#hack
43 eth в токенах вознаграждения вывели из контракта стейкинга NFT StackedToads - в массиве id в запросе передали один id много раз, и контракт для каждого раза посчитал "да, токены выдать"
https://twitter.com/0xwave/status/1448752767917453314?s=21
43 eth в токенах вознаграждения вывели из контракта стейкинга NFT StackedToads - в массиве id в запросе передали один id много раз, и контракт для каждого раза посчитал "да, токены выдать"
https://twitter.com/0xwave/status/1448752767917453314?s=21
Twitter
wave
Identified the exploit mechanism on @StackedToads The claimRewards fn allows for the same staked token ID to be passed in the input array an arbitrary number of times. So claimRewards for [1392, 1392] gives 2x [1392] Attacker just stuffed as many IDs as they…
#cryptography
Неразличимая обфускация кода - следующая крутая тема в криптографии.
Обфускация - известная тема в инфосеке, это включает в себя например протекторы проприетарного софта и "крипторы" малвары, которые используются для скрытия алгоритма и усложнения жизни реверсерам. Быстро или медленно, но все эти штуки взламываются опытными реверсерами. Более того, строго математически доказана невозможность создания идеального обфускатора, превращающего любую программу в "черный ящик", который непонятно как работает, но выдает те же результаты, что и изначальная программа. Казалось бы, эта тема закрыта навсегда.
Однако, в 2013 году вышла бумага https://eprint.iacr.org/2013/451 об успешном создании неразличимого обфускатора. Представьте, что есть две различные программы A и B, которые выдают один и тот же результат. Обфускатор O генерирует программы X=O(A) и Y=O(B). O является неразличимым обфускатором, если имея программы X и Y невозможно различить, какая из них получена из A, а какая из B.
Пускай программа A содержит в себе пароль, рассчитывает и выдает хеш пароля, а программа B содержит только готовый хеш и выдает его. Прогнав A и B через неразличимый обфускатор O, мы получаем программы O(A) и O(B).
Можно ли (за адекватное время) вытащить пароль из O(A)? Пойдем от противного - допустим, что мы можем извлечь пароль из O(A), но тогда в силу свойства неразличимости мы также можем извлечь пароль из O(B). Но ни в B ни тем более в O(B) никогда и не было пароля, а только его хеш. А значит допущение неверно, и из O(A) невозможно вытащить пароль.
Это открывает огромные возможности! Представьте, что private переменная в solidity в полном смысле является private, то есть ее невозможно прочесть из блокчейна. Мы сможем создавать обфусцированные смарт-контракты, которые содержат конфиденциальную информацию, такую как приватные ключи от других блокчейнов (что позволит строить trustless-мосты), данные для доступа к фиатным банковским счетам или даже SSH-ключи для доступа к серверам. Для взаимодействия с внешней средой больше не нужны будут подходы с мультисигами, имеющие огромную дыру в виде необходимости доверия к держателям ключей. Посредники останутся нужны только для пересылки сетевых пакетов во внешний мир, но никак не смогут вмешаться в процессы аутентификации.
P.S. на сегодняшний день это далеко от готовности к коммерческому применению. Имеющиеся техники превращают короткие простые программы в гигантские громоздкие полотна
Неразличимая обфускация кода - следующая крутая тема в криптографии.
Обфускация - известная тема в инфосеке, это включает в себя например протекторы проприетарного софта и "крипторы" малвары, которые используются для скрытия алгоритма и усложнения жизни реверсерам. Быстро или медленно, но все эти штуки взламываются опытными реверсерами. Более того, строго математически доказана невозможность создания идеального обфускатора, превращающего любую программу в "черный ящик", который непонятно как работает, но выдает те же результаты, что и изначальная программа. Казалось бы, эта тема закрыта навсегда.
Однако, в 2013 году вышла бумага https://eprint.iacr.org/2013/451 об успешном создании неразличимого обфускатора. Представьте, что есть две различные программы A и B, которые выдают один и тот же результат. Обфускатор O генерирует программы X=O(A) и Y=O(B). O является неразличимым обфускатором, если имея программы X и Y невозможно различить, какая из них получена из A, а какая из B.
Пускай программа A содержит в себе пароль, рассчитывает и выдает хеш пароля, а программа B содержит только готовый хеш и выдает его. Прогнав A и B через неразличимый обфускатор O, мы получаем программы O(A) и O(B).
