Метка: Безопасность

Почему атаки с помощью мгновенных кредитов станут нормой

Эта статья сделана в партнерстве с DragonFly Research и является переводом материала Flash Loans: Why Flash Attacks will be the New Normal за авторством Haseeb Qureshi.

Мгновенные кредиты (flash loans) в последнее время в центре внимания. Недавно с их помощью хакеры атаковали протокол маржинальной торговли bZx. В результате двух похожих атак они похитили сначала 350 тысяч, а затем более 600 тысяч долларов.

Эти атаки поражают воображение. В каждой из них злоумышленник, не имея ни цента, мгновенно занял эфиров на сотни тысяч долларов, пропустил их через ряд уязвимых ончейн-протоколов, присвоил активов на сотни тысяч долларов и сразу же вернул свои огромные кредиты. Всё это произошло мгновенно – в одной эфириум-транзакции.

Cover art by Carmine Infantino

Мы не знаем, кто и откуда провел эти атаки. Злоумышленники практически без начального капитала скрылись с сотнями тысяч долларов. Следов, которые могли бы позволить их идентифицировать, они не оставили.

После этих атак я много думал о технологии мгновенных кредитов и её последствиях для безопасности DeFi и решил, что об этом вполне стоит порассуждать публично.

Вкратце: я считаю, что мгновенные кредиты никуда не денутся, хотя они представляют значительную угрозу. Поэтому мы должны тщательно учитывать их влияние на будущую безопасность DeFi.

Читать дальше

ББ-125: Роман Сторм, Роман Семенов и Алексей Перцев (Tornado.Cash) о анонимности блокчейн-транзакций


Tornado Cash – самое известное (и уже работающее) решение для анонимизации платежей на блокчейне Ethereum. Мы пригласили в гости его создателей Романа Сторма, Романа Семенова и Алексея Перцева и обсудили безопасность подобных продуктов, их устройство и разницу в подходах для разных блокчейнов.

  • 1:30 Благодарим наших патронов и спонсоров: Solana, HodlHodl и Zerion!
  • 4:11 Как гости попали в команду Tornado Cash?
  • 7:21 Что такое миксер?
  • 12:59 Насколько эффективны миксеры на Bitcoin?
  • 14:46 Можно ли сделать на Ethereum эффективный миксер без использования Zero Knowledge?
  • 17:20 Актуальна ли для Ethereum проблема «грязных» монет из миксеров?
  • 22:38 Как работает Tornado Cash?
  • 26:58 А может ли эта система скейлиться?
  • 29:30 Как работает SNARK?
  • 33:53 Почему именно SNARK, а не STARK например?
  • 35:05 Что такое и зачем нужен Trusted Setup?
  • 41:25 Почему не использовать Trusted Setup от ZCash?
  • 44:13 Сколько поучаствовало людей?
  • 46:22 Кто такие релееры?
  • 50:36 Обновляемы ли контракты Tornado Cash?
  • 54:46 Не является ли фронтенд точкой централизации?
  • 56:20 Кого конкретно в себя включает анонимити сет и как его увеличить?
  • 1:01:11 Какие правила безопасности необходимо соблюдать при использовании Tornado Cash?
  • 1:03:01 Как обеспечить сетевую безопасность, если метамаск посылает все запросы на инфуру?
  • 1:04:23 Можно ли пользоваться Tornado.cash через Tor?
  • 1:08:30 Какие еще есть решения для приватности в крипте?
  • 1:12:38 Гранты и проблемы с монетизацией Tornado Cash.
  • 1:18:24 Ближайшие планы.

Ссылки:

Спасибо нашим спонсорам:

  • Подкаст выходит при поддержке Zerion – понятного интерфейса к DeFi-протоколам. 
  • Подкаст выходит при поддержке HodlHodl – площадки для покупки и продажи биткоинов без верификации. Зарегистрируйтесь и получите скидку на комиссию!
  • Подкаст выходит при поддержке Solana – быстрого блокчейна без шардинга. Подробности на solana.com и в телеграме @solanarus.

