Не знаю, специально они так сделали, или нет, но в задании была заложена уязвимость.
То есть если делать контракт точно по их ТЗ, то он будет уязвим к атаке.

Поскольку по ТЗ любой может воспользоваться подписью и кошелек получателя указыватся только в момент использования подписи, то в саму подпись мы никак не можем заложить ни того, кому мы ее выдаем, ни получателя денег.
А, значит, сама эта подпись по сути дает карт бланш любому, кто ее каким-то образом получил, на ее использование.
То есть может быть я эту подпись выдавал Бобу, но если ее перехватит Чарли, то он спокойно сможет ей воспользоваться.

А где эта подпись у нас может засветиться? Ну конечно же в мемпуле транзакций.
То есть, если Боб отправит транзакцию на вывод токенов с этой подписью, а Чарли ее увидит в мемпуле, Чарли может отправить другую транзакцию с такой же подписью, но своим кошелельком в качестве получателя токенов. И поставить выше цену за газ.
Таким образом, он опередит Боба и снимет деньги. А Боб снять уже не сможет.

Это называется frontrun атака. И по сути именно этим занимаются MEV боты.

От нее легко защититься, если чек будет именной: т.е. в подписываемых данных будет содержаться адрес получателя средств или адрес того, кто будет использовать чек (подпись).

Но я все сделал точно по заданию, а уязвимость просто описал в комментариях.

Видимо, их это устроило, потому что потом меня пригласили еще на два собеседования - технические. И там было еще одно интересное задание.

Кстати, если вы (или ваши друзья) развиваете проект в веб3, то вы можете получить поддержку от Biconomy.

Мы недавно анонсировали программу акселерации Pioneers of AA 👨‍🚀

Она предназначена для команд, делающих децентрализованные приложения (dApps), которые могут выиграть от внедрения Account Abstraction.
А с учетом того, что Account Abstraction - это технология, которая улучшает ux для пользователей, выиграть от ее внедрения может почти любой дэпп.

Что получат команды, которые пройдут отбор в программу:

- Помощь в разработке идеального UX c использованием AA
- Всесторонняя поддержка инженеров Biconomy в разработке продукта и внедрении АА
- Возможности для роста: совместный маркетинг и кампании в соц сетях
- Дополнительные плюшки будут объявлены по ходу программы

Если вам актуально, заполняйте заявку тут
https://t.co/Ip0PEB4RQJ

И можете написать мне в личку что-то пояснить дополнительно, я попробую донести это до нашей продуктовой и маркетинговой команды, которые курируют эту программу.

Второе задание с собеседования на Senior Blockchain Developer в Safe Global (бывший Gnosis Safe).

Прямо на звонке нужно было проанализировать контракт и найти все проблемы/уязвимости.

Вот сам контракт: https://hackmd.io/@rimeissner/ByXSCKaj5

Давайте вместе сделаем мини-аудит.

Я начну с первой уязвимости, а вы пишите в комменты остальные.
Что не найдем в комментах, я буду разбирать в следующих постах.

Первая уязвимость:
В структуре Entry - две переменных типа bytes подряд: title и description.
Само по себе - ничего криминального.
Но в строке 22 видим, что entry упаковывается с помощью encodePacked и хэш используется в качестве ключа в мэппинге - id каждой записи о депозите.
Теперь представим ситуацию, что у нас есть два Entry, полностью одинаковые, за исключением title и description.

Пусть в первом объекте
Title:'deafbeef'
Description: 'decaf'

А во втором
Title:'deaf'
Description: 'beefdecaf'

Тогда в упакованном виде они дадут одинаковый хеш, хотя это разные объекты Entry.
Таким образом, есть риск, что пользователь будет пытаться добавить новый депозит, но вместо этого перезапишет свой собственный существующий депозит и потеряет деньги.

Всем шашлык 🍖

Следующая уязвимость в контракте с собеседования, или, скорее, несовершенство контракта - отсутствие поддержки Smart Contract Signatures по стандарту EIP-1271.

Вообще, в чем предназаначение этого контракта?
Это простейший escrow контракт - то есть кто-то может задепозитить нативный токен, а другой человек, имея криптографическую подпись, сможет этот депозит снять.

А что если депозитор - смарт-контракт? Смарт контракт не имеет приватного ключа, а, значит, не сможет сделать подпись, которая при использовании в ecrecover вернет адрес контракта в качестве подписанта. То есть смарт-контрактные кошельки пользоваться этим escrow не смогут. Точнее, задепозитить-то они смогут, а вот снять депозит уже нет. Так что вполне возможна потеря средств.