Можно ли (за адекватное время) вытащить пароль из O(A)? Пойдем от противного - допустим, что мы можем извлечь пароль из O(A), но тогда в силу свойства неразличимости мы также можем извлечь пароль из O(B). Но ни в B ни тем более в O(B) никогда и не было пароля, а только его хеш. А значит допущение неверно, и из O(A) невозможно вытащить пароль.
Это открывает огромные возможности! Представьте, что private переменная в solidity в полном смысле является private, то есть ее невозможно прочесть из блокчейна. Мы сможем создавать обфусцированные смарт-контракты, которые содержат конфиденциальную информацию, такую как приватные ключи от других блокчейнов (что позволит строить trustless-мосты), данные для доступа к фиатным банковским счетам или даже SSH-ключи для доступа к серверам. Для взаимодействия с внешней средой больше не нужны будут подходы с мультисигами, имеющие огромную дыру в виде необходимости доверия к держателям ключей. Посредники останутся нужны только для пересылки сетевых пакетов во внешний мир, но никак не смогут вмешаться в процессы аутентификации.
P.S. на сегодняшний день это далеко от готовности к коммерческому применению. Имеющиеся техники превращают короткие простые программы в гигантские громоздкие полотна
#guide
Свежий видеокурс Secureum по аудиту безопасности Solidity.
Язык: индусский английский
https://www.youtube.com/channel/UCJIdmjE0J_1zz1kUtbgedCA/videos
Свежий видеокурс Secureum по аудиту безопасности Solidity.
Язык: индусский английский
https://www.youtube.com/channel/UCJIdmjE0J_1zz1kUtbgedCA/videos
#audit
Огромный архив отчётов аудитов безопасности смарт-контрактов
https://github.com/TechRate/Smart-Contract-Audits
Огромный архив отчётов аудитов безопасности смарт-контрактов
https://github.com/TechRate/Smart-Contract-Audits
GitHub
GitHub - TechRate/Smart-Contract-Audits: Smart Contract security audit reports
Smart Contract security audit reports. Contribute to TechRate/Smart-Contract-Audits development by creating an account on GitHub.
#audit
Ещё одна коллекция отчётов по аудитам - "the largest database of DeFi project audits" от DefiYield.
2681 отчётов, UI с поиском и фильтрацией
https://defiyield.app/audit-database/
Ещё одна коллекция отчётов по аудитам - "the largest database of DeFi project audits" от DefiYield.
2681 отчётов, UI с поиском и фильтрацией
https://defiyield.app/audit-database/
de.fi
De.Fi - DeFi Investing & Yield Farming Platform
Your gateway to Decentralized Finance | Manage assets across blockchains, generate returns from cryptocurrencies, access the best token swap rates and more
#hack
Взломан AVATerra Finance - сервис для yield farming на блокчейне Avalanche.
Весь "взлом" - получение большого количества токенов через вызов публичной функции mint и их продажа.
AVATerra - форк сервиса Goose (блокчейн BSC), в который были добавлены дополнительные функции, в том числе mint.
https://twitter.com/RugDocIO/status/1451067795140005891
По информации из Telegram-чата AVATerra, оставшаяся в сервисе часть депозитов будет направлена на оплату аудита новой версии контрактов.
Взломан AVATerra Finance - сервис для yield farming на блокчейне Avalanche.
Весь "взлом" - получение большого количества токенов через вызов публичной функции mint и их продажа.
AVATerra - форк сервиса Goose (блокчейн BSC), в который были добавлены дополнительные функции, в том числе mint.
https://twitter.com/RugDocIO/status/1451067795140005891
По информации из Telegram-чата AVATerra, оставшаяся в сервисе часть депозитов будет направлена на оплату аудита новой версии контрактов.
Twitter
Rugdoc.io
Earlier today @avaterrafinance suffered an exploit. Their chef contract is a Goose fork, but their token contained custom elements...including this mint function anyone could call. So someone called it and minted and dumped thousands of tokens. This is why…
Чат: https://t.me/cryptooffensive_chat
3 правила:
1) white hat only. За блечерские посты будем банить
2) разрешен любой оффтоп, но по окончанию всё что далеко от тематики - будем тереть
3) не задавайте мета-вопросов вроде "разбирается ли кто-то в ...", сразу пишите весь вопрос по сути: https://nometa.xyz/
Да пребудет с вами сила!)
