Эксплойты smart-contracts: 5 паттернов, которые повторяются снова и снова

Чаще всего взлом начинается не с «суперсложной математики», а с одной из типовых ошибок в логике контракта. Уязвимости удобно делить по тому, где ломается допущение: доступ, порядок вызовов, расчёт баланса или работа с внешним контрактом.

• Reentrancy — контракт отправляет средства до обновления состояния, и внешний вызов возвращается в ту же функцию.
• Ошибки access control — критичная функция остаётся без жёсткой проверки роли, владельца или списка разрешённых адресов.
• Integer/precision bugs — некорректная арифметика, округления и неверные единицы измерения.
• Oracle/manipulation — протокол доверяет цене или данным, которые можно временно исказить.
• Unchecked external calls — контракт не проверяет, завершился ли внешний вызов успешно, и продолжает работу как будто всё в порядке.

Отдельная группа — логические баги в апгрейдах и инициализации. Пропущенный initializer, неверный storage layout или забытый admin-путь часто дают атакующему доступ без взлома криптографии.

Для ревью полезен простой чек-лист: где меняется состояние до внешнего вызова; какие функции завязаны на роль; откуда берутся цены; что будет при нулевом, пустом или повторном вводе; можно ли вызвать функцию дважды за одну транзакцию.

Лучший фильтр — смотреть не на «код красивый», а на сценарии отказа: если один шаг идёт не по плану, контракт должен безопасно остановиться, а не продолжать выполнять цепочку.

Dubai VARA: 6 вещей, которые надо проверить до выхода на рынок ОАЭ

VARA — регулятор виртуальных активов в Дубае. Его подход отличается от «одной лицензии на всё»: важны не только структура компании, но и конкретный вид услуги — брокеридж, обмен, кастоди, управление, маркетинг.

• Сначала определяют, где именно будет работать продукт: материковый Дубай, DIFC или свободная зона. Для каждого режима свои правила и перечень разрешённых активностей.
• В документах должны совпадать юрлицо, бенефициары, описание сервиса, KYC/AML-процедуры и модель хранения активов. Несостыковки обычно тормозят согласование.
• VARA внимательно смотрит на маркетинг: нельзя обещать доходность, использовать вводящие в заблуждение формулировки и таргетировать аудиторию вне разрешённой юрисдикции.
• Отдельно проверяют custody и контроль ключей: кто имеет доступ, как устроены мультиподписи, резервное восстановление и журналирование действий.

Для проектов с токенами важна не только листинговая логика, но и правовой статус актива: utility, payment, stablecoin или иной класс. От этого зависят требования к раскрытию рисков, внутренним политикам и партнёрам по инфраструктуре.

Если продукт не проходит эту проверку на бумаге, его потом почти всегда приходится перестраивать в лицензировании.

MiCA для аффилиатов крипты: где теряются офферы, трафик и комплаенс

MiCA — это не только про биржи и эмитентов токенов. Для аффилиатов важны правила по рекламе, раскрытию рисков и тому, как продукт позиционируется в ЕС. Если оффер ведёт на сервис с европейскими пользователями, проверка начинается не с креатива, а с юридической структуры проекта.

• Смотрите, кто является лицензиатом и в какой юрисдикции он работает.
• Проверяйте, есть ли у лендинга ясное описание рисков, комиссий и ограничений.
• Не используйте формулировки, которые обещают доход, безопасность или отсутствие риска.
• Сверяйте, допускает ли оффер таргетинг на страны ЕС и отдельные языковые версии.

Для аффилиата ключевая ошибка — считать, что ответственность только у платформы. На практике креатив, преленд и even referral-механика могут стать частью рекламной цепочки. Если в связке есть misleading claims, вопросы могут возникнуть и к источнику трафика, и к партнёрскому размещению.

Отдельно проверяйте stablecoin-сервисы, DeFi-фронтенды и кошельки с фиатным онрампом: именно там чаще всего встречаются ограничения по коммуникации, гео и требованиям к раскрытию информации. Чем меньше в промо «обещаний», тем проще пережить комплаенс-проверку.

Практика простая: храните скриншоты креативов, версии лендингов и правила оффера. Если у проекта нет прозрачных условий для ЕС, лучше не строить на нём долгую воронку.

