Я очень благодарен подписчикам за своевременные комменты и фидбэк. Прекрасный комментарий и материал об уязвимости ERC-20 контрактов, к последнему выпуску КВ, прислал @LatentHero. Просто обязан запостить.
Привет. Читаю твой канал и хотел бы сделать несколько комментариев к последнему криптовремячку, а именно к той части, где рассказывается про свежую уязвимость в ERC-20 контрактах.
1. В SmartMesh уязвимость proxyOvreflow, это в Beautychain была batchOverflow (как раз про Beautychain у тебя по ссылке статья). Технически небольшие отличия у proxyOvreflow есть, но по сути это те же яйца, только в профиль (в смысле тоже переполнение переменной uint256).
2. По поводу того, что баг в смарт-контракте никто не заметил. PeckShield - ребята, которые занимаются ИБ в блокчейнах - в своей статье(https://peckshield.com/2018/04/22/batchOverflow/) говорят, что засекли batchOverflow практически сразу (по крайней мере время реакци их системы совпадает со временем проведения транзакции с багом) и связались с разработчиками Beautychain. Соответственно, времени у хакеров было не так уж и много.
3. Почему нельзя было напечатать меньше токенов? Это связано с особенностью бага. В SmartMesh, например, переполнение возникает при сложении двух переменных, одна из них - сумма перевода, вторая - комиссия, и чтобы переполнение произошло эта сумма должна быть 2 в степени 256 (тот самый дохулиард). А чтобы получить при сложении двух чисел дохулиард, они должны быть довольно большими (ну или хотя бы одно из них, ваш кэп). А как раз такие большие суммы и палят системы мониторинга, например, от тех же PeckShield.
4. Насчет большого депозита на биржу - в этой статье https://medium.com/smartmesh/smartmesh-announcement-on-ethereum-smart-contract-overflow-vulnerability-f1ded8777720 смартмешевцы говорят, что на биржи было заведено всего 65,300,289 SMT, что в принципе не так уж и много. Я думаю, что к моменту перевода на биржи все заинтересованные лица уже спалили лишний дохулиард токенов в блокчейне и начали принимать меры. Так что да, шансов у хакеров было не много, но все равно попробовать стоило)))
З.ы Респект тебе за твои статьи. Настоящий edutainment, каким он и должен быть.
З.з.ы Прошу прощения за многа букафhttps://peckshield.com/2018/04/22/batchOverflow/) говорят, что засекли batchOverflow практически сразу (по крайней мере время реакци их системы совпадает со временем проведения транзакции с багом) и связались с разработчиками Beautychain. Соответственно, времени у хакеров было не так уж и много.
3. Почему нельзя было напечатать меньше токенов? Это связано с особенностью бага. В SmartMesh, например, переполнение возникает при сложении двух переменных, одна из них - сумма перевода, вторая - комиссия, и чтобы переполнение произошло эта сумма должна быть 2 в степени 256 (тот самый дохулиард). А чтобы получить при сложении двух чисел дохулиард, они должны быть довольно большими (ну или хотя бы одно из них, ваш кэп). А как раз такие большие суммы и палят системы мониторинга, например, от тех же PeckShield.
4. Насчет большого депозита на биржу - в этой статье https://medium.com/smartmesh/smartmesh-announcement-on-ethereum-smart-contract-overflow-vulnerability-f1ded8777720 смартмешевцы говорят, что на биржи было заведено всего 65,300,289 SMT, что в принципе не так уж и много. Я думаю, что к моменту перевода на биржи все заинтересованные лица уже спалили лишний дохулиард токенов в блокчейне и начали принимать меры. Так что да, шансов у хакеров было не много, но все равно попробовать стоило)))
З.ы Респект тебе за твои статьи. Настоящий edutainment, каким он и должен быть.
З.з.ы Прошу прощения за многа букаф
Я обожаю, когда мне присылают такое! Спасибо, бро, что спасаешь мой го8ноконтент. Растём и развиваемся вместе!