3 правила:
1) white hat only. За блечерские посты будем банить
2) разрешен любой оффтоп, но по окончанию всё что далеко от тематики - будем тереть
3) не задавайте мета-вопросов вроде "разбирается ли кто-то в ...", сразу пишите весь вопрос по сути: https://nometa.xyz/
Да пребудет с вами сила!)
Telegram
Crypto Offensive Chat 👽
Чат канала https://t.me/cryptooffensive
WHITE HAT ONLY!
WHITE HAT ONLY!
#vuln #polygon
Охотник за багами заработал $2 миллиона, найдя критическую уязвимость в Polygon Plasma Bridge. Под угрозой было $850 миллионов.
Ошибка была в том, что Merkle path одной и той же withdraw-транзакции из Polygon в Ethereum можно было закодировать кучей вариантов, и поэтому вывести одни и те же деньги из Polygon много раз.
https://medium.com/immunefi/polygon-double-spend-bug-fix-postmortem-2m-bounty-5a1db09db7f1
Охотник за багами заработал $2 миллиона, найдя критическую уязвимость в Polygon Plasma Bridge. Под угрозой было $850 миллионов.
Ошибка была в том, что Merkle path одной и той же withdraw-транзакции из Polygon в Ethereum можно было закодировать кучей вариантов, и поэтому вывести одни и те же деньги из Polygon много раз.
https://medium.com/immunefi/polygon-double-spend-bug-fix-postmortem-2m-bounty-5a1db09db7f1
Medium
Polygon Double-Spend Bug Fix Postmortem — $2m Bounty
Summary
#mev
Не секрет, что блокчейн Ethereum - крайне враждебная среда. Если смарт-контракт можно проэксплуатировать ради профита, то это произойдет.
Но эта не прощающая ошибок среда блекнет по сравнению с мемпулом. Если блокчейн сам по себе является полем битвы, то мемпул - это нечто худшее: темный лес.
Тёмный Лес - место, в котором обнаружение означает верную смерть от рук продвинутых хищников. В этой среде открытое определение чьего-то местоположения равносильно его прямому уничтожению.
В мемпуле Ethereum эти высшие хищники принимают форму «арбитражных ботов». Арбитражные боты обычно ищут в мемпуле определенные типы транзакций (такие как торговая сделка на DEX или обновление оракула) и пытаются опередить их в соответствии с заранее заданным алгоритмом.
Универсальные фронтраннеры ищут любую транзакцию, которую они могли бы выгодно опередить, скопировав ее и подменив адреса своими собственными. Они даже могут выполнить транзакцию и скопировать прибыльные внутренние транзакции, сгенерированные в ходе ее выполнения.
Ниже перевод статьи Дэна Робинсона "Ethereum is a Dark Forest" о проблеме эксплуатации уязвимых смарт-контрактов в контексте концепции Темного Леса. Для независимого исследователя обнаружение уязвимости это лишь полдела, не менее важная часть это правильная её эксплуатация, ведь за всем что происходит в мемпуле ведётся тщательная слежка желающими перехватить халявные деньги в автоматическом режиме:
https://cryptooffensive.com/ethereum-%d1%8d%d1%82%d0%be-%d1%82%d1%91%d0%bc%d0%bd%d1%8b%d0%b9-%d0%bb%d0%b5%d1%81/
Не секрет, что блокчейн Ethereum - крайне враждебная среда. Если смарт-контракт можно проэксплуатировать ради профита, то это произойдет.
Но эта не прощающая ошибок среда блекнет по сравнению с мемпулом. Если блокчейн сам по себе является полем битвы, то мемпул - это нечто худшее: темный лес.
Тёмный Лес - место, в котором обнаружение означает верную смерть от рук продвинутых хищников. В этой среде открытое определение чьего-то местоположения равносильно его прямому уничтожению.
В мемпуле Ethereum эти высшие хищники принимают форму «арбитражных ботов». Арбитражные боты обычно ищут в мемпуле определенные типы транзакций (такие как торговая сделка на DEX или обновление оракула) и пытаются опередить их в соответствии с заранее заданным алгоритмом.
Универсальные фронтраннеры ищут любую транзакцию, которую они могли бы выгодно опередить, скопировав ее и подменив адреса своими собственными. Они даже могут выполнить транзакцию и скопировать прибыльные внутренние транзакции, сгенерированные в ходе ее выполнения.
