Trend-Themen
#
Bonk Eco continues to show strength amid $USELESS rally
#
Pump.fun to raise $1B token sale, traders speculating on airdrop
#
Boop.Fun leading the way with a new launchpad on Solana.
Phylax Systems
App-definierte Sicherheit, die von Netzwerken erzwungen wird
Phylax Systems erneut gepostet
Ein weiterer Hack, den ich mir kürzlich angesehen habe, ist Vicuna Finance aus dem März dieses Jahres.
Sie haben 700.000 $ durch Manipulation des LP-Token-Orakels auf der Sonic-Chain verloren.
Der Angriff nutzte einen grundlegenden Preisfehler aus, der mit einer einfachen Assertion hätte verhindert werden können.
LP-Token wurden mit einer einfachen Summenformel (preis_token1 * menge_token1 + preis_token0 * menge_token0) anstelle einer fairen Preisgestaltung, die die konstante Produktformel des Pools berücksichtigt, bepreist.
Angriffssequenz:
- Großer Swap von token0 zu token1, der den LP-Token-Orakelpreis künstlich in die Höhe trieb
- Überbewertete LP-Token als Sicherheiten hinterlegen
- Maximale Vermögenswerte gegen den überbewerteten Sicherheitenwert ausleihen
- Umgekehrter Swap, der den LP-Preis drückt und das Protokoll mit schlechten Schulden zurücklässt
Preismanipulation ist ein Muster, das wir immer wieder sehen, und es ist ein Muster, gegen das Assertions gut schützen.
In diesem Beispiel experimentieren wir mit einem neuen Cheatcode, der die Inspektion von Aufrufen im Callstack ermöglicht, was ideal ist, um Preismanipulationen innerhalb von Transaktionen zu erkennen.
Wir überprüfen, dass ein "Swap"-Aufruf nicht dazu führen kann, dass der Preis während der Ausführung der Transaktion zu irgendeinem Zeitpunkt um mehr als 5 % vom Basiswert abweicht. Es ist eine einfache, aber leistungsstarke Möglichkeit, sich beispielsweise gegen Flash-Loan-Angriffe zu schützen.
2,43K
Das beste Beispiel dafür, den Hack zu fangen, anstatt den Angriffsvektor zu überwachen.
Beobachte genau.
31. Juli 2025
Es ist Zeit, ein kurzes Video zu teilen, das zeigt, wie ein schlecht geschriebener Smart Contract mit offensichtlichen Fehlern vor Exploits durch Assertions geschützt werden kann.
Der Fehler ermöglicht es jedem, den Smart Contract zu leeren, indem er withdraw mit genau 69 ETH als Eingabe aufruft.
Die Assertion hat eine Vielzahl von Überprüfungen, um sicherzustellen, dass nur Konten, die Einzahlungen getätigt haben, Beträge abheben können, die ihren ursprünglichen Einzahlungen entsprechen. Sie deckt sogar Re-Entry- und Intra-Tx-Manipulationen ab.
Das alles ist live in unserem Demonet. Melde dich, wenn du es ausprobieren möchtest!
Also ja, es ist ziemlich cool!
240
Die Behauptungen werden vom Netzwerk selbst durchgesetzt.
Nicht von einem Überwachungsdienst, der ausfallen könnte.
Nicht von einem Dashboard, das etwas übersehen könnte.
Nicht von einem KI-Modell, das falsch raten könnte.
Durch denselben Konsensmechanismus, der jede Transaktion validiert. Dieselben Validatoren, die Milliarden an Werten sichern. Dasselbe Netzwerk, das noch nie erfolgreich angegriffen wurde.
Wenn Ihre Behauptung sagt: "Diese Invarianz muss gelten", setzt das Netzwerk sie durch. Punkt.
Wenn eine Transaktion Ihr Sicherheitsmerkmal verletzen würde, erhält sie keine Warnung. Sie wird nicht zur Überprüfung markiert.
Sie wird nicht ausgeführt.
Das Netzwerk selbst *ist* Ihre Sicherheitslage.
258
Top
Ranking
Favoriten