Респект!
@CryptoLamer
Привет. Читаю твой канал и хотел бы сделать несколько комментариев к последнему криптовремячку, а именно к той части, где рассказывается про свежую уязвимость в ERC-20 контрактах.
1. В SmartMesh уязвимость proxyOvreflow, это в Beautychain была batchOverflow (как раз про Beautychain у тебя по ссылке статья). Технически небольшие отличия у proxyOvreflow есть, но по сути это те же яйца, только в профиль (в смысле тоже переполнение переменной uint256).
2. По поводу того, что баг в смарт-контракте никто не заметил. PeckShield - ребята, которые занимаются ИБ в блокчейнах - в своей статье(https://peckshield.com/2018/04/22/batchOverflow/) говорят, что засекли batchOverflow практически сразу (по крайней мере время реакци их системы совпадает со временем проведения транзакции с багом) и связались с разработчиками Beautychain. Соответственно, времени у хакеров было не так уж и много.
3. Почему нельзя было напечатать меньше токенов? Это связано с особенностью бага. В SmartMesh, например, переполнение возникает при сложении двух переменных, одна из них - сумма перевода, вторая - комиссия, и чтобы переполнение произошло эта сумма должна быть 2 в степени 256 (тот самый дохулиард). А чтобы получить при сложении двух чисел дохулиард, они должны быть довольно большими (ну или хотя бы одно из них, ваш кэп). А как раз такие большие суммы и палят системы мониторинга, например, от тех же PeckShield.
4. Насчет большого депозита на биржу - в этой статье https://medium.com/smartmesh/smartmesh-announcement-on-ethereum-smart-contract-overflow-vulnerability-f1ded8777720 смартмешевцы говорят, что на биржи было заведено всего 65,300,289 SMT, что в принципе не так уж и много. Я думаю, что к моменту перевода на биржи все заинтересованные лица уже спалили лишний дохулиард токенов в блокчейне и начали принимать меры. Так что да, шансов у хакеров было не много, но все равно попробовать стоило)))
З.ы Респект тебе за твои статьи. Настоящий edutainment, каким он и должен быть.
З.з.ы Прошу прощения за многа букафhttps://peckshield.com/2018/04/22/batchOverflow/) говорят, что засекли batchOverflow практически сразу (по крайней мере время реакци их системы совпадает со временем проведения транзакции с багом) и связались с разработчиками Beautychain. Соответственно, времени у хакеров было не так уж и много.
3. Почему нельзя было напечатать меньше токенов? Это связано с особенностью бага. В SmartMesh, например, переполнение возникает при сложении двух переменных, одна из них - сумма перевода, вторая - комиссия, и чтобы переполнение произошло эта сумма должна быть 2 в степени 256 (тот самый дохулиард). А чтобы получить при сложении двух чисел дохулиард, они должны быть довольно большими (ну или хотя бы одно из них, ваш кэп). А как раз такие большие суммы и палят системы мониторинга, например, от тех же PeckShield.
4. Насчет большого депозита на биржу - в этой статье https://medium.com/smartmesh/smartmesh-announcement-on-ethereum-smart-contract-overflow-vulnerability-f1ded8777720 смартмешевцы говорят, что на биржи было заведено всего 65,300,289 SMT, что в принципе не так уж и много. Я думаю, что к моменту перевода на биржи все заинтересованные лица уже спалили лишний дохулиард токенов в блокчейне и начали принимать меры. Так что да, шансов у хакеров было не много, но все равно попробовать стоило)))
З.ы Респект тебе за твои статьи. Настоящий edutainment, каким он и должен быть.
З.з.ы Прошу прощения за многа букаф
Я обожаю, когда мне присылают такое! Спасибо, бро, что спасаешь мой го8ноконтент. Растём и развиваемся вместе!
Респект!
@CryptoLamer
