Topic: DeFi - "Атаки" и Безопасность - page 18. (Read 10909 times)

Школьник признался в мошенничестве и краже 88 ETH

Проект Creature Toadz пострадал от действий 17 летнего школьника из США, который использовал сервер Discord, где обманом выманил у участников 88 ETH на сумму в $340 000. Хакер представился модератором, дал ссылку на WEB-ресурс, по которой можно чеканить Creature Toadz.
Доверчивому сообществу понадобилось меньше часа, чтобы ему перевести 88 ETH. Меньше часа. 88 ETH. Карл! Репутация команды Creature Toadz пострадала еще до запуска платформы из-за юного киберпреступника.
Личность хакера была быстро идентифицирована аналитиком под ником «OKHotshot» в ходе обсуждения взлома в Twitter. Грабителем оказался человек с ником HEERR.
После того, как OKHotshot пригрозил раскрыть личность вымогателя и подать заявление в правоохранительные органы, HEERR согласился вернуть все украденные монеты, заяви: «Это была просто шутка». Эфир был возвращен на кошельки Creature Toadz, команда пока не обратилась с обвинением в полицию.
источник: https://t.me/incrypted/11253

Я вот не могу понять зачем люди вкидывают во всякую неизвестную ерунду такие деньги, которые с легкостью уводят хакеры.

Апдейт: команда DeFi-проекта Indexed Finance утверждает, что вычислила злоумышленника, который вывел из протокола активы приблизительно на $16 млн.

Предполагаемый взломщик написал, что использовал возможности арбитража. Он также сообщил, что некто скопировал его атаку на индексный токен FFF и вывел из пула активы на $5 млн, полагавшиеся ему.
https://forklog.com/?p=153175

Меня тоже умиляет как малолетки, не усвоившие закон - "не твои ключи- не твои деньги" - надеются и ждут кого-то, кто их защитит и спасет от потери. Тут грех не постебаться.

В истории Indexed Finance появилось продолжение.
Они вроде нашли хакера, а хакер над ними смеется в твиттере.
https://twitter.com/ZetaZeroes

пост на английском
https://bitcointalksearch.org/topic/defi-hacks-history-5267124

Почему не нужно брать на работу идиотов или как из за одного твита потерять 90кк баксов капы проекта.

Руководства по цифровому маркетингу полны предостерегающих историй об оплошностях в социальных сетях, которые привели к самоубийству бренда. Все, что нужно, - это бесчувственный твит от стажера по маркетингу, чтобы оставить корпорацию в упадке, а ее акции - в упадке. Оказывается, мир криптовалюты не так уж и отличается. После отправки и поспешного удаления ошибочного твита рыночная капитализация Waltonchain резко упала на 90 миллионов долларов.

В отличие от поддельных раздач, предлагаемых похожими аккаунтами Twitter каждый божий день, Waltonchain фактически раздавал криптовалюту - 2,14 WTC 100 случайным победителям в рамках кампании ко Дню Святого Валентина. Любой, кто изучал криптографию, знает, что подлинной случайности трудно достичь. Есть целые учебники, посвященные искусству случайного генерирования чисел непредсказуемым образом. Каким-то образом, похоже, один из счастливых победителей Waltonchain оказался сотрудником Waltonchain. Инцидент остался бы незамеченным, если бы сотрудник тогда не написал в Твиттере о своем восторге от победы - из официального аккаунта Waltonchain.


Твит был поспешно удален, но не раньше, чем он был замечен и распространен по всему Твиттеру. По итогу WTC начал лететь в пропасть потеряв 90 миллионов долларов за следующие 24 часа. Это падение не нанесло прямого вреда компании, но явилось четким показателем того, как сообщество относится к обману. Опозорившись, Waltonchain был вынужден опубликовать официальный ответ на «недавний инцидент в Твиттере», объяснив, что «член команды Waltonchain был среди победителей и взволнованно написал в Твиттере, используя неправильный профиль». Суть этого объяснения, вероятно, верна, но оправдание неискренне потому как ни один сотрудник Waltonchain, уже имеющий мешок WTC, не почувствовал бы себя охваченным волнением от того, что получил WTC на 50 долларов.


https://news.bitcoin.com/single-tweet-wiped-90-million-off-waltonchains-market-cap/
Новость увидел в одном из чатов в телеге.

Из Indexed Finance вывели токенов на $15.8М
845K CRV, 7500 AAVE, 6462 COMP, 516 MKR +ещё SNX, LINK, YFI, UMA

https://etherscan.io/tx/0xbde4521c5ac08d0033019993b0e7e1d29b1457e80e7743d318a3c27649ca4417
https://etherscan.io/tx/0x44aad3b853866468161735496a5d9cc961ce5aa872924c5d78673076b1cd95aa

Indexed Finance сообщает, что пытается договориться с хакером, но тот уже делает апрувы на торговлю украденными токенами.

Проект Saturn запустился на MoonPad, при помощи MoonSwap. Сатурны собрали бабло и рагпульнулись.

MoonSwap дал им 24 часа, чтобы вернуть деньги. Комьюнити объединилось против скамеров и готово следить за средствами, а может и не только следить...
источник: https://t.me/moni_talks_ru/1216
В треде пишут о личных потерях в размере 20к$, 15к$...