На Anthropic, OpenAI, Google и SpaceXAI подали в суд из-за ИИ

В Калифорнии против ИИ-компаний подали антимонопольный иск: регулятору показалось подозрительным, что игроки синхронно призывают ограничить развитие нейросетей ради безопасности. Смысл спора в том, что инвестиции в ИИ уже обгоняют реальный прогресс, а бизнесу выгодны правила, которые защитят капитал. Вывод: быстрых прорывов ждать не стоит, лучше выжимать максимум из текущих инструментов.

➡️ Читайте на сайте: https://aff.top/blog/na-anthropic-openai-google-i-spacexai-podali-v-sud-iz-za-ii

🧠 Ещё больше инсайтов → в канале AFF.top

Google ads начал показывать расходы конкурентов

Google Ads запустил Peer Spending — инструмент, который сравнивает расходы аккаунта с рекламодателями из той же ниши без раскрытия чужих данных. Он показывает, тратите вы больше, меньше или примерно на уровне конкурентов на уровне кампаний и групп объявлений. Для арбитража это скорее ориентир по бенчмаркам, чем инструмент прямого усиления залива.

➡️ Читайте на сайте: https://aff.top/blog/google-ads-nachal-pokazyvat-raskhody-konkurentov

🧠 Ещё больше инсайтов → в канале AFF.top

Минфин РФ планирует выпустить собственный стейблкоин

Власти РФ обсуждают запуск рублёвого стейблкоина: сейчас решают, как его обеспечить, какие операции разрешить и будет ли на него спрос. Основной кейс — международные переводы, а не использование физлицами. Если проект доведут до запуска, он может стать частью новой криптоинфраструктуры и альтернативой токенам, привязанным к дружественным валютам.

➡️ Читайте на сайте: https://aff.top/blog/minfin-rf-planiruet-vypustit-sobstvennyi-steiblkoin

🧠 Ещё больше инсайтов → в канале AFF.top

В публичный доступ вышел Grok 4.7

➡️ Читайте на сайте: https://aff.top/blog/v-publichnyi-dostup-vyshel-grok-4-7

🧠 Ещё больше инсайтов → в канале AFF.top

Singapore MAS по крипте: как устроен режим работы для бирж, кошельков и OTC

MAS смотрит не на “крипту вообще”, а на конкретную услугу: хранение, перевод, обмен, брокеридж, выпуск токенов и работу с клиентскими средствами. Для каждой модели важны лицензия, контроль рисков, KYC/AML и разделение собственных и клиентских активов.

Базовый чек-лист для проекта:
• проверь, подпадает ли сервис под платёжные и token services;
• опиши, где физически и юридически находится операционная команда;
• раздели custody, execution и settlement по процедурам;
• зафиксируй источники ликвидности и маршрут фиата;
• подготовь правила по travel rule, санкциям и мониторингу транзакций.

Отдельное внимание — розничным клиентам. Если сервис даёт доступ к цифровым токенам, регулятор ожидает понятные раскрытия рисков, процедуры жалоб и доказуемый контроль за маркетингом. Для DeFi и некастодиальных моделей вопрос обычно упирается в то, кто фактически управляет интерфейсом, ключами и клиентским онбордингом.

На практике лучше сначала собрать карту продукта, а уже потом выбирать структуру: лицензируемый оператор, партнёрская модель или отказ от части функций для снижения регуляторной нагрузки. Это экономит время на комплаенсе и уменьшает риск переделки процессов после запуска.

X теперь показывает причину теневого бана

➡️ Читайте на сайте: https://aff.top/blog/x-teper-pokazyvaet-prichinu-tenevogo-bana

🧠 Ещё больше инсайтов → в канале AFF.top

Россиян заставят отчитываться перед ФНС за крипту

Крипта в РФ считается имуществом, поэтому доход от продажи или обмена облагается НДФЛ: 13% до 2,4 млн рублей и 15% сверх этого. Декларацию 3-НДФЛ нужно подать самостоятельно до 30 апреля. Отчитываться по кошелькам обязаны только при обороте свыше 600 000 рублей в год, а за нарушение грозят штрафы и пени.

