Привет Хабр.
История началась пол года назад, когда ко мне пришел мой старый знакомый художник и предложил создать NFT коллекцию на блокчейне Ethereum. Скажу сразу, я никогда не интересовался криптой и на тот момент понятие не имел, что такое NFT и как они устроены.
В этой статья я не буду рассказывать, что такое NFT и для чего они нужны, вместо этого я сосредоточусь на технической части, т.к. когда я начинал материала было крайне мало и приходилось додумывать некоторые решения самому.
15-16 ноября в Москве проводилась ежегодная кибербитва The Standoff, которая собрала лучшие команды защитников и атакующих. В рамках глобальной конференции по информационной безопасности проводился конкурс на взлом NFT под названием The Standoff Digital Art. Мы пригласили известных цифровых художников для использования их NFT-работ в качестве целей для взлома. Для конкурса мы подготовили смарт-контракт стандарта ERC1155 для нашей коллекции. Владельцем каждой из NFT в коллекции (всего их было 6) был специально подготовленный уязвимый смарт-контракт. При успешной эксплуатации каждого из смарт-контрактов атакующий получал во владение NFT (в тестовой сети). Также за каждый успешный взлом полагался денежный приз. Итак, какие же были уязвимости?
Мы запустили Brave Wallet, криптокошелёк, встроенный в десктопную версию нашего браузера, который позволяет пользователям Brave хранить, управлять, накапливать и обменивать свой криптопортфель. В отличие от других криптокошельков, наш не требует установки расширений: он встроен в браузер, что увеличивает безопасность и уменьшает нагрузку на железо. Пользователи могут совершить транзакции практически с любой криптой, не теряя в безопасности и производительности, а также подключать другие кошельки и приложения веб 3.0. Вскоре кошелёк Brave станет доступен и в наших мобильных приложениях.
15–16 ноября в рамках крупнейшего российского киберполигона пройдет конкурс The Standoff Digital Art, участникам которого предложат взломать цифровые картины современных представителей российского диджитал-арта: Desinfo, Meta Rite, Артём Ткач, volv_victory, Anomalit Kate и Loit.
Каждая картина представлена в виде уникального NFT-токена, который предстоит испытать на прочность исследователям безопасности со всего мира. Чтобы завладеть картиной, им придется найти уязвимости в смарт-контрактах путем анализа исходного кода. Те, кто первыми успешно реализуют атаку, получат ?? ценные призы от компаний Positive Technologies и ГК Innostage.
Конкурс пройдет в онлайн-формате. Присоединяйтесь к трансляции на сайте standoff365.com, чтобы увидеть это.
UPD: разбор заданий с конкурса уже готов! Читайте его здесь.
Часть 2. Возможное решение проблемы монетарного дефицита.
Спойлер: это IOUномика - экономика долговых обязательств.
Здесь часть 1, где ставится проблема денежного дефицита и автор пытается найти ее причины.
О том, как минимизировать юридические риски при разработке смарт-контрактов, расскажу в этом материале.
Смарт-контракты – это программы, которые автоматически инициируют процесс сделки при наступлении определенных условий. С юридической точки зрения они отличаются от стандартных договоров тем, что по условиям сделки возникающие из нее обязательства могут исполняться автоматически без отдельного волеизъявления сторон.
Как работают смарт-контракты
Обязательства участников предоставляются в интеллектуальном контракте в форме «если-то» (например: «если Сторона А переводит средства, тогда Сторона Б автоматически передает права на какой-то объект имущества»). На первый взгляд, все примерно так же, как в обычном договоре купли-продажи. Однако смарт-контракты отличаются полной автономией. Например, некое лицо является обладателем цифрового права на бокс с алмазами, имеющий индивидуальный номер. При покупке в информационной системе сделка с таким объектом будет исполнена автоматически, без дополнительных волеизъявлений сторон – у продавца будет списано цифровое право, а у покупателя деньги, и оспорить это по общему правилу будет нельзя.
Вопросы управления изменениями сами по себе достаточно сложны. Но при обновлении программного обеспечения распределенной систем, узлы которых принадлежат различным зонам ответственности, какими являются большинство блокчейн-систем возникают специфические не интуитивные проблемы, про которые иногда забывают даже опытные разработчики. Эта статья написана в некотором смысле как шпаргалка, что бы самому реже про эти тонкости забывать
Оригинал — Scanning Live Ethereum Contracts for the «Unchecked-Send...»
Программирование смарт-контрактов в Ethereum, как известно, подвержено ошибкам [1] . Недавно мы увидели, что несколько
высококлассных смарт-контрактов, таких как King of the Ether и The DAO-1.0, содержали уязвимости, вызванные ошибками программирования.
Начиная с марта 2015 года программисты смарт-контрактов были предупреждены о конкретных опасностях программирования, которые могут возникнуть, когда контракты отправляют сообщения друг другу [6].
В нескольких руководствах по программированию содержится рекомендация, как избежать распространенных ошибок (в официальных документах Ethereum [3] и в независимом руководстве от UMD [2] ). Хотя эти опасности достаточно понятны, чтобы избегать их, последствия такой ошибки являются ужасными: деньги могут быть заблокированы, потеряны или украдены.
Насколько распространены ошибки, возникающие в результате этих опасностей? Есть ли еще уязвимые, но живые контракты на block-chain Ethereum? В этой статье мы отвечаем на этот вопрос, анализируя контракты на живом block-chain Ethereum с помощью нового инструмента анализа, который мы разработали.