Собственно, с распространением смарт-контрактных кошельков, проблема подписи и проверки сообщений от лица смарт-контрактов все более важна, и для решения этой задачи как раз и существует стандарт 1271.

Чтобы добавить поддержку 1271 сюда, достаточно было бы проверять extcodesize !=0 для entries[id].issuer и если это так, то использовать не ecrecover, а entries[id].issuer.isValidSignature.

Я пока описываю наименее очевидные улучшения, жду более очевидные в комментариях.

Да, кстати, в комментариях уже нашли Re-entrancy уязвимость.
Надо в деталях расписать, как это работает и почему ее можно устранить просто поменяв местами строки 42 и 43?

Надо расписать => 👍
Все и так понятно => 🔥

Что такое Re-entrancy уязвимость

Это когда в процесс выполнения функции можно перезайти до того, как функция выполнится до конца, и таким образом нарушить нормальную работу контракта.

В нашем конкретном случае на строке 42 мы отправляем средства с депозита тому, кто вызвал функцию payout c помощью низкоуровневого вызова, т.е. метода .call.

Если получателем средств здесь будет обычный кошелек, нет проблем. Но если это смарт-контракт, то обрабатывать получение средств будет специальный метод .receive. И реализовать этот метод автор смарт-контракта может как угодно.

Например, он может сделать так, что метод receive будет заново вызывать метод payout нашего escrow смарт-контракта c теми же самыми данными.
То есть 43 строка из исходного вызова payout не исполнится до тех пор, пока функция payout не отработает еще раз.
А поскольку именно 43 строка отвечает за то, чтобы пометить депозит как неактивный (то есть деньги с которого сняты), проверка на 40 строке для второго (злоумышленного) вызова payout снова пройдет и позволит снова отправить деньги с того же самого депозита.

Таким образом можно зациклить исполнение payout и выдоить почти все средства с нашего escrow.

Исправляется это в нашем случае очень просто - достаточно поменять местами строки 42 и 43, то есть помечать депозит как использованный ДО того, как отправлять средства через .call.
В таком случае при попытке повторного вызова payout из receive проверка на 40 строке не пройдет и вся транзакция будет отменена. Это называется “checks-effects-interactions pattern” - то есть сначала проверка, потом эффект действия и только потом взаимодействие со сторонними адресами.

Самое громкое использование этой уязвимости случилось в 2016 году, знаменитый The DAO hack. Который кстати вызвал аж целый хардфорк всего блокчейна эфира.

Но что самое интересное, это никак не помешало разработчикам снова и снова допускать ту же самую ошибку, а хакерам на ней наживаться.

Из последнего:
Uniswap/Lendf.Me (Апрель 2020) – $25 Миллионов, атака через re-entrancy
The BurgerSwap (Май 2021) – $7.2М фейковый токен контракт, эксплуатирующий re-entrancy
The SURGEBNB hack (August 2021) – $4М атакая с манипуляцией ценой, также основанная на re-entrancy паттерне
CREAM FINANCE hack (August 2021) – $18.8М re-entrancy для повторного займа
Siren protocol hack (September 2021) – $3.5М атакая на АММ пулы с помощью re-entrancy

Что интересно, re-entrancy потенциально может встретиться и в NFT-based протоколах. Потому что по стандарту ERC-721 в смарт-контракте должен быть метод safeTransferFrom, который прежде чем отправить NFT - запрашивает у принимающей стороны, готова ли та его принять. То есть как раз открывается потенциал для выполнения неизвестно какого кода, который в теории может в выполнение текущей функции перезайти.

Конечно, сейчас re-entracy - это одна из самых известных уязвимостей и все аудиторы довольно быстро ее видят. Но все же про нее лучше знать и не допускать, чем потом краснеть на аудите.

Кстати про последствия взлома The DAO

Всем привет!

8 месяцев уже ничего не писал сюда.
Много всего произошло за это время.
В Biconomy мы делаем очень крутые штуки.
Мы занимаемся Account Abstraction - это сейчас одна из самых инновационных областей в крипте. Скорее всего, следующие сотни миллионов пользователей веб3 будут использовать именно продукты (кошельки, к примеру), построенные на Account Abstraction стеке.
Благодаря своей работе в 2023:
- Я прокачался в разработке.
- Почти ушел в Aragon, но все-таки остался в Biconomy.
- Стал соавтором нового EIP

Но мне совсем не хотелось об этом рассказывать.