Поймали инсайдеров из Divergence Ventures за фармингом аирдропа

Как заработать 702 эфира за размещение в протокол всего по 0,148 ETH с большого количества кошельков?
В твиттере разгораются нешуточные страсти по аирдропу проекта Ribbon.

Один из инвесторов - Divergence Ventures - проявили смекалку и заабьюзили систему, положив с большого количества кошельков по 0,148 эфира и получив взамен - 15 423 токена Ribbon (ценой $60-70к) на каждый кошелек.

Депозит копеек в контракт Ribbon
https://etherscan.io/tx/0x9260158d2822fdf1f05a3b0ebc931103020a7e4f7f05e7dc6945c21589b3b7bb

Клейминг токенов
https://etherscan.io/tx/0xd19f808f330baa1c758281eb95d510f71c5e5fe6cd31029da53ed1d54d6d5d62

Повторить так 40 раз.
Когда их поймали, полились извинения и оправдания, какие они молодцы и как так случайно вышло, что их поймали.
И пожаловались на то, что чек был всего 25 тыщ и как они просят сообщество «понять и простить».

Твиттер-тред с извинениями: https://twitter.com/divdotvc/status/1446522545503563777

Что ждем от Divergence Ventures:

выводов, теперь они не будут палиться и использовать кошельки, пополненные с Торнадо Кэш.

Пойманные инсайдеры отправили 702 ETH в сокровищницу Ribbon.

https://twitter.com/divdotvc/status/1446527054883655683

источник: https://t.me/Defiscamcheck/2156

так вы впрямь в точку попали, именно так и есть. впрочем так же как и вы скорее всего. да толькоя начал участвоватт в дефи проектах с начала года, и потерял на них где то около 2к$. моя конечно ошибка, плохо мониторил, за что и поплатился. проекты выглядели ра первый взгляд хорошими, но в итоге в основном потом rug.

очень познавательной, я лично даже не слышала о таком способе. нужно попробовать, а тоже потеряла не много кровных.

Очень сильно помогает обезопасить себя в DEFI - делание так называемое revoke! Я делаю на сайте debank.com (в разделе profile - approval), сейчас это самый лучший сайт, лучше не видел.
Данное действие - убирание разрешения на трату средств поможет хотя бы обезопасить ту криптовалюту, которая лежит у вас на кошельке!
Не забываем делать revoke! 

Такие вещи надо рассматривать, как общественный аудит безопасности. 

Я вот смотрю, что с появлением криптовалют, многие сервисы и ПО начали нормально так взламываться и это заставляет разработчиков, шевелится и улучшать свой продукт, а не сидеть ровно и грести бабло.

У них там какой-то баг с time-locked в смарт контракте и существует мнение, что он потенциально в состоянии привести к  дополнительным потерям COMP, которые оцениваются в 65 миллионов долларов. Похоже что  смарт контракты, которые определяют политику распределена вознаграждения являются самыми сложными, если там найдено столько ошибок.

сомневаюсь, что в нынешнее время он добьется того что кто-то вернёт ему эти деньги. хотя и 10% тоже не плохо в качестве вознаграждения, может часть благо разумных и вернет.

Смарт-контракт Compound был взломан

Злоумышленник смог воспользовался ошибкой в контракте Compound Comptroller, который является частью протокола, распределяющий вознаграждения за фарминг среди пользователей.

В результате было выведено 202 472 COMP (около $66M на данный момент).
https://twitter.com/bantg/status/1444681295976620036
источник: https://t.me/Crypto_SerJo/70

Да, очень неоднозначное заявление.

Не понятно как связаны эти вещи - возврат неосновательного обогащения в виде излишне полученных токенов и признание их получения налогооблагаемым доходом.

Первое это вопрос гражданского права, второе - вопрос налогового администрирования.

CEO Compound какой-то малограмотный, сам себя под уголовную статью подводит. Обещает помочь пользователям уйти от уплаты налогов, если они выполнят определенные действия (которые относятся к гражданско-правовым отношениям между компанией Compound и физическими лицами).

Уклонение от уплаты налогов это во всех странах серьезное преступление, а тут еще совершенное группой лиц по предварительному сговору.

По хорошему незаконно полученное нужно возвращать, но учитывая CEO неадеквата, вероятно многие предпочтут послать его подальше и не связываться с неадекватом. Такой и себя утопит, и других заодно.

Многие проекты имеют ошибки в коде, не только дефи. Собственно говоря, поэтому некоторые разработчики и делают баг-баунти. Проблема в том, что хакерам явно интереснее своровать несколько миллионов баксов, а не получать пару десятков тысяч баксов за нахождение критических уязвимостей в коде.

CEO Compound умоляет пользователям вернуть деньги

CEO Compound Роберт Лешнер начал угрожать сообществу налоговой службой, если пользователи не вернут средства обратно на указанный кошелек, но разрешил оставить 10% суммы.
«Оставьте 10% в качестве вознаграждения. В противном случае это будет отражено как доход в налоговом управлении, и большинство из вас будут оштрафованы», — заявил CEO Compound.

источник: https://t.me/incrypted/11024

Обновление протокола Compound содержало ошибку, из-за которой пользователи смогли потребовать большое количество токенов COMP в качестве вознаграждения.

Ошибка позволила некоторым пользователям потребовать уже около 168000 токенов