    Поддержите подкаст!
  • Bitcoin: bc1qec856uhwuguhnn28r54tlkrh3dh95ctajvpjaf
  • Patreon: https://www.patreon.com/basicblockradio/overview

https://basicblockradio.com/

РАСШИФРОВКА ВЫПУСКА

ББ-119b: Конференция CryptoEconSys: стейкинг и гипербартер

Разбираем еще три доклада с Cryptoeconomic Systems 2020: про конкуренцию между стейкингом и лендингом, про конец денег и гипербартер и про многоступенчатые атаки 51%.

Бонусный выпуск специально для патронов ББ:

https://www.patreon.com/posts/36327490

Поддержите подкаст и получите доступ к эксклюзивным материалам!

ББ-113: Андрей Бородёнков и Кирилл Поляков (ДИТ) о блокчейне в Москве и электронном голосовании

Андрей Бородёнков и Кирилл Поляков разрабатывают блокчейн-проекты в Департаменте информационных технологий (ДИТ) Москвы. Обсуждаем, зачем госорганам блокчейн, и подробно разбираем нашумевшую систему электронного голосования, использовавшуюся на выборах в Московскую городскую думу в 2019 году.
 
Становитесь патроном и получите ранний доступ к свежим выпускам ББ!
  • 01:30 берегитесь вируса, мойте руки
  • 02:00 новый спонсор — Hodl Hodl! Спасибо!
  • 02:52 как гости пришли в блокчейн и в ДИТ
  • 07:37 зачем нужны закрытые блокчейны?
  • 14:41 блокчейн-проекты правительства Москвы
  • 16:45 «Активный гражданин»: кто формулирует вопросы?
  • 18:50 фермерам раздают места на ярмарках через блокчейн!
  • 27:30 контекст: голосование в Московскую думу (ББ-088)
  • 29:00 зачем нужно электронное голосование?
  • 33:35 международный опыт: Эстония
  • 35:45 выборы слишком рискованный проект для экспериментов?
  • 37:20 как понять, что экперимент удачный?
  • 40:40 было ли техническое задание?
  • 42:25 проект реализовывали 10 команд!
  • 46:48 были ли в команде криптографы?
  • 49:30 bug bounty за 2 млн рублей
  • 51:22 криптограф Пьеррик Годри и короткий ключ шифрования
  • 54:25 зачем вообще шифровать он-чейн? архитектура процесса
  • голосования
  • 58:30 подсчитывались ли голоса на блокчейне?
  • 1:01:10 была ли анонимизация голосов?
  • 1:06:30 кто контролирует узлы блокчейна? были ли ноды
  • наблюдатели?
  • 1:10:35 проверить свой голос тоже нельзя 🙁
  • 1:15:50 недостатки репозитория на Github
  • 1:21:00 ситуация в округе 30: система была недоступна почти 4 часа?
  • 1:26:06 результаты по округу 30 нужно отменить?
  • 1:30:40 эксперимент признан удачным! где будет использоваться дальше?
  • 1:32:30 применение на голосовании по Конституции?
Ссылки:
Подкаст выходит при поддержке HodlHodl. HodlHodl – самый быстрый, безопасный и дешевый способ купить и продать биткоины без верификации. Зарегистрируйтесь и получите скидку на комиссию!
 
Поддержите подкаст!
ЧИТАТЬ РАСШИФРОВКУ ВЫПУСКА

Почему биржи не прекращают торги монетами после “атаки 51%”?

Оригинал: Ashwin Ramachandran & Haseeb Qureshi (Dragonfly Research)

23 января криптовалюта Bitcoin Gold подверглась “атаке 51%”, в результате чего 72 000 долларов были потрачены дважды. Последствия этой атаки, уже второй для Bitcoin Gold, заставили многих задаться вопросом: почему биржи не прекращают торги Bitcoin Gold и другими криптовалютами на базе proof-of-work, легко подверженными “атаке 51%”?

Читать

ББ-112: Андрей Козлов (Aave) о flash loans

Две атаки на bZx с использованием flash loans активно обсуждались в феврале. Разобраться в теме нам помог Андрей Козлов – разработчик в Aave, DeFi-компании, предлагающей в том числе flash loans. Обсуждаем продукты Aave и подробно разбираем атаки: какие ошибки к ним привели и как хакер ими воспользовался? И был ли это хак, или смарт-контракт отработал, как и должен был?

