Эксплойт смарт-контракта использует ошибку в коде, экономической модели, правах доступа или внешней зависимости, чтобы получить непредусмотренный результат — часто вывести или заморозить активы. От обычной кражи ключа он отличается тем, что атакующий может применять действующие правила контракта в неожиданной последовательности.
Начните с модели риска#
К распространённым классам относятся ошибки контроля доступа, манипуляции ценовым оракулом, повторный вход, ошибки учёта, небезопасные обновления и компрометация ключей администратора. Видимая потеря может быть лишь финальным этапом более длинного сбоя зависимостей.
Финальный критерий оценки#
Пользователю важно оценить сдерживание и полномочия: может ли протокол приостановиться, обновиться или вернуть активы и кто управляет этими возможностями. Одни и те же полномочия способны как уменьшить, так и создать риск.
Порядок действий#
- Определите затронутый контракт и развёрнутую версию. От этого зависит актив, набор полномочий и применимая модель риска, поэтому устраните неоднозначность до следующего шага.
- Прекратите взаимодействия и отзовите связанные разрешения, если это рекомендуют проверенные источники. Используйте доверенный интерфейс и затем подтвердите отзыв в блокчейне.
- Уточните, затронуты ли фронтенд, сам контракт или ключ администратора. Сверяйте точные домены, адреса и сеть с независимым официальным источником.
- Следите за официальными сообщениями об инциденте и сохраняйте данные транзакций. Оставьте исходные даты, идентификаторы и неизменённые записи для воспроизводимого расследования.
- Не доверяйте неожиданным ссылкам на компенсацию или возврат. Проверяйте сообщение через официальные каналы до подписи или перевода.
Где чаще всего ошибаются#
- Предполагают, что аудит охватил все зависимости. Отчёт имеет конкретную область, версию и дату и не гарантирует безопасность внешних компонентов.
- Вносят депозит во время нерешённого инцидента ради повышенной доходности. Дополнительная прибыль не компенсирует неизвестный риск потери всей суммы.
- Подписывают «экстренную миграцию» из комментария в соцсети. Оформление легко скопировать; откройте инструкцию через проверенный канал проекта.
- Путают рыночный убыток с эксплуатацией кода. Сначала установите техническую причину по транзакциям и официальному анализу.
Правильный результат — не просто выполненная операция, а состояние, которое можно независимо проверить и восстановить при отказе сопутствующего сервиса.
Как подтвердить результат#
Не судите об исходе только по сообщению интерфейса. Используйте данные, доступные для проверки после закрытия страницы.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Определить контракт и версию | Адрес и сеть совпадают с официальной документацией | Аудит считают покрытием всех зависимостей |
| Приостановить действия и отозвать разрешения | Хеш отзыва и состояние разрешения в обозревателе | Предлагается внести депозит во время инцидента |
| Установить затронутый компонент | Официальное уведомление с точными адресами | «Миграция» доступна только по ссылке из комментария |
Сохраняйте хеши транзакций, официальные номера обращений и датированные скриншоты, но исключайте сид-фразы, приватные ключи и коды аутентификации.
Часто задаваемые вопросы#
Можно ли исправить эксплуатируемый контракт?
Обновляемую систему можно изменить, а неизменяемому развёртыванию может потребоваться миграция. Возможность возврата зависит от архитектуры и сохранившихся полномочий.
Открытый исходный код предотвращает эксплойты?
Нет. Он облегчает проверку, но не гарантирует обнаружение каждой ошибки или экономического взаимодействия.
Нужно ли отзывать разрешения после эксплойта?
Если затронутый spender способен ими воспользоваться, отзыв уменьшает будущий риск. Проверьте сеть и официальные рекомендации.
Связанные руководства#
Источники#
Предупреждение о риске: Операции с криптовалютой могут быть необратимыми. Никому не передавайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
