Скоро будет пост о крутой найденной уязвимости в одном из протоколов на Тоне, а также о том, что не всегда стоит воспринимать факт проведённого аудита слишком серьёзно😐

Критическая уязвимость в Tradoor.io

Не все знают, но в TON-е существует прямой конкурент Storm trade, на котором можно также торговать perpetuals на различные криптовалюты.
И интересной отличительной чертой является возможность торговать опционами, причём очень короткими, начиная с 5-минутных.

Суть торговли опционами заключается в том, что они потенциально могут дать вам большее плечо, чем обычные perpetuals, а также твоя позиция не будет ликвидирована до конца истечения опциона. Однако есть минусы, заключающиеся в том, что, закрыв опцион по той же цене, что ты его и покупал, ты потеряешь все деньги, то есть цена актива должна изменится на стоимость опциона для того, чтобы хотя бы окупить траты.

Не буду вдаваться в подробности, как именно должна рассчитываться справедливая стоимость опционов различной длительности (вкратце, чем выше волатильность, тем дороже в моменте должен быть опцион), так в чём же заключается уязвимость?

Когда я решил проанализировать, что же передаётся в контракт при покупке опциона, оказалось, что туда прямо из пользовательского интерфейса передаётся и стоимость опциона, и количество купленых опционов, и много другой интересной информации. После нескольких попыток отправки транзакций с измененными вручную значениями оказалось, что их индексером при открытии транзакции совершенно не проверялась цена, по которой происходит покупка, поэтому появлялась возможность купить опцион на любой срок и любой стоимости. А это значит..? Верно, бесконечное плечо!

Пример - на скриншоте я купил PUT опцион на 5 минут с плечом ~43,000х. Но открыть опцион, очевидно, можно было на любой срок и абсолютно любым плечом. Суть в том, что открыв CALL и PUT опцион с огромным плечом одновременно, пользователь мог получить буквально бесплатные деньги, поскольку для выхода позиции в огроменный плюс было достаточно абсолютно любого минимального изменения цены в любую сторону.

Это означает возможность вывода ВСЕЙ ликвидности из волта опционов, совершив всего две сделки за 20$!

Я сразу попробовал связаться с командой через их бота поддержки, написал им про существующую уязвимость, и хоть ответа я так и не получил - буквально спустя пару часов они отключили индексер, а на следующее утро уязвимость уже была исправлена, теперь при попытке покупки опциона по произвольной цене вам просто вернутся ваши USDT. Конечно жаль, что команда не захотела отвечать на мой репорт, но исправили очень оперативно, за что ребятам респект. Если у кого-то есть контакты фаундеров, скиньте в лс, а то сам я не нашёл ничего кроме их чата, где не хочется наводить fud.

А эти заработанные 90$ в сделке при помощи бага я уже слил обратно, тестируя их протокол дальше ☹️

@theOpenDevBlog

Про аудит: у них на лендинге можно найти проведённый в мае этого года аудит от tonbit.

И вроде бы всё прекрасно - проаудировали какие-то контракты, нашли какие-то уязвимости, команда их всех успешно исправила. Однако заметьте, насколько бы подробно вы не пытались прочитать и вникнуть в этот отчёт, у вас не получится этого сделать:
⚫️ На исходный год на гитхабе доступа нет.
⚫️ Из описания найденных уязвимостей имеются только краткие названия, которые мало о чём говорят.
⚫️По названиям файлов, которые были предоставлены для аудита даже не поймёшь, какой именно функционал проверялся.
⚫️ Проверялся ли сам бэкенд\индексер? Видимо нет.

Это не к тому, что tonbit плохо проводит аудиты, или tradoor специально кого-то обманывает. Очевидно, что за прошедшие 4 месяца они успели дописать много функционала, в том числе, возможно, и опционы, которые они вряд ли успели должным образом проверить.
Однако на первый взгляд кажется, что раз аудит есть, то всё должно быть супер. Всегда проводите dyor всего сами, в том числе и проверяйте публично доступные аудиты!

А если вам нужна консультация по вашим проектам в тоне, то можете писать нам 🙂

@theOpenDevBlog

🎉 TheOpenDevBlog поучастовал в TonBit CTF 2024!

Решили проверить свои силы и оказались довольны результатом. Мы решили все задания, заняли 6-ое место, потратив на это не так много времени, как хотелось бы.

Подозреваем, что на этом канале мы не раз еще будет лить fud на TonBit, и этот пост не будет исключением.