Во-первых, это довольно узкая история про разработку на Solidity, и мало кому может быть интересна. А с продуктовой частью я сейчас меньше связан.
Во-вторых, видимо, это эмоциональное похмелье от NFT-запоя. Я по-прежнему верю в NFT как в технологию, и есть области, например - искусство, которым NFT подходит идеально (я, кстати, недавно помог товарищам запустить аукционный дом цифрового искусства - написал для них смарт контракты аукционов). Но таких областей мало, а большинство расхайпованных NFT проектов оказались чистой спекуляцией.
В-третьих, я посвятил IT в том или ином виде уже больше 15 лет. И почти всегда это был “чистый” IT. Ну то есть не цифровизация какой-то аналоговой сферы, а очень мало связанные с реальным миром области: геймдев, SEO, крипта.

В общем, писать про это больше не хочется.
Я прислушивался к себе в 2023 и, кажется, понял, о чем хочется.

Завтра расскажу в отдельном посте.

С Новым Годом! 🎄❄️🎉

В общем, чем дольше я в IT, тем яснее я вижу, насколько мы, люди, как вид, пока не готовы к виртуальности.

И все больше хочется писать про реальную жизнь.

Я сильно выгорел в 2021-2022м.
Весь 2023 я приводил в порядок свое ментальное и физическое здоровье.
И продолжаю этим заниматься.
Моя цель — растить уровень жизненной энергии.
Сейчас я анализирую исследования на эту тему и истории тех, кто смог.
А еще экспериментирую сам.

Здесь не будет готовых рецептов, буду исследовать, пробовать и делать выводы вместе с вами.
Буду делиться историями роста и рассказывать о том, что мне сейчас интересно и наполняет.

Удивительным образом название канала остается актуальным — мир вокруг нас меняется быстро, и жить счастливо и благополучно в нем — не самая простая задача. В этом контексте и будем смотреть на Дивный Новый Мир.

В следующих постах:

- Энергия и ощущение благополучия - почему я вообще фокусируюсь на уровне энергии как на важном показателе
- Энергия и ресурсы личности - из чего складывается уровень энергии
- Спорт и движение - это жизнь. И один из главных источников энергии (для меня)

Спасибо за поддержку 🙏
Не ожидал. Думал, все просто отпишутся 😅

Писать про технологии легко. В этой теме мало личного. Теперь в канале личного, в смысле - мыслей и идей пропущенных через себя, будет больше.

И, конечно, в этом смысле я оказываюсь в гораздо более уязвимом месте с такими темами. И тем важнее мне ваша поддержка.

Благодарю ❤️

Для меня энергия - ключевое понятие в понимании и объяснении многих важных личностных и социальных процессов.

Когда есть энергия - человеку субъективно хорошо.
Когда энергии нет - плохо.
Депрессия на начальных этапах - это сильное энергетическое истощение.
Высокоэнергетические состояния - это то, к чему мы все стремимся.

Когда человек в таком состоянии, у него много идей, стремлений (у буддистов кстати, другое мнение насчет влияния большого количества желаний и стремлений на благополучие, но об этом в другой раз), мир кажется дружелюбным и открытым.
И, во многом, таким и является.
Потому что есть силы активно взаимодействовать с миром и обществом, вкладывать свою энергию в полезные дела, и получать энергетический возврат от своих инвестиций. То есть преумножать эту энергию.
Потому что энергия - это социальный магнит. Мы чувствуем энергию других людей и нас тянет к людям, у которых этой энергии много.
Потому что энергия - это вознаграждение, которое выделяет нам мозг за дела, полезные для развития общества и эволюции вида.

Жизнь - это движение энергии и переход ее из одной формы в другую.
Энергия это не цель, это путь. Ее нельзя накопить и сохранить. Ее нужно постоянно вкладывать и использовать.

Для меня главное удовольствие — познавать мир, оставаясь в контакте с собой.
И я надеюсь иметь возможность делать это еще как можно дольше, а для этого нужна энергия.

Я ориентируюсь на энергию как на индикатор.
Если энергии мало - пора что-то менять.
Если у меня энергии много, значит, я делаю правильные для себя вещи и делаю их правильно.
А значит у меня есть возможность жить эту жизнь!

А следующий пост будет про сферы жизни, в которые мы вкладываем энергию и из которых ее черпаем.

Все без всяких теорий знают просто из опыта, что энергию можно брать из разных сфер жизни.