Ниже перевод статьи Дэна Робинсона "Ethereum is a Dark Forest" о проблеме эксплуатации уязвимых смарт-контрактов в контексте концепции Темного Леса. Для независимого исследователя обнаружение уязвимости это лишь полдела, не менее важная часть это правильная её эксплуатация, ведь за всем что происходит в мемпуле ведётся тщательная слежка желающими перехватить халявные деньги в автоматическом режиме:
https://cryptooffensive.com/ethereum-%d1%8d%d1%82%d0%be-%d1%82%d1%91%d0%bc%d0%bd%d1%8b%d0%b9-%d0%bb%d0%b5%d1%81/
Crypto Offensive
Ethereum это Тёмный Лес
Перевод статьи Ethereum is a Dark Forest Авторы: Dan Robinson, Georgios Konstantopoulos Это жуткая история. Вызов Как любой нормальный человек, я провожу много времени, таясь на канале #support в Д…
Crypto Offensive pinned «Чат: https://t.me/cryptooffensive_chat 3 правила: 1) white hat only. За блечерские посты будем банить 2) разрешен любой оффтоп, но по окончанию всё что далеко от тематики - будем тереть 3) не задавайте мета-вопросов вроде "разбирается ли кто-то в ...", сразу…»
#hack
Инцидент с сервисом "Mimo DeFi" (блокчейн Polygon)
Аккаунту, с которого производился деплой сервиса, была выдана лишняя роль Minter, позволявшая печатать токены PAR. После деплоя "нужные" роли были переданы на multisig-кошелёк, а роль Minter осталась у деплоера.
Из-за предположения о дальнейшей бесполезности аккаунта деплоера его ключи не были защищены принятыми в Mimo процедурами безопасности и "утекли" - некто использовал их для печати токенов, не обеспеченных залогом.
Команда Mimo отозвала роль Minter с аккаунта и восстановила баланс системы путём сжигания собственных токенов.
https://mimodefi.medium.com/post-mortem-uncollateralized-minting-of-par-tokens-116c80946225
Инцидент с сервисом "Mimo DeFi" (блокчейн Polygon)
Аккаунту, с которого производился деплой сервиса, была выдана лишняя роль Minter, позволявшая печатать токены PAR. После деплоя "нужные" роли были переданы на multisig-кошелёк, а роль Minter осталась у деплоера.
Из-за предположения о дальнейшей бесполезности аккаунта деплоера его ключи не были защищены принятыми в Mimo процедурами безопасности и "утекли" - некто использовал их для печати токенов, не обеспеченных залогом.
Команда Mimo отозвала роль Minter с аккаунта и восстановила баланс системы путём сжигания собственных токенов.
https://mimodefi.medium.com/post-mortem-uncollateralized-minting-of-par-tokens-116c80946225
Medium
Post Mortem — Uncollateralized Minting of PAR tokens
On Friday, October 15th, we realized that one address had been minting PARs since Tuesday 12th. In total, 560,010 PARs have been minted…
#hack #defi
По горячим следам: час назад "что-то взломано" на 10 млн. долларов - вероятно Cream, но может быть и Yearn (это не первый случай, когда из-за сложной транзакции сразу не увидеть, кто именно пострадал).
Транзакция - https://etherscan.io/tx/0x0fe2542079644e107cbf13690eb9c2c65963ccb79089ff96bfaf8dced2331c92
Средства на данный момент находятся здесь https://etherscan.io/address/0x24354d31bc9d90f62fe5f2454709c32049cf866b
Прямо сейчас с этого аккаунта производятся ещё какие-то действия, будем наблюдать.
UPD: На Etherscan аккаунт уже помечен сообщением с указанием на "flash loan exploit targeting Cream Finance"
По горячим следам: час назад "что-то взломано" на 10 млн. долларов - вероятно Cream, но может быть и Yearn (это не первый случай, когда из-за сложной транзакции сразу не увидеть, кто именно пострадал).
Транзакция - https://etherscan.io/tx/0x0fe2542079644e107cbf13690eb9c2c65963ccb79089ff96bfaf8dced2331c92
Средства на данный момент находятся здесь https://etherscan.io/address/0x24354d31bc9d90f62fe5f2454709c32049cf866b
Прямо сейчас с этого аккаунта производятся ещё какие-то действия, будем наблюдать.
