DeFi (in)security
описание
Контакт: @defisec_bot DeFi — альтернативная финансовая система нового мира, базирующаяся на принципах Web3.
196
подписчиков
Охват к подписчикам
157,1%
ERR
Реакции к просмотрам
0,00%
0 на 20 постов
Пересылки к просмотрам
0,54%
33
Постов в день
0,0
всего 20
Где отзываются чаще
доля реакций к просмотрам- 22 мар.Your Audit Passed. You Still Got Hacked Написал статью на примере трёх кейсов — #Prisma Finance, #Zunami и #Resolv. Все проаудитированы. Все взломаны. Ни один взлом не был через баг в коде. Prisma — периферийный контракт MigrateTroveZap вне скоупа аудита, $12M. Zunami — deployer wallet с god-mode доступом, withdrawStuckToken() одним вызовом вынес весь коллатерал zunUSD, четвёртый хак за три года. Resolv — один EOA ключ с безлимитным минтом, без cap, без oracle check, без timelock, $80M заминчено с $200K депозита. Проблема не в качестве аудитов. Проблема в том что индустрия путает аудит кода с безопасностью системы. Типичный подход: наняли аудиторов, получили отчёт, купили #Fireblocks или какой-нибудь on-chain monitoring, повесили badge "audited by X" на лендинг — и считают что безопасность закрыта. А она только началась. Аудит — это snapshot кода в моменте. Он не покрывает threat modeling: кто держит ключи, какой blast radius при компрометации каждой привилегированной роли, что случится если off-chain signer утечёт. Он не покрывает архитектурное ревью: почему SERVICE_ROLE это EOA а не multisig+timelock, почему deployer wallet может вызвать withdrawStuckToken() без ограничений. Он не покрывает operational security: как хранятся ключи, кто имеет физический доступ, есть ли succession plan. Безопасность — это не продукт который покупаешь. Это процесс который строишь. Threat modeling, architecture review, deployment gating, continuous monitoring, incident response, periodic reassessment. Это десятки направлений которые нужно вести параллельно и постоянно пересматривать при каждом изменении системы. On-chain мониторинг поймает аномалию. Но кто получит алерт в 2 часа ночи? Кто примет решение о паузе? Кто вообще определил что считать аномалией? Resolv — $50M минт за одну транзакцию, Curve pool drained за 17 минут. Мониторинг без процесса реагирования — это dashboard который никто не смотрит. Если у вас nine-figure TVL и нет security engineer в штате — у вас нет безопасности. У вас есть аудит-репорт который будет отлично смотреться в post-mortem. Полный разбор всех трёх кейсов 👇 https://paragraph.com/@defi-in-security/your-code-audit-passed-you-still-got-hacked-three-times #web3 #DeFi #security #incident0,00%
- 3 нояб.⚠️ Важно: отзовите все разрешения (approvals) для Balancer и его форков Проверьте список форков здесь: https://defillama.com/forks/Balancer%20V2 Как отозвать разрешения: 1️⃣ Откройте расширение Rabby 2️⃣ Перейдите во вкладку Approvals 3️⃣ Введите в поиск Balancer (и другие связанные протоколы) 4️⃣ Нажмите Revoke для каждого разрешения. #DeFi #balancer0,00%
- 29 июл. 2025 г.Ну чтож, Виталия Дмитриевича Бутерина можно и поздравить! Ведь мало было запустить альтернативную финансовую систему. Гораздо сложнее за 10 лет пройти все испытания и остаться верным изначальным целям и идеалам. Отцовское воспитание точно дало о себе знать. Результат один — система стабильна и надёжна и даёт нам технологические блага, которых не было у наших предков. Уверенный ход этого гиганта — достижение даже более значимое, собственно, чем сам факт создания Эфириума! Vitalik, my congratulations! #Ethereum #ETH #DeFi0,00%
- 3 мая 2025 г.22 февраля 2025 г. из «холодных» кошельков биржи Bybit вывели рекордные 1,5 млрд $ в ETH — через подмену delegatecall в мультисиг‑транзакции. TRM Labs и ФБР почти сразу указали на северокорейскую группу Lazarus, ранее «замеченную» в Ronin, KuCoin, Upbit и десятках других атак. Итоговый счёт возможной добычи Пхеньяна с 2017 г. оценивается в $6 млрд. Но за громкой атрибуцией скрываются нюансы: Повторяемые TTP. Одинаковые цепочки обналичивания (быстрый своп в ETH/BTC → дробление → миксеры) действительно характерны для Lazarus, но их нетрудно скопировать. Подробнее: Инфраструктурные следы. Северокорейские IP и старый тулкит AppleJeus — сильный аргумент, однако доказательства остаются непубличными и недостижимыми суду. Мотивация сторон. • Биржи охотнее винят «государственного суперхакера», чем признают собственные дыры в процедурах. • Госструктурам удобно подчеркивать «ось зла» и обосновывать санкции. • Вендоры строят продукты «против Lazarus», усиливая медийный образ группы. Подробнее: https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/duQfr_6yr1nxf669eZFNRagjAsgeXX5YWMvBtTGUiCs0,00%
- 18 февр. 2025 г.#Bitcoin #старыймир0,00%