- Если у вас есть опыт регулярных занятий спортом, вы знаете, что хорошая тренировка приносит прилив сил и хорошего настроения. Даже общее физическое самочувствие может улучшиться несмотря на усталость конкретных мышц.
- Если у вас выстроены хорошие отношения с родными и близкими, общение с ними не забирает силы, а наполняет и вдохновляет.
- Если вы любите и умеете делать свою работу, и не довели себя до выгорания, то вы не устаете после работы, а заряжены на активное продолжение дня.
- Если вы дружите со своим телом, то оно не провоцирует вас на нездоровое поведение. А ведя ЗОЖ вы не чувствуете себя обделенным, а наоборот ⇒ заряженным.

И так далее. При этом человек может уметь получать энергию от одних сфер жизни, и совершенно не уметь работать с другими.

То есть, для системной работы, источники энергии нужно разделить по важнейшим сферам жизни. Чтобы оценивать не просто состояние человека в целом, но выделять зоны, где уже есть первые успехи, которые можно развивать, и зоны, где энергия не просто не прибавляется, а куда сливается.

Вариантов такого разделения можно найти множество, достаточно погуглить.

Я выбрал для себя Круг Ресурсов Эволюции.
Я вообще фанат системы Эволюции, читаю ее блог с 2016 года, и те, кто с этой системой знаком, увидят, насколько сильно я на нее опираюсь в своем росте.

Круг состоит из 12 Ресурсов, каждый из которых представляет важную сферу жизни.
Эволюция дает не просто классификацию, а цельную и фундаментальную систему работы с ресурсами. Общий принцип работы со всеми ресурсами одинаков, но все же каждый из них имеет свои особенности.

Когда я буду рассказывать о том, что я делаю для роста энергии или рассматривать истории других людей, я буду пользоваться этой именно этой классификацией.

Если вы хотите уже сейчас больше понять по Круг Ресурсов, то вот ссылки на избранные статьи из первоисточника:
- Про Основные ресурсы
- Как работать с ресурсами
- Взаимосвязь ресурсов личности и ресурсов внешнего мира

Итак, у нас есть 12 Ресурсов.

Все из них важные.
Но основных (ссылка) четыре: Имидж, Семья, Любовь и Работа.
Собственно, для результативного и устойчивого энергетический прирост, нужно сфокусироваться на этих сферах жизни.
Из оставшихся есть более понятные и простые для рассмотрения и работы с ними: Учеба, Экономика, Здоровье.
И есть менее понятные и более сложные\спорные. Например, Альтруизм или Транс.
Еще есть, к примеру, Дружба и Искусство, но начинать именно с них выглядит слишком специфическим кейсом.
Хотя лично для меня Искусство - очень интересный (и сложный) ресурс.

Спорт для меня - это работа с тремя ресурсами сразу (один из которых к тому же и входит в четверку основных): Имидж, Здоровье и Дружба.
Плюс, по Дизайну Человека (это еще одна важная концепция, через призму которой я смотрю на мир) персонально для меня важно все, что связано с телом.
То есть от этого направления именно у меня более высокий потенциальный энергетический возврат.

Поэтому первое, что я сделал, чтобы начать восстанавливать энергию после выгорания - это начал возвращать физическую форму.

Таким образом, здесь у меня уже есть опыт осознанной работы, и по направлениям Спорт + Здоровье будет много постов.

Так что если вам это тоже интересно, не переключайтесь ⚡

Быстрый пост сегодня ⚡️

Как сократить свой биологический возраст на 30 лет? Нужно просто оказаться в 5% самых физически активных людей.

Смотрим картинку.

По вертикальной оси VO2 Max - это максимальное потребление кислорода (МПК).
Попросту - сколько ваше тело способно потреблять кислорода в минуту.

По горизонтальной оси - возраст.

Пунктирные линии сопоставляют разные виды физической активности с МПК.

Таким образом получается, что максимум на что способен средне-тренированный человек в 45 лет – это быстро подниматься по лестнице (briskly climb stairs) 🤷

Но на это же способен высокотренированный человек в 75!

Так что если хотите быть моложе на 30 лет, постарайтесь попасть в 5% самых тренированных и физически активных.
Понятно, это перфекционистиская цель. Хотя бы быть выше 50го перцентиля - уже прекрасно.

Воистину, движение – это жизнь ❤️

(Источник вдохновения для поста)

Тут вышло интересное исследование 👀

В воде, упакованной в пластиковые бутылки обнаружили нано-частицы пластика.
Точнее как, никто и не сомневался, что они там есть, но после исследования с примененеим более совершенных методов выяснилось, что их в 10-100 раз больше, чем предполагалось.
В абсолютных цифрах это сотни тысяч штук в литре.

