Бамбамбам чики брики

Лучшего названия для этого поста я не придумал. Давно я сюда ничего не писал, а тем более какие-то тексты с мыслями, но кажись вот он момент. Сразу подмечу, что все, что будет сказано в этом посте - субъективное мнение автора и автор может быть дауном, это норм.

Последнее время я намерено пропускаю много изичных тем, таких как: спреды, лудоманского типа справедливые, какие-то вообще не понятные темы с РРом 100:1 и так далее. Связываю я это с тем, что некоторое просто на просто не подходит под мою ТС, а некоторое просто разрушает мою психику. Я уже повидал много людей, которые после "легких денег" остановились в развитии и ждут из моря погоды, так сказать. Они зацикленные на одной ультра-тупой теме, которая сама убивает их. Конечно же легче ничего не делать и ждать НДА СПРЕДИК, который покормит. Но как бы сегодня это так, а завтра, а через год, а через 10?

Многие могут сказать: "Муха, ну ты вообще даун, бабки есть бабки, зачем вообще парится" - тогда с такими людьми мне не о чем говорить. У меня чуть другие цели, чтобы я имел знания и голову на плечах, а не просто бабки, которые очень быстро закончатся и останется ноль. Эти все -плн выглядят так уебищно от инфлов, с учетом того, что эта "темка" выносить уже больше года, но не мне уже говорить за это. Завидую ли? - наверное нет, это тоже самое, что с рекой, которую я продал в том количестве, что подсчитаешь на пальцах одной руки. Хотя если меня так подождем жизнь, то конечно придется продавать реку, но пока я ее обхожу.

В итоге, пробую развиваться в нескольких сферах, в основном связанные с безопасностью проектов и чуть скальпа, чтобы четко понимать ситуацию в моменте, как и класики, так и темок. Всем желаю развития и не слушайте таких вот, как я, все двигаются своей дорогой и вообще похуй, кто там и что там думает про кого-то. Я просто пишу свое мнение, которое никого не касается.
One day u may

Взломы

Это явление продолжается в крипте продолжительное время и уберечься от этого не всегда получается. Исходя из количества взломов даже за последний месяц, можно сказать, что знания языка Solidity и аудирование смарт-контрактов обязательно, если хочешь взаимодействовать с DeFi. И то, не всегда получается.
Эта тема стает все интереснее для меня с каждым днем и вчерашний пост Темки от BOSS’а про недавние взломы натолкнул меня дописать пост с полезными тулзами, который норм разлетелся. Но в этом продолжении я добавлю пару сайтов для анализа предыдущих взломов, как оно было, почему и сколько украли:

https://hacked.slowmist.io/
https://rekt.news/ru
https://de.fi/rekt-database
https://defillama.com/hacks
+
https://x.com/PeckShieldAlert
https://x.com/TenArmorAlert
https://x.com/blockaid_
https://x.com/BlockSecTeam
https://x.com/zachxbt
https://t.me/peckshield

Конечно этот пост не для всех, но если вам интересна эта тема, то будет полезно + используйте ИИшку, чтобы копаться чуть глубже, уже в сам контракт и его функционал

21.09.2026 несколько кошельков провело мини-операцию с вызовом публичной функции намайнил токенов из воздуха - без флеш-лоана, без мам, без пап, просто на дисциплине

The Internet Token(INT) имеет контракт под название LiquidityUnifier у которого есть роль минтера - то есть он минтит токены и сливает их + функция swapV3(token, pool) публичная. То есть, хакер может "подсунуть" свой неверифицированный контракт под видом пула, а в проверке token0()/token1() хакерский контракт просто заявляет, что он официальный и спокойно проходит верифу. Дальше swapV3 дергает swap() у нашего зараженого контракта, который в свою очередь ре ентрит колбэк uniswapV3SwapCallback, а в колбэке контракт‑жертва послушно минтит ровно столько INT, сколько ей в этом колбэке назвали. Почему так? — Да потому что так устроен своп в Uniswap V3: пул сам сообщает, сколько ему причитается, а контракт просто верит на слово.

Ещё есть проблемка, на функции, которая используется висит проверка: «общий supply не должен вырасти за вызов», но наш выпускник MIT просто берет и обходит её через ещё одну публичную функцию — Convertor, который 1:1 гоняет INT в вспомогательный токен и обратно. Внутри вызова сминтил INT → тут же конвертнул его в тот токен (INT сгорел, supply как будто в норме, проверка пройдена), а как только swapV3 завершилась — спокойно конвертнул обратно.

Жалко что в пуле INT/WETH было всего 5.85 WETH, на этом все потери проекта закончились, но как кейс пойдет.

blocksec EOA contract

16.09.2026 флеш-лоан атакой был обут лендинг PrimeFi его же оракулом - подав ему устаревшую цену

PrimeFi берет цены непосредственно из офчейн "отчетов" Chainlink Data Streams, это те цены которые кто угодно может принести в контракт, а тот в свою очередь должен проверить и сохранить. Вот только контракт-обертка DataStreamConsumer проверял ТОЛЬКО подпись, а то что свежая ли цена или годовалой давности - его не волнует. В то же время функция verifyReport() - публичная, чувствуете, что несется?