UPD: На Etherscan аккаунт уже помечен сообщением с указанием на "flash loan exploit targeting Cream Finance"
Ethereum (ETH) Blockchain Explorer
Ethereum Transaction Hash: 0x0fe2542079... | Etherscan
Flash Loan 524,102.16 ETH From Aave Protocol V2 | Success | Oct-27-2021 01:54:10 PM (UTC)
#hack #defi
Развитие событий:
5 минут назад с контракта, использованного для взлома, на адрес взломщика было выведено большое число разнообразных токенов.
https://etherscan.io/address/0x961d2b694d9097f35cfffa363ef98823928a330d#tokentxns
Сейчас на адресе - токенов более чем на 100 млн. долларов, плюс $11 млн в ETH.
https://etherscan.io/address/0x24354d31bc9d90f62fe5f2454709c32049cf866b
Развитие событий:
5 минут назад с контракта, использованного для взлома, на адрес взломщика было выведено большое число разнообразных токенов.
https://etherscan.io/address/0x961d2b694d9097f35cfffa363ef98823928a330d#tokentxns
Сейчас на адресе - токенов более чем на 100 млн. долларов, плюс $11 млн в ETH.
https://etherscan.io/address/0x24354d31bc9d90f62fe5f2454709c32049cf866b
Ethereum (ETH) Blockchain Explorer
Cream Finance Exploiter 3 | Address 0x961d2b694d9097f35cfffa363ef98823928a330d | Etherscan
The Contract Address 0x961d2b694d9097f35cfffa363ef98823928a330d page allows users to view the source code, transactions, balances, and analytics for the contract address. Users can also interact and make transactions to the contract directly on Etherscan.
#hack #defi
Взлом Cream, последовательность действий взломщика:
https://twitter.com/BlockSecTeam/status/1453393444047441923
Влияние пункта (6) на цену yUSD в оракуле Cream:
https://twitter.com/0xPaladinSec/status/1453389115018391557
UPD: Более детальный список шагов взлома, здесь ключевой пункт уже под номером 19
https://twitter.com/Mudit__Gupta/status/1453401698563596293
За ссылку спасибо @noonemanman
Взлом Cream, последовательность действий взломщика:
https://twitter.com/BlockSecTeam/status/1453393444047441923
Влияние пункта (6) на цену yUSD в оракуле Cream:
https://twitter.com/0xPaladinSec/status/1453389115018391557
UPD: Более детальный список шагов взлома, здесь ключевой пункт уже под номером 19
https://twitter.com/Mudit__Gupta/status/1453401698563596293
За ссылку спасибо @noonemanman
Twitter
BlockSec
Our initial analysis of the Cream Finance attack: tx.blocksecteam.com/tx/0x0fe254207… @Mudit__Gupta @bantg @CreamdotFinance
#hack #defi
Cream Finance предложили вчерашнему взломщику вернуть похищенное в обмен на вознаграждение в 10% от суммы.
Предложение было отправлено в виде данных в транзакции https://etherscan.io/tx/0x606bdd12584ccda8a3ecdb9e4bd43046d066d2b223d857121eec51820f34cc89
Cream Finance предложили вчерашнему взломщику вернуть похищенное в обмен на вознаграждение в 10% от суммы.
Предложение было отправлено в виде данных в транзакции https://etherscan.io/tx/0x606bdd12584ccda8a3ecdb9e4bd43046d066d2b223d857121eec51820f34cc89
#nft #flashloan
Накрутка цены NFT-криптопанка: смарт-контрактом берётся Flash Loan, покупается криптопанк; предыдущий владелец - другой смарт-контракт, эфир оттуда сразу возвращается, Flash Loan выплачивается.
https://twitter.com/bertcmiller/status/1453876703273627656
Комментарий о возможном использовании такого в атаках на оракулы цен NFT:
https://twitter.com/Dogetoshi/status/1453880592144244736
Накрутка цены NFT-криптопанка: смарт-контрактом берётся Flash Loan, покупается криптопанк; предыдущий владелец - другой смарт-контракт, эфир оттуда сразу возвращается, Flash Loan выплачивается.
https://twitter.com/bertcmiller/status/1453876703273627656
Комментарий о возможном использовании такого в атаках на оракулы цен NFT:
https://twitter.com/Dogetoshi/status/1453880592144244736
Twitter
@bertcmiller⚡️🤖🛡️
Quick look: - Punk was put up to sale by contract A - Contract B takes out a massive flashloan and buys punk from contract A - When contract A receives ETH from B it immediately sent all of it back to B - Contract B then used the ETH to repay their flashloan…
#hack #flashloan
Взломан сервис AutoShark (https://autoshark.finance/) на Binance Smart Chain:
https://bscscan.com/tx/0xe51969f2ec5dcd16d3f7c11bf0484dabf56124f0ab7f93cfeae597264c550b07
Cream Finance также "засветился" в транзакции, но на этот раз - не в роли жертвы, а в роли источника flash loan.