Во-первых, задания на CTF по большей части отношения к TON и даже к блокчейну не имели. 3 задания на криптографию, реализованную на Tact (зачем?), задание на странную реализацию дерева Меркла, которое в TON просто бессмысленно реализовывать, т.к для этого есть встроенный механизм. По сути, как-либо относящихся к именно TON или хотя бы к технологии "блокчейн" заданий было 2 - "Dex" и "Airdrop" (это для тех, кто захочет порешать).

Во-вторых, к этому мероприятию очень странно был выбран регламент - зачем-то за 1, 2 и 3 решение давали бонусные очки. Так никто не делает в ctf-движении, это очень странный выбор, ведь мероприятие начиналось в 1 ночи по UTC, поэтому либо надо было вставать ночью и решать, либо ты был заведомо в пролёте, даже если быстрее остальных закончил с заданиями.

В-третьих, при всём при этом несмотря на заверения в каждом тексте задания о том, что используется приватный блокчейн, он приватным не был. Недобросовестный участник вполне мог подсмотреть чужие решения (путем парсинга чужих транзакций в блокчейне), тем более что почти все задания не требовали какого-то особого подхода, зависящего от адреса сдающего. Зачем тогда вы даёте доп баллы за 2 и 3 решение задания, если это решение можно просто подсмотреть? Учитывая, что за первые 4 места были денежные призы, не удивимся, если бы кто-то смухлевал.

В целом первым опытом таких мероприятий на TON мы довольны, но во второй раз на что-то подобное (именно по озвученным выше причинам) попасть бы не хотели. Не исключено, что мы сами в будущем организуем что-то такое, но пока загадывать не будем.

Скоро много нового. Stay tuned!

Скам жюри на вайтпейпер тут.

Ждите на афтерпати и в Питере 🤟🤟🤟

Мы давно ничего не писали в канал, т.к все темы для постов, записанные в заметки, требуют большого погружения и ресерча. Если вы хотите ускорить появление постов — закиньте нам звезд, но это не инвестиционная рекомендация.

НО! Нас можно будет найти на TON Gateway. Обсудить с нами желательно всё, но для удобства мы составили список активностей, в которых мы принимаем участие:

⚫️ Мы очень активно заняты разработкой @bidask. Это наш основной проект, мы бросили на него все силы. Это очень серьёзный финансовый инструмент, который откроет пользователям на TON глаза на то, как реально должен использоваться DeFi. Мы открыты к сотрудничеству.

⚫️Часть нашей команды участвует в разработке @circus_game. Это не наш проект, но мы в большой степени отвечаем за его техническую часть. Мы можем связать с владельцами для сотрудничества.

⚫️ Мы готовы проводить аудиты и консультации. У нас крайне мощный бэкграунд в безопасности как web2, так и web3, а также возможность привлечь к проекту дополнительные силы в случае, если компетенций основной команды не хватает (крайне редко). Мы уже консультировали ряд крупных и очень крупных проектов в разных блокчейнах.

Наши контакты в био канала.
До встречи! 🌞

На TON орудуют сэндвич боты.

Недавно ко мне обратились с проблемой — якобы в TON есть рабочий MEV. И им постоянно бреют работяг при покупке низколиквидных токенов. Как это работает: вы пытаетесь свапнуть токен на DEX или агрегаторе, отправляете транзакцию, а потом видите, что кто-то в блокчейне купил прямо перед вами и продал сразу после вас.

Я этим очень заинтересовался, поскольку все мы знаем, что MEV-а на TON не существует, но при этом боты довольно стабильно встают до пользователя и сразу после. Начал разбираться.

Выяснилось, конечно, что никакой это не MEV, а сэндвич боты работают по принципу обыкновенных снайперов:
⚫️ Они используют кошелёк в том же шарде, что и vault дедаста или роутер ston fi. Этим они обгоняют большинство аккаунтов в сети, ведь на сообщение из одного шарда в другой тратится гораздо больше времени, чем если всё происходит в одном.
⚫️Если кошелек пользователя находится в одном шарде с контрактами DEX-ов, снайперы отправляют сообщение сразу с нескольких кошельков, тем самым увеличивая шансы на обгон пользователя просто за счёт количества. При этом повторной покупки не случается, т.к у них настроен slippage, и проходит ровно один свап. Поэтому боты выглядят в блокчейне как на картинке.
⚫️Если пользователя снайпят через dedust, то в сообщении сразу происходит обратный свап, как тут. Кошелёк отправил на DEX тоны, и в той же цепочке сообщений получил в ответ чуть больше тонов. Бесплатные деньги, не иначе.

Мы проконсультировали независимую команду разработчиков, и они пообещали в скором времени выкатить решение для обхода этой проблемы. Подробности раскрывать не можем, т.к, очевидно, снайперы могут к ним приготовиться.
Поэтому мы, как и все, ждём анонса.

@TheOpenDevBlog