Хацкер взял две реально подписанные Chainlink‑цены из архива. Один - PRFI годичной давности, где токен стоил $0.11 (реальная цена сейчас ~$0.0021). Приносит эту просроченную на 319 дней цену в verifyReport - она без каких либо проверок переписывает прайс в 50х. Проблемы Chainlink тут нет вообще, цена то была такая, а вот PrimeFi оказалось насрать и они не стали ставить хоть каких-то проверок или ограничений. Заодно была изменена еще одна цена - HYPE ($20.59 против реальных ~$79). Зачем? — Да потому что чем дешевле оракул считает WHYPE, тем больше WHYPE тебе дадут занять под тот же залог.
Дальше дело техники: на тот флеш-лоан 100 WHYPE он откупает 795,587 PRFI и вносит их залогом и эти токены оцениваются не в ~$1.7к, а в ~$87к. Под такой залог занял 425 WHYPE, вернул флеш‑лоан и пошел себе дальше гулять.

Тотал профит: ~398 WHYPE (~$33к) — выгреб весь WHYPE‑резерв протокола, хотя на том же одном оракуле висели ВСЕ 7 рынков PrimeFi (USDC, USDT0, WHYPE, UETH, UBTC, PRFI, psXDC)

blocksec EOA contract

24-25.09.2026 Magic Eden пользователей обчистили их же approve, без единой подписи жертвы

Magic Eden гонял EVM-сделки через контракт Limit Break - PaymentProcessor. Чтобы листить NFT, юзер один раз давал setApprovalForAll на PP. Вот этот approve и стал топливом. У PP есть «доверенные форвардеры» для мета-транзакций, и фабрика этих форвардеров доверяет любому своему клону - то есть кто угодно за газ минтит себе «доверенного форвардера», а он в свою очередь дописывает в конец калдаты 20 байт - «кто отправитель». Значит хацкер сам вписывает туда чужой адрес - жертву. Дальше нужен «покупатель» (maker): деплоишь контракт, у которого isValidSignature на ЛЮБУЮ подпись отвечает «всё ок» (EIP-1271 yes-man) — реальный ключ не нужен. И дёргаешь acceptOffer с ценой 0

Чувствуете, что несётся?) PP послушно делает transferFrom(from=жертва, to=атакующий) любого NFT, на который жертва когда-то дала approve. Подпись самой жертвы нигде не проверяется - её адрес не входит ни в один подписанный дайджест. NFT уезжает за газ. Тот же баг работает и в обратную сторону: подставляешь жертву как «покупателя» её же junk-NFT - списываешь её WETH. Так вынесли ~543 WETH (~$1.46M)

Масштаб вкусный: ~190к NFT дренуто на ETH+Polygon+Arbitrum. Один хакер (0x28bc445b) выгреб ~73к штук, другой продал 18 BAYC за ~108 ETH на Blur. Спасло то, что первым в очередь встал whitehat 0xQuit (Yuga) — увёл ~28к NFT себе и сейчас сидит рефает людям.
Но есть одно НО)) PP V2 неизменяемый - патча не будет никогда. Limit Break запаузил только V3, а фабрику форвардеров вообще не тронул

PaymentProcessor
factory
whitehat

За эти дни:
90+ часов работы
18 PoC
73к кошельков
340.593 NFT
18 блокчейнов

А результат? - Пошел я нахуй

Программа X Summit точно заставит тебя прийти:

– Проп-трейдинг 2027 – Alan, GZK
– Scalping panel – Peterson Trade, Breido Trade
– Структурная торговля – Cryptomannn
– Проп-торговля – Tomtrik
– Психология прибыльного трейдера – Tomtrik, MSTRO, Garry, Solva, Nana
– Закрытая VIP-презентация "Будущее криптотрейдинга" – Alan, Cryptomannn, GZK
– Afterparty

3 октября, Варшава. X Summit: Cryptology Key, Cryptomannn и OKX

Осталось 5 мест. Покупай билет уже сейчас.

Да ты что, серьезно?

А хранить приватные ключи тысяч пользователей в расшифрованном виде у себя на серваке - это норм?
А делать функцию экспорта всех приватником залпом без какого либо ограничения или 2FA - это тоже окей?

01.10.2026 чувачка обчистили на $305к через его же персональный контракт-помощник

Чел держал деньги в двух Safe-кошах и крутил плече на AAVE: кладёшь weETH → берёшь в долг WETH → меняешь WETH обратно на weETH → снова кладёшь → снова берёшь. Заработок стает больше, но и риск вырастает. Доходность растёт, но и риск тоже. Делать это руками — тяжко, поэтому он написал себе софт-помощник и дал ему полный доступ к кошельку — чтобы тот крутил всё сам, без его подписи.

Но как это бывает, "помощник" оказался с дырами:
1)Он не проверяет, кто его зовет. На входе open() контракт спрашивает у msg.sender: "ты ли тот Safe-кошелек?", хакер поднял контракт, который просто врёт true и его пустили как хозяина
2)Внутри он исполнял все команды вслепую: router.call(data) - где адрес и команду задает сам атакующий. Подставив Safe жертвы и команду execTransactionFromModule(вывести всё атакующему) он в дамках

Теперь остается дело за малым:
1)Берет флеш-займ 11537 WETH(на Morpho, комиссии нет) 2)Гасит долг жертвы в размере 1335 WETH на AAVE - залог разблокирован
3)Через ту самую дыру дергает execTransactionFromModule() и выводит себе 1306 weETH (Safe №1) + 6.4 weETH (Safe №2)
4)Делая обмен weETH:WETH - 1:1.104, он возвращает флеш-лоан и забирает свою долю 114 WETH

~$10 газа.
Умение подстраиваться.
Настойчивость.
Результат.

Transaction Attacker Module