- 16 февр. 2025 г.Голосование в Ethereum: что такое Snapshot, Tally, Aragon и Agora Ethereum давно стал площадкой для децентрализованных решений, но полная ончейн-управляемость остаётся сложной задачей. Несмотря на это, появились инструменты, которые помогают сообществу голосовать и выносить решения. Snapshot, Tally, Aragon и Agora позволяют пользователям выражать мнение, но не заменяют полноценное управление через блокчейн. Snapshot — один из самых популярных механизмов голосования вне блокчейна. Он использует владение токенами для определения прав голоса, но не требует транзакций, что делает процесс быстрым и без комиссий. Однако его решения не исполняются автоматически — для этого нужны дополнительные механизмы доверия, например, мультиподпись. Tally предлагает иной подход, обеспечивая полноценное ончейн-голосование. Решения фиксируются в смарт-контрактах и исполняются автоматически, исключая необходимость в доверенных лицах. Но за это приходится платить: любое голосование требует оплаты газа, что может снизить вовлечённость пользователей. Aragon — это не просто система голосования, а полноценная платформа для DAO. Она позволяет создавать децентрализованные организации, управлять финансами и назначать роли с помощью смарт-контрактов. Это делает процессы автоматизированными, но требует сложной настройки. Agora также служит инструментом для голосования, но фокусируется на прозрачности и доступности. Как и Snapshot, это скорее средство для обсуждений и формирования мнения сообщества, а не инструмент для автоматического исполнения решений. Хотя эти платформы позволяют пользователям влиять на развитие проектов, они не обеспечивают абсолютной децентрализации. Большинство из них требуют социальных механизмов для выполнения решений или дополнительных инструментов для ончейн-реализации. Вопрос о том, какой должна быть идеальная система управления Ethereum, остаётся открытым. Возможно, будущее за гибридными моделями, объединяющими оффчейн-координацию с ончейн-исполнением? #DeFi #DAO0,00%
- 24 сент. 2024 г.#Token20490,00%
- 19 сент. 2024 г.Для праздника закрытия #TOKEN2049 Singapore 19 сентября 2024 года в Marina Bay Sands и продвижения децентрализованных стейблкоинов опубликовано новое предложение по улучшению. Проект нацелен на масштабную интеграцию стейблкоинов в приложения, поддерживающие цифровые валюты, предлагая техническую поддержку, кастодиальные кошельки и мосты для других сетей. Среди ключевых направлений — разработка инструментов для легкой интеграции платежных систем, полное сопровождение внедрения токенов в приложения и P2P-обмены для выхода в фиат. #stablecoins Этот проект обещает расширить возможности использования стейблкоинов и укрепить их позиции на рынке, открывая новые горизонты для децентрализованных финансов (#DeFi). https://mirror.xyz/0xdc519466f1cda17e8ae6735bB8652F47c0533CBe/ZWavyg5uRz1kGsbd1Xsmm8frH1N9IQUGLcLxnJHcLsE0,00%
- 17 сент. 2024 г.TON Foundation Collaborates with Curve Finance to Incubate Stable Swap Project TON Foundation and leading DEX Curve Finance will incubate a new TON-based stable swap project. This collaboration will open up new opportunities for stablecoin trading on the TON blockchain, providing a more accessible and efficient trading experience. Leveraging Curve’s advanced CFMM technology, the project aims to simplify stablecoin swaps, enhance user experience, and minimize price impact. With Michael Egorov, founder of Curve Finance, advising the selected team, this collaboration is set to deliver a seamless, innovative DeFi solution on TON. With USDt on TON reaching $729.9M in net circulation just four months after its launch, demand for stablecoins on TON is rapidly growing. This new initiative will meet that demand, boost liquidity, and propel the adoption of TON’s Web3 ecosystem. Details. Interested in building the project? Apply now! Submissions are open until September 24.0,00%
- 16 сент. 2024 г.If you're heading to Singapore for TOKEN2049, join Hexens' CTO, @kemmio, on 17th of September for a panel discussion at Multichain Day, where we'll be talking all things Web3 tooling!0,00%
- 16 сент. 2024 г.#Token20490,00%
- 12 сент. 2024 г.OpenAI и его ChatGPT — хороший и положительный пример правильного капиталистического подхода к монетизации своего продукта. Даже в странах, которые под санкциями, достаточно просто приобрести платную подписку. Всего лишь надо подключить VPN и скопировать платёжную ссылку. Компания OpenAI специально выбрала себе такого платёжного провайдера, который не задаёт лишних вопросов, не занимается лишним скорингом и прочей чушью, а просто собирает оплату. Конечно, абсолютно нелепо санкционировать целые страны в ключе доступа к каким-либо веб-приложениям в сети. Так что этот подход абсолютно оправдан и с точки зрения доходов, и с точки зрения разума. Хотя и у OpenAI есть перекосы, которые работают в отделе мобильной разработки: официальное приложение на Android требует не просто наличия GMS (Google Mobile Services), но и подключенного к ним Google-аккаунта. Так что, пока некоторые играют в джентльменов, осторожничают, заигрывают и пляшут под дудку всевозможных государственных органов (как создатели Tornado Cash), такие гиганты захватывают рынки и зарабатывают. Берите пример. Павел Дуров и его TON, который он во многих азиатских странах успел лично продвинуть на государственном уровне, — тоже хороший пример, кстати. Павел ведь официально к TON не имеет отношения. #старыймир0,00%