Криптологическая экспедиция

CPIMP атака на 1kk$ или почему аудит скрипта деплоя важенИтак, представьте, ваш код проходит два аудита, вы исправляете то, что считаете важным (а что считаете неважным помечаете known), но это не делает ваш протокол безопасным, потому что уязвимость в другом месте, а вот проекту UPD_io и представлять не нужноClandestine Proxy In the Middle Proxy — "скрытый/подпольный прокси посередине". Это сложная атака, включающая в себя фронтраннинг (посты про MEV не теряют актуальности: раз, два), направленная на upgradable контракты. Суть её заключается во вставке посредника между proxy и implementation контрактами. Эта вставка по сути является man in the middle. Известна стала в июле 2025 года.В первом приближении схема upgradable контрактов выглядит так:Прокси -> ИмплементацияПосле CPIMP получается так:Прокси -> Атакующий -> ИмплементацияЧто случилось- 16 сентября 2025 года команда деплоила неинициализированный прокси-контракт- В окне между деплоем и инициализацией (36 секунд) атакующий опередил команду с помощью Multicall3-транзакции, первым вызвал функцию initialize и захватил права администратора- Атакующий установил свой malicious proxy, который перенаправлял вызовы на легитимный (аудированный) код, но позволял манипулировать транзакциями- Для маскировки использовались манипуляции с событиями (events) и слотами хранения, чтобы на блок-эксплорерах (типа Etherscan) всё выглядело нормально — показывался легитимный код- Атакующий ждал 78 дней, пока протокол набирал ликвидность, и только в декабре активировал эксплойт. Почему его никто не заметил? Потому что он гений. Строго говоря, заметить атаку можно было, если бы был проведен анализ логов сразу после деплоя, на это указывают и объясняют Chain Argos. Были подозрительные раздачи ролей на несвязанные с командой адреса, была инициализация контрактов.А вот после деплоя для маскировки использовались две тактики:1) Самовосстановление (self-restoration). После делегирования каждого вызова легитимному implementation-контракту CPIM

Взлом Cross Curve Bridge на 1.4кк$Пост основан на разборе атаки от QuillAudits, статье о взломе от MixBytes и гитхабе Axelar GMP SDKЕще пару недель назад мне казалось, что атаки на мосты ушли в прошлое, но реальность говорит о другом.Атака была направлена на контракт ReceiverAxelar, интегрированный с Axelar. Сам контракт я не нашел, но он наследуется от AxelarValuedExpressExecutable, в нем есть функция expressExecute(), являющаяся публичной и не имеющая ограничений по доступу function expressExecute( bytes32 commandId, string calldata sourceChain, string calldata sourceAddress, bytes calldata payload ) external payable virtual { if (gateway().isCommandExecuted(commandId)) revert AlreadyExecuted(); address expressExecutor = msg.sender; bytes32 payloadHash = keccak256(payload); emit ExpressExecuted(commandId, sourceChain, sourceAddress, payloadHash, expressExecutor); _setExpressExecutor(commandId, sourceChain, sourceAddress, payloadHash, expressExecutor); { (address tokenAddress, uint256 value) = contractCallValue(sourceChain, sourceAddress, payload); _transferFromExecutor(expressExecutor, tokenAddress, value); } _execute(commandId, sourceChain, sourceAddress, payload); }Атакующий сгенерировал commandId, подделал sourceChain и sourceAddress, чтобы вызов выглядел легитимным.Зловредный payload нёс в себе информацию о целевом контракте, количестве токенов (почти миллиард $EYWA) и инструкции по трансферу на свой адресс, Единственная проверка, которую осуществляет expressExecute() это проверка на то, исполнялся ли такой commandId, а проверки внутри _execute() проверяли только соответствуют ли sourceChain и sourceAddress друг другу. Такая проверка не давала какого-либо эффекта, поскольку эти данные предоставляет инициатор транзакции. Кроме того, сonfirmation threshold был установлен на значении 1, что означает очень быструю конфирмацию, ведь требуется одобрени

Последние, почти 2 месяца, занимался новым стартапов.Аггрегатор предкшн маркетов premarket.meВ чем идея.Polymarket ончейн долгое время был царь и король, т.к. основной конкурент Kalshi работает оффчейн. Но в 25-м году многие увидели рост Polymarket за 24-й год и начали активном пилить свои маркеты.В результате их сейчас около 8-10. Активных не больше 5.Но рост идет бурный, поэтому ожидаем по несколько площадок на каждом чейне.Различные площадки для предкшенов дают такие же неэффективности, как и кексы. Например, где лучше прайсы или как уменьшить слиппадж.В первой версии я это реализовал.4 площадки:- Polymarket(Polygon)- Opinion(BNB)- PredictFun(BNB)- Probable(BNB)У них есть маркеты на одни и те же события. На бэке они сматчены и за счет этого можно находить лучшие прайсы и раскидывать ликвидность по разным площадкам.Это сырая альфа. Полный Кристиан DYOR. Но если вам не жалко 10-20 долларов, купите продайте что-нибудь плиз, дадите фидбэк.Два момента, кто захочет попользовать.1. Метамаск будет вас предупреждать, что это страшная скамина, ничего не подписывай. Он в чем то прав, поэтому не используйте основной кошелек2. Индексация чейнов идет не прям онфлоу, поэтому после покупки информация о вашем балансе появится через 1-2 минутыНу еще на твиттер подпишитесьhttps://x.com/pre_marketsНу и как говорил классик: “Стартуем!”

Поэтому, если во вторник не катну, дел со мной больше никогда не имейте.Запомним

Хочу тут публично замазаться, что во вторник катну MVP своего нового проекта по предикшн маркетамПланировал в середине января, но что то пошло не так. То фичей хочется добавить, то полируешь какие то штуки, то выяснилось, что отдельный квест найти сервер, с которого можно к предикшн маркетам спокойно подключаться. Главные локации заблочены.Поэтому, если во вторник не катну, дел со мной больше никогда не имейте.

Смотрите, чел четыре дня назад пополнил кошелёк через CEX-обменник, потыкал (похоже, очень вручную) с переменным успехом функции initialize() у какого-то случайного набора контрактов, что-то потрансферил и забриджил куда-то оставшиеся 25 долларов.Знаю, так как он безуспешно пытался инициализировать логику одного из моих контрактов. Расскажите ему про флешботов и программирование

С НГ!

Надя навайбкодила тулзу для итогов года тг-каналов, вот про мой

#хакатоныне знаете чем заняться?я собрал вам календарь хакатоновhttps://docs.google.com/spreadsheets/d/1xy7lnIETtjtmZqG8x_OxBM9WvPghLO6ldBPPKHQf9EE/edit?gid=0#gid=0

Там сейчас все разгоняют, что ООП для смарт-контрактов не нужно. Что только композиция православна.В новом кор-солидити её уберут как понимаю. Nick (автор стандарта Даймонд) делает библиотеку, которая её запрещает в обычном солидити (и ещё много чего запрещает, с чем я согласен только частично)А вы что думаете? По мне так то же наследование очень удобно в контрактах и хз как композиция это полностью заменит. Тот же erc20 унаследовать от аудированного openzeppelin или сделать пустой метод в абстрактном классе чтобы потом спокойно оверрайдить