    • 0:38 — как гость попал в криптоиндустрию
    • 3:43 — о компании Aave
    • 7:38 — продукт компании Aave: протокол для кредитования и депонирования, его особенности и отличие от Maker DAO
    • 20:37 — про Flash Loans: что это, как работает и почему это интересная тема для обсуждения
    • 31:23 — статистика использования Flash Loans; как повлиял форк Эфириума на ивенты в контракте Flash Loans
    • 36:21 — о рисках использования Flash Loans
    • 42:40 — первая атака на bZx с использованием Flash Loans: участники, схема атаки, в чем была проблема
    • 53:17 — маржинальная торговля в блокчейн-системах
    • 57:48 — вторая атака с использованием Flash Loans и при чем тут ораклы
    • 1:16:23 — особенности атак на финансовые протоколы в блокчейн-системах
    • 1:25:30 — роль майнеров и фронтраннинга в Flash Loans
    • 1:31:52 — советы разработчикам финансовых протоколов
    • 1:33:09 — DeFi заново проходит путь традиционных финансовых систем, но есть и отличия

Ссылки:

Поддержите подкаст!

https://basicblockradio.com/

ББ-Бонус! Ричард Столлман (GNU Project, Free Software Movement)

Пожалуй, это самый необычный пост за нашу историю. 

В августе этого года на конференции Web3 Summit 2019 мы повстречали человека, который оказал огромное влияние на систему ценностей любого, кто работает в современном блокчейн-мире. Это был Ричард Столлман, создатель GNU и основатель движения за свободное ПО.

К сожалению, Ричард не говорит по-русски. Но это фигура такого масштаба, что мы все же решили взять у него интервью для наших дорогих слушателей.

Так как убеждения Ричарда отрицают JavaScript, он согласился поговорить с нами только на условии, что это интервью можно будет посмотреть в браузере с отключенным JS. Ни один из известных нам видеохостингов и облачных сервисов такому требованию не удовлетворяет, поэтому мы просто сделали видео доступным для скачивания на нашем сайте basicblockradio.com.

СКАЧАТЬ

Версия, щадящая трафик (240Мб): https://basicblockradio.com/wp-content/uploads/stallman.mp4

HQ-версия (2Гб): https://basicblockradio.com/wp-content/uploads/stallman_hq.mp4

В беседе участвуют:

и присоединяются 
Иван Камакин и Алекс Бохенек (Byzantine solutions).

За камерой: Саша Селезнев

ББ-090: Кирилл Пименов (Parity) о безопасной разработке, Polkadot, Kusama и проблемах governance

Кирилл Пименов — главный по безопасности в Parity. Обсудили безопасность написания кода и хранения ключей, аудиты и responsible disclosure, Polkadot и Kusama, а также роль блокчейнов в развитии социальных и политических систем.

  • 00:10 записываемся из офиса Parity!
  • 00:30 как Кирилл пришел в блокчейн и Parity (майнинг в МГУ в 2010 году!)
  • 01:52 работа в SUSE Linux (разработчики OpenSUSE)
  • 03:04 «выбрал Parity, потому что они в Берлине, а не наоборот»
  • 04:20 рекомендация книги: Imposter’s guide to computer science
  • 05:24 в чём заключается роль Head of security?
  • 07:41 особенности организации безопасности разработки смарт-контрактов (чек-лист)
  • 12:00 качество кода Bitcoin Core
  • 13:43 найм разработчиков в Parity, security mindset и «знать, куда копать»
  • 18:35 процесс аудитов (security review)
  • 24:10 обработка сообщений о багах (responsible disclosure)
  • 32:08 Polkadot — проект Web3 Foundation, Parity имплементирует
  • 36:40 взаимодействие сущностей в Polkadot, гетерогенный шардинг
  • 38:16 валидность переходов: что если взломают один парачейн?
  • 43:10 финальность PoW: угроза атомного квантового суперкомпьютера (на китайской подводной лодке)
  • 49:10 проблема доступности данных и централизации в дата-центрах
  • 54:57 устойчивость биткоина при катастрофической атаке
  • 56:10 состояние проекта Polkadot: релиз сети Kusama
  • 1:00:03 требования к оборудованию для валидации
  • 1:04:35 on-chain governance: консенсус как социальный конструкт
  • 1:08:33 даже wet code лучше существующего государства? Как перевести на русский «I’m into governance» и как в Германии борются с коррупцией
  • 1:20:20 возможны ли блокчейны без единиц ценности?
  • 1:25:45 Parity Ethereum и Parity Bitcoin (и Zebra!)
  • 1:30:25 Banana split: скрипт для разделения ключей
  • 1:41:47 Берлинская блокчейн-неделя и социальные последствия технологического прогресса

Ссылки:

Поддержите подкаст!

