42d00a06fa4e9a5830e74fb35581f7632c Транзакция дальнейшего обмена на WETH https://polygonscan.com/tx/0x82cebaf092bc6a4c9235daeda6a9b504a873844c41dc31c51dbeebbab96a90bf

#hack #fegtoken И ещё пара разборов того же инцидента: https://twitter.com/IvoElenchev/status/1526116700810362881 https://twitter.com/electricd1ckdev/status/1525965414878134278

https://twitter.com/smartstatetech/status/1526610831986683904?s=21 - разбор

#hack #fegtoken Взломаны смарт-контракты экосистемы FEG (FegToken) - https://fegtoken.com/ - в сетях Ethereum и BNB (BSC). Ущерб: 143 ETH ($305 тыс.) + 3277 BNB ($1 млн.) Контракты взломщика: ETH - https://etherscan.io/address/0x9a843bb125a3c03f496cb44653741f2cef82f445 BNB - https://bscscan.com/address/0x9a843bb125a3c03f496cb44653741f2cef82f445 Подробности взлома выясняются.

#hack #saddle #fuse Два крупных взлома за день: 1) Saddle Finance взломан на $10 миллионов: https://etherscan.io/tx/0x2b023d65485c4bb68d781960c2196588d03b871dc9eb1c054f596b7ca6f7da56 Также $3.8 миллиона были спасены белыми хакерами из BlockSecTeam: https://etherscan.io/tx/0x9549c0cb48ec5a5a2c4703cbbbbea5638028b2d8c8adc103220ef1c7fe5e99a3 2) $80 миллионов выведено из пулов Fuse в протоколе Fei, который в декабре 2021 года объединился с Rari Capital: https://etherscan.io/tx/0xadbe5cf9269a001d50990d0c29075b402bcc3a0b0f3258821881621b787b35c6 Взлом был произведён путём re-entrancy (повторного входа). Анализ взлома: https://twitter.com/Hacxyk/status/1520370421773725698 Взломщику предложено вознаграждение в $10 миллионов за возврат остальных средств: https://twitter.com/feiprotocol/status/1520344430242254849

#hack #deusdao #defi Взломан сервис DeFi-деривативов DeusDao. Атака осуществлена в сети Fantom путем манипуляции значениями от ценового оракула, с использованием flash-займа. Выгода для взломщика оценивается в $13.4 миллиона. Краткий разбор от PeckShield: https://twitter.com/peckshield/status/1519530463337250817

#AkuDreams #vulnerability #lostfunds Более 11500 ETH (около $ 35 миллионов) оказались навсегда заблокироваными на смарт-контракте AkuAuction проекта AkuDreams. https://etherscan.io/address/0xf42c318dbfbaab0eee040279c6a2588fa01a961d Драматичная история развернулась в несколько этапов. Вначале команда проекта была оповещена о том, что возврат избыточных сумм ставок аукциона может быть заблокирован совершением ставки через смарт-контракт с дополнительной логикой. Был приведен пример кода такой блокировки (следует заменить адрес 0x00...01 на адрес отправителя) https://gist.github.com/except/2ece3e40b72d0bf0cbd1107aa5d06926 В этом варианте вывод средств участников можно как заблокировать (программным отказом от получения компенсации + сжиганием всего газа транзакции), так и разблокировать. Команда проекта не подтвердила наличие ошибки, после чего такая блокировка была реально осуществлена. Затем ошибка была признана командой и создатель блокировки добровольно снял еë. Для участников аукциона всë закончилось хорошо, а вот команду проекта поджидал ещё один очень неприятный факт: из-за ошибки в условиях вывода средств с контракта - этот вывод не может быть осуществлëн, все собранные аукционом средства навсегда остались на смарт-контракте. https://bowtiedisland.com/akudreams-griefed-careless-code-leads-to-45-million-locked/

#hack #TecraCoin #TCR Взлом на 640 тысяч долларов из-за порядка параметров, пострадали поставщики ликвидности на Uniswap. Разработчики токена TecraCoin (TCR) ошиблись с порядком параметров _allowances в burnFrom(). В результате - кто угодно мог сжечь токены с любого адреса, предварительно разрешив этому адресу трату своих токенов. Действия контракта, использованного при атаке: * приобрести TCR на небольшую сумму * разрешить паре ликвидности TCR/USDT на Uniswap расходовать эти TCR * сжечь почти все запасы TCR в паре Uniswap * синхронизировать резервы пары Uniswap, тем самым значительно повысив цену TCR * продать имевшиеся TCR, получив почти все USDT из пары ликвидности Транзакция взлома: https://etherscan.io/tx/0x81e9918e248d14d78ff7b697355fd9f456c6d7881486ed14fdfb69db16631154 Контракт токена с ошибкой в burnFrom(): https://etherscan.deth.net/address/0xe38b72d6595fd3885d1d2f770aa23e94757f91a1