Взломан сервис AutoShark (https://autoshark.finance/) на Binance Smart Chain:
https://bscscan.com/tx/0xe51969f2ec5dcd16d3f7c11bf0484dabf56124f0ab7f93cfeae597264c550b07
Cream Finance также "засветился" в транзакции, но на этот раз - не в роли жертвы, а в роли источника flash loan.
BNB Smart Chain Explorer
BNB Smart Chain Transaction Hash (Txhash) Details | BscScan
Binance (BNB) detailed transaction info for txhash 0xe51969f2ec5dcd16d3f7c11bf0484dabf56124f0ab7f93cfeae597264c550b07. The transaction status, block confirmation, gas fee, Binance, and token transfer are shown.
#rugpull
AnubisDAO - около $60 миллионов "внезапно" переведено на неизвестный кошелёк.
https://twitter.com/Dogetoshi/status/1454059079001837578?t=tAOCYhVejePz773kBwfXxA&s=19
По предшествующим транзакциям и упоминаниям адресов был найден твиттер подозреваемого, но аккаунт "исчез на глазах" - был удалён.
AnubisDAO - около $60 миллионов "внезапно" переведено на неизвестный кошелёк.
https://twitter.com/Dogetoshi/status/1454059079001837578?t=tAOCYhVejePz773kBwfXxA&s=19
По предшествующим транзакциям и упоминаниям адресов был найден твиттер подозреваемого, но аккаунт "исчез на глазах" - был удалён.
Twitter
Steven
Looks like AnubisDAO rugged for $60M etherscan.io/tx/0x551890a87…
#incident #bzx
bZx - утечка приватных ключей на Polygon и BSC.
На Ethereum всё спокойно.
https://twitter.com/bZxHQ/status/1456603269355094021
У кого зааппрувлены там токены - нужно отозвать разрешения.
https://twitter.com/bZxHQ/status/1456609005682319360
bZx - утечка приватных ключей на Polygon и BSC.
На Ethereum всё спокойно.
https://twitter.com/bZxHQ/status/1456603269355094021
У кого зааппрувлены там токены - нужно отозвать разрешения.
https://twitter.com/bZxHQ/status/1456609005682319360
Twitter
bZx - Fulcrum & Torque (on ETH/BSC/Polygon)
An hour ago it appears that the private key controlling the Polygon and BSC deployments was compromised, leading to loss of funds. The Ethereum deployment is under DAO control and not impacted. We will provide further updates soon.
Crypto Offensive
#incident #bzx bZx - утечка приватных ключей на Polygon и BSC. На Ethereum всё спокойно. https://twitter.com/bZxHQ/status/1456603269355094021 У кого зааппрувлены там токены - нужно отозвать разрешения. https://twitter.com/bZxHQ/status/1456609005682319360
#hack #history #bzx
Минутка истории...
Первый взлом bZx (февраль 2020)
https://mudit.blog/bzx-hack-analysis-defi-legos/amp/
Второй взлом (сентябрь 2020)
https://cointelegraph.com/news/defi-platform-bzx-sees-new-8m-hack-from-one-misplaced-line-of-code
"Нулевой" взлом (январь 2020) - тут взлома не было, разработчики из 1inch нашли уязвимость в bZx, те под разными предлогами отказывались выплатить баунти
https://blog.1inch.io/yes-we-hacked-bzx-fulcrum-but-one-month-ago-3f7e5c437ee3
Минутка истории...
Первый взлом bZx (февраль 2020)
https://mudit.blog/bzx-hack-analysis-defi-legos/amp/
Второй взлом (сентябрь 2020)
https://cointelegraph.com/news/defi-platform-bzx-sees-new-8m-hack-from-one-misplaced-line-of-code
"Нулевой" взлом (январь 2020) - тут взлома не было, разработчики из 1inch нашли уязвимость в bZx, те под разными предлогами отказывались выплатить баунти
https://blog.1inch.io/yes-we-hacked-bzx-fulcrum-but-one-month-ago-3f7e5c437ee3