Подкаст выходит при поддержке Waves.

basicblockradio.com

ББ-089: Интервью из Берлина II: Parity, NEAR, Fluence, Grin

Вторая серия интервью с участниками Berlin Blockchain Week. Смотрите видеоверсию в плейлисте на нашем YouTube-канале.

  • 00:28 спасибо патронам!
  • 00:50 объявление от нашего спонсора Waves: Альфа-Банк и X5 Retail Group запустили первый в России блокчейн-сервис управления ликвидностью
  • 01:48 Кирилл Пименов (Parity) о лучших практиках безопасности, разделении ключей и организации общества посредством блокчейнов
  • 22:35 Илья Полосухин (NEAR) о тестнетах с мотивацией, game of stakes и консолидации блокчейн-рынка
  • 36:51 Евгений Пономарев (Fluence) о децентрализованных вычислениях
  • 49:26 Иван Сорокин и Hashmap (Grin) об анонимной криптовалюте без формальной организации

Поддержите подкаст!

basicblockradio.com

ББ-088: Электронное голосование и блокчейн-выборы в Москве

Обсуждаем электронное голосование и его имплементацию (на блокчейне!) на выборах в Мосгордуму 8 сентября 2019 года. Полную версию с разбором кода смарт-контрактов смотрите в стриме.

  • 00:00 предисловие: чем всё закончилось
  • 05:29 онлайн-голосование на московских выборах. Что? Да!
  • 06:59 что такое выборы в Мосгордуму
  • 19:10 идея электронных выборов витает в воздухе
  • 10:10 конфликтующие требования: анонимность и прозрачность
  • 14:35 цель системы — усложнить фальсификации (нельзя полностью предотвратить)
  • 17:28 история электронного голосования
  • 19:25 что предлагается у нас? главная проблема выборов в Москве — не в смарт-контрактах
  • 22:30 правильный подход к проектированию электронного голосования
  • 27:30 репозиторий moscow-technologies/blockchain-voting
  • 30:45 репозиторий выглядит как поделка?
  • 33:08 где будут крутиться ноды? Спойлер: на серверах ДИТ
  • 34:11 вопросы identity: ключевая проблема выборов
  • 40:57 как французский ученый сломал московские выборы: о сложности комбинирования криптографических примитивов
  • 46:14 кто такой Сергей Павлин? 😉
  • 47:22 структура репозитория, программа тестирования / bug bounty
  • 49:30 фронтент на PHP: нормально?
  • 52:14 обзор директории smart-contracts, вопрос безопасности зависимостей
  • 57:02 имплементация криптографии на Javascript, шифрование El-Gamal
  • 1:01:21 прекрасные цитаты из документа Мосгоризбиркома
  • 1:23:12 генерация и разделение приватного ключа. аналогии с Banana split и церемонией Zcash
  • 1:08:57 защита анонимности на сетевом уровне: прокси, случайные задержки и прочее
  • 1:09:45 разбор смарт-контрактов (полную версию смотрите в стриме)
  • 1:10:07 а был ли аудит? о важности независимой экспертизы
  • 1:12:40 почему важно разрешать менять голос, и проблема аналоговой дыры
  • 1:16:25 самое главное: расшифровка бюллетеня! можно восстановить, кто как голосовал?
  • 1:20:05 корень проблемы: нет спецификации или ТЗ
  • 1:23:07 причём здесь Ричард Столлман
  • 1:25:58 политические проблемы требуют политических решений
  • 1:29:15 про движ с муниципальными депутатами в Питере (Кац предлагает победить)
  • 1:31:49 поддерживаем технологическую продвинутость государства (но есть и тёмная сторона)
  • 1:38:25 под занавес переслушиваем бессмертный хит Сергея Шнурова

Ссылки:

Поддержите подкаст!

Спонсор подкаста — Waves. Спасибо!

basicblockradio.com