Populaire onderwerpen
#
Bonk Eco continues to show strength amid $USELESS rally
#
Pump.fun to raise $1B token sale, traders speculating on airdrop
#
Boop.Fun leading the way with a new launchpad on Solana.
Phylax Systems
App-gedefinieerde beveiliging afgedwongen door netwerken
Phylax Systems heeft opnieuw gepost
Een andere hack waar ik recent naar heb gekeken is Vicuna Finance van maart dit jaar.
Ze hebben $700K verloren door manipulatie van LP-token orakels op de Sonic-keten.
De aanval maakte gebruik van een fundamentele prijsfout die had kunnen worden voorkomen met een eenvoudige assertie.
LP-tokens werden geprijsd met een basis somformule (prijs_token1 * hoeveelheid_token1 + prijs_token0 * hoeveelheid_token0) in plaats van eerlijke prijsstelling die rekening houdt met de constante productformule van de pool.
Aanvalsequentie:
- Grote swap van token0 naar token1 die de LP-token orakelprijs kunstmatig opblies
- Overgewaardeerde LP-tokens als onderpand storten
- Maximale activa lenen tegen de opgeblazen onderpandwaarde
- Omgekeerde swap deflateerde LP-prijs, waardoor het protocol met slechte schulden bleef zitten
Prijsmanipulatie is een patroon dat we keer op keer zien, en het is een patroon waar asserties goed tegen beschermen.
In dit voorbeeld experimenteren we met een nieuwe cheatcode die inspectie van aanroepen in de callstack mogelijk maakt, wat ideaal is voor het detecteren van intra tx prijsmanipulaties.
We controleren dat een "swap"-aanroep niet kan resulteren in een prijsafwijking van meer dan 5% van de basislijn op enig moment tijdens de tx-uitvoering. Het is een eenvoudige, maar krachtige manier om te beschermen tegen bijvoorbeeld flash loan-aanvallen.
2,43K
Het beste voorbeeld van het opvangen van de hack in plaats van het monitoren van de aanvalsvector.
Kijk goed.
31 jul 2025
Het is tijd om een korte video te delen die laat zien hoe een slecht geschreven smart contract met duidelijke bugs kan worden beschermd tegen exploits met behulp van assertions.
De bug stelt iedereen in staat om het smart contract leeg te trekken door withdraw aan te roepen met precies 69 ETH als invoer.
De assertion heeft een verscheidenheid aan controles in plaats, zodat alleen accounts die stortingen hebben gedaan bedragen kunnen opnemen die overeenkomen met hun initiële stortingen. Het dekt zelfs re-entry en intra-tx manipulaties.
Dit is allemaal live op ons demo-netwerk. Neem contact op als je het wilt uitproberen!
Dus ja, het is best cool!
244
Bevestigingen worden afgedwongen door het netwerk zelf.
Niet door een monitoringsdienst die mogelijk uitvalt.
Niet door een dashboard dat iets kan missen.
Niet door een AI-model dat het misschien verkeerd raadt.
Door hetzelfde consensusmechanisme dat elke transactie valideert. Dezelfde validators die miljarden aan waarde beveiligen. Hetzelfde netwerk dat nog nooit succesvol is aangevallen.
Wanneer jouw bevestiging zegt "deze invariant moet gelden," handhaaft het netwerk dit. Punt.
Als een transactie jouw beveiligingseigenschap zou schenden, krijgt het geen waarschuwing. Het wordt niet gemarkeerd voor beoordeling.
Het wordt niet uitgevoerd.
Het netwerk zelf *is* jouw beveiligingslaag.
261
Boven
Positie
Favorieten