В чем проблема с нано-пластиком? Собственно, в том, что он нано.
К микропластику ( частицы размеров 1мкм - 5мм) все уже привыкли.
Но нанопластик ведет себя совсем иначе.

Чтобы называться нано-, частица пластика должна быть размером в миллиардную долю метра.
При таком размере они могут проникать в клетки и ткани и даже проходить гематоэнцефалический барьер.
Исследования показывают, что даже микропластик токсичен, что уж говорит о нано-пластике.

Что интересно, предыдущие исследования показали, что в воде из-под крана (правда это было в этих ваших Америках, в которых уже и Bitcoin ETF одобрили) микропластика сильно меньше. Что у нас в стране - непонятно, может оказаться и хуже и лучше.

Что еще интересно. Очень много пластика в упаковках еды => в еде.
Вывод: не ешьте упакованную еду, промышленную еду и фастфуд.
Где-то я недавно видел мысль, что чем больше в вашем рационе продуктов, в составе которых только один ингридиент, тем лучше.
В этом смысле мы в гораздо лучшем положении, чем ребята за океном. Там у них нормальных овощей днем с огнем не сыскать, а у нас на каждых 6 сотках растут.

Так что вот, какие тут action points:
1) Возможно фильтровать воду из-под крана - гораздо лучше, чем покупать в бутылках. Но, конечно, зависит от крана :)

2) Еще, получается, вода из стеклянных бутылок потенциально должна быть сильно лучше. А я-то думал, почему в сериале Шантарам воду в огромных стеклянных бутылках развозили, которые так легко побить оказалось. Оказывается, вот оно что.

Всех с пятницей кстати!

Увидел сегодня в твиттере, думал шутка.

Включаю интеллигентный режим и попробую перевести.

Итак:

Жир, обнаруженный в женских ягодицах помогает в стоительстве клеток мозга новорожденного: ученые утверждают, что девушки с пышными формами производят более умное потомство.

- Ученые обнаружили, что жир из ягодиц очень важен для развития
- Исследователи заявляют, что эти жировые клетки идут прямо на строительство мозга ребенка
- Это объясняет, почему женщинам бывает сложно похудеть именно в этих областях
- Дамы, у которых бОльшие запасы такого жира “имеют больше шансов на более умное потомство”

Оказалось, не шутка. Странно, что это установили не британские, а американские ученые.
Хотя, какая разница, англосаксы и есть англосаксы 😁

Поздравляю с окончательным наступлением Нового Года! 😁🎉
Всех, кроме китайцев - у них НГ еще только 10 февраля.

И раз уж у нас разговор зашел про чистоту воды и продуктов.

Угостили меня вчера фермерской курицей. Не “Фермерской”, а реально фермерской.
Я и так стараюсь покупать продукты не где попало. В основном в зеленом магазине, который на Вкус начинается и на Вилл заканчивается.
Но фермерская курица - это как будто в принципе другая совсем птица.
Ну то есть абсолютно другой вкус, запах, текстура.
И я, конечно, в очередной раз задумался - насколько же неестественны все существующие методы промышленного животноводства. Вегетарианцам предлагаю не тыкать в меня палкой сразу, технологии растениеводства ничуть не лучше. А к примеру в растительных протеиновых добавка порой больше всякой гадости, чем в тех, что на основе животного белка.

Ну так вот, а потом я вижу в твиттере вот это (название аккаунта зачет!).
Whole Foods это такой американский эко-магаз.

В общем, это я к чему.
Нас уже больше 8 ярдов на планете, и вопрос нормальной еды стоит остро как никогда.
Не зря Билл Гейтс скупает с\х землю по всей Америке.
Калории добыть в целом не проблема уже почти нигде, кроме Африки, наверное.
Вопрос, какие калории.

Ну и конечно, чтобы это проблему решить, высокие технологии пришли в сектор производства еды.
Так что в фудтехе и агротехе сейчас очень интересно.
Искусственное мясо - это уже наверное все слышали.
Еще биореакторы для молочного\яичного белка придумали.
ИИ, который отслеживает развитие растений и корректирует полив\подкорм\свет - это можно сказать вчерашний день вообще.

Ничего в этом пока не понимаю, но очень хочу разобраться.
Так что буду про это тоже писать.
Воткну ка в этот пост картинку со стейками из твиттера для привлечения внимания 😅

Кстати, а вы как решаете задачу с нормальными исходными продуктами?