g
cream
Size: a a a
2021 October 29
MD
ну в cream там вроде не тривиально, а вот кейсы с ChainSwap, PolyNetwork и Indexed Finance убивают пиздец)
SN
Cream на сегодня это рекорд black-hat hack если они не вернут за все время, polynetwork же вернул
MD
я не про то сколько спиздили, а про то насколько глупые уязвимости были)
SN
Я думаю что хаки крупные будут и через 5 лет в смарт-контрактах
SN
Rug pull точно будут
MD
конечно будут, кто спорит, я просто охреневаю от того насколько не компетентные люди деплоют в прод откровенно плохие решения
g
а раг пул это что именно? сори за глупый вопрос
EG
Простой пример – есть пул, где выдаются токены X в награду
Разработчики берут и выдергивают все токены X, лишая награды людей
Разработчики берут и выдергивают все токены X, лишая награды людей
SN
Rug pull это пошло с английского языка у них это значит дернуть резко ковер с под человека, который на нем стоит, чтобы он упал, в сфере финансов и дефи создать проект, подождать, в один день украсть все деньги, или специально зашить уязвимость и самого же себя хакнуть, чтобы украсть все деньги, вот rug pull через хак самого себя я думаю из всех хаков больше половины
g
ага, благодарю
SN
Как-то создать универсальный анализатор кода для анализа секьюрити логики, бизнес-логики, экономической логики и т.д. в смартах и в дефи невозможно, так как очень много уникальных проектов уже есть на рынке со своей логикой и все аудиты всегда будут проходить вручную, так как только человек может справится, вот flashloan были новой штукой, неизвестно что будет дальше...
I
кстати в slither помоему можно свои правила добавлять..
2021 October 30
p
99% хаков это ошибки бизнес логики — пропущенный реквайр — еще что то
p
а вот эти анализаторы сильно помогают только обнюханному кодеру в подвале у какого то дефай проекта который не понимает что вообще пишет)
p
просто вот с токенами все нормич — уже никто не ломает — нфт тоже никто не ломает
интересно чо так — дак потому что там свои стандарты которые разрабатываются целой тимой энтзуиастов
интересно чо так — дак потому что там свои стандарты которые разрабатываются целой тимой энтзуиастов
p
а вот у пулов и прочих контрактов абсолютно стандартизации нет никакой хотя казалось бы ежедневные обычные вещи)))
MD
ну некоторые пропущенные реквайры некоторые можно пробить если например пытаться вызывать все подряд функи от имени левого аккаунта, если какаято функа выполнится, которая не должна - тогда ошибка. в теории это могло бы помочь PolyNetwork например
p
дак для этого тесты в хардхете пишутся
g
defi стандарты интересная тема