#hack Взломан мост Wormhole между Ethereum и Solana, ущерб $321M. Кто-то сминтил себе 120К врапнутых ETH: https://solscan.io/tx/2zCz2GgSoSS68eNJENWrYB48dMM1zmH8SZkgYneVDv2G4gRsVfwu5rNXtK5BKFxn7fSqX9BvrBc1rdPAeBEcD6Es Взломщику удалось убедить мост со стороны Solana, что он залил 120К эфира на другой конец моста. Для доказательства используются подписи релееров, но программа для верификации подписей передается в виде инструкции транзакции без должной проверки, что позволило взломщику подсунуть свою программу верификации: https://github.com/certusone/wormhole/blob/7edbbd3677ee6ca681be8722a607bc576a3912c8/solana/bridge/program/src/api/verify_signature.rs#L99

#hack #crosswise DeFi-сервис Crosswise - crosswise.finance - взломан из-за публичной доступности функции контракта, через которую можно было открыть себе доступ к совершению действий от имени других адресов. Ущерб оценивается в $879 000. https://twitter.com/peckshield/status/1483340900398895105

#vulnerability #anyswap #multichain #approve Пользователям сервиса AnySwap - anyswap.exchange, также известного под новым названием Multichain - multichain.org, во избежание финансовых потерь необходимо отозвать аппрувы (разрешения) на токены WETH, PERI, OMT, WBNB, MATIC, AVAX. https://medium.com/multichainorg/action-required-critical-vulnerability-for-six-tokens-6b3cbd22bfc0

#guide Еще один перечень типов уязвимостей в смарт-контрактах Solidity с описанием и примерами https://github.com/sigp/solidity-security-blog

​​#guide JiuZhou - классификация багов в смарт-контрактах Solidity: 49 типичных багов в 9 категориях. С описанием и примерами уязвимого кода https://github.com/xf97/JiuZhou

#guide Полезная подборка паттернов solidity-программирования, в т.ч. по безопасности: https://github.com/fravoll/solidity-patterns

#guide Методология аудита безопасности и качества кода смарт-контрактов от Rari Capital: https://github.com/Rari-Capital/solcurity

#hack #tinyman #algorand Tinyman - главный DEX на блокчейне Algorand - подвергся взлому 1-2 января. Непосредственно в процессе взлома было выведено средств на 3 миллиона долларов. Затем вывод средств был продолжен другими участниками сети - белыми и чёрными хакерами-подражателями, а также обычными пользователями, выводящими предоставленную ими ликвидность. https://tinymanorg.medium.com/official-announcement-about-the-incidents-of-01-01-2022-56abb19d8b19 В сентябре 2021 года компания Runtime Verification провела аудит контрактов Tinyman: https://runtimeverification.com/blog/runtime-verification-audits-tinyman/ При аудите был обнаружен похожий баг - "A02: Leaking Funds When Burning LP Tokens..." https://github.com/runtimeverification/publications/blob/main/reports/smart-contracts/Tinyman.pdf Баг A02 указан как исправленный, и проявлялся немного иначе - при сжигании LP токенов оба актива возвращались в одинаковом количестве. Во время взлома же возвращалось разное количество, но одного и того же актива.

#scam #airdrop #dogecash Токены $DOGECASH в сети BSC - скам: в процессе их получения с кошелька получающего уводится небольшая сумма в BNB. https://twitter.com/PeckShieldAlert/status/1477859991935918080

#rugpull #airdrop #EtherWrapped #YEAR Токен под названием EtherWrapped (не путать с Wrapped Ether), также известный под кратким названием YEAR, был распространён путём раздачи на web-сайте на основе статистики действий получателей за 2021 год (отсюда имя YEAR). https://etherscan.io/address/0x9010a15184da16e3a7c5b4aa50094dfe3bb36989#code Ловушка заключалась в сочетании функций renounceOwnership и _burnMechanism. Когда токен уже торговался на Uniswap, владелец контракта вызвал renounceOwnership с адресом контракта Uniswap, тем самым заблокировав держателям токена возможность его продажи проверкой в _burnMechanism. Теперь токен можно было только покупать. Через некоторое время создатель токена вывел накопившуюся ликвидность с Uniswap. На этом существование YEAR фактически завершилось. https://twitter.com/cat5749/status/1476813266462539779

#hack #SashimiSwap Взлом децентрализованной биржи SashimiSwap: Взломщик заранее подготовил несколько собственных токенов и добавил их на биржу в парах с Wrapped ETH (WETH) и друг с другом. Затем была вызвана функция обмена с заданным маршрутом (последовательностью промежуточных обменов). В маршруте дважды присутствовал токен WETH - на второй и на заключительной позициях. В результате - сумма к выдаче была вычислена по части маршрута, а обмен произведён по полному маршруту, и атакующий получил "лишние" токены Wrapped ETH. https://twitter.com/blocksecteam/status/1476516736422019082 Аналогичная атака была проведена и против BSC-версии того же SashimiSwap.

A curated list of blockchain security. https://github.com/blockthreat/blocksec-ctfs