➡️ Читайте на сайте: https://aff.top/blog/rossiian-zastaviat-otchityvatsia-pered-fns-za-kriptu

🧠 Ещё больше инсайтов → в канале AFF.top

Hong Kong crypto licensing: 6 вещей, которые проверяют до запуска биржи или VASP

В Гонконге лицензирование для криптосервисов завязано не на «название проекта», а на набор функций: хранение активов, обмен, исполнение ордеров, доступ розницы, кастодиальные операции. Если сервис трогает клиентские средства или организует торговлю, комплаенс-проверка начинается с классификации модели.

Обычно смотрят на четыре блока: — кто владеет ключами и может переводить активы; — есть ли on/off-ramp и фиатные потоки; — обслуживается ли retail-клиент; — где юрлицо, команда и операционная инфраструктура. Ошибка на этом этапе часто приводит к тому, что продукт пытаются «дописать» под лицензию уже после запуска.

Дальше идут базовые контуры: KYC/AML, мониторинг транзакций, правила листинга токенов, конфликт интересов, хранение записей, кибербезопасность и процедуры по инцидентам. Для провайдера важно не только иметь политику, но и уметь показать рабочие процессы, роли сотрудников и логи проверок.

Отдельно проверяют маркетинг и каналы дистрибуции: нельзя путать institutional-only модель с публичным привлечением розницы. Если продукт заточен под Гонконг, заранее проверьте договоры с кастодианом, схему хранения, матрицу доступа и пакет внутренних политик. Так проще пройти аудит и не перестраивать сервис после первой проверки.

В публичный доступ вышла ChatGPT-6

OpenAI выпустила линейку GPT-6: модель Sol для кодинга и сложных задач и Luna для рутинных операций. Ключевое преимущество релиза — двукратное снижение цен на API ($2 и $0.10 за 1 млн входных токенов соответственно) и сокращение числа ошибок в два раза. Это позволяет масштабировать автоматизацию и разработку с вдвое меньшими затратами на инфраструктуру.

➡️ Читайте на сайте: https://aff.top/blog/v-publichnyi-dostup-vyshla-chatgpt-6

🧠 Ещё больше инсайтов → в канале AFF.top

Болгария введёт запрет на рекламу интернет-казино

Болгария вводит жёсткий запрет на рекламу казино и гемблинга, оставляя только спонсорство спорта. Для арбитража это ухудшает условия: запуск CPA-кампаний на лицензионных операторов станет сложнее, а дополнительные налоги на онлайн-казино могут снизить конверсию и поток игроков. Сейчас GEO выглядит неудачным для тестов и масштабирования.

➡️ Читайте на сайте: https://aff.top/blog/bolgariia-vvedet-zapret-na-reklamu-internet-kazino

🧠 Ещё больше инсайтов → в канале AFF.top

↩️ Пост из @B2BEditorPro:

Сервис-менеджер в IT — это не «человек, который шлет статусы и напоминает про SLA».
Это тот, кто приходит, когда продукт уже работает, а вот клиент — еще не уверен, что счастлив.

У технологий есть любимая иллюзия:
если железо мощное, архитектура красивая, а функциональность богатая — продажа почти сделана.
Но на практике клиента удерживает не спецификация, а сервис. 🛠️

Именно сервис-менеджер собирает в одну систему продукт, процессы, инженеров и ожидания заказчика.
Не тушит пожары ради галочки, а снижает риск, помогает в сложных авариях и делает так, чтобы решение приносило ценность, а не только цифры в контракте.

Недооцененная роль? Еще как.
Пока все смотрят на витрину, он следит, чтобы здание не трещало изнутри. 🔍

Если коротко: хороший сервис-менеджер — это не поддержка продукта.
Это человек, который помогает продукту не потерять клиента.

Google тестирует бесконечную ИИ-ленту в Discover

Google тестирует ИИ-ленту в Discover, где вместо заголовков показывается краткий пересказ новости из нескольких источников. Для пользователей это быстрее, но для медиа и информационников риск ещё выше: органический трафик будет проседать, а зависимость от Google усилится. Функция пока заточена под тренды, спорт и лайфстайл.

➡️ Читайте на сайте: https://aff.top/blog/google-testiruet-beskonechnuiu-ii-lentu-v-discover

🧠 Ещё больше инсайтов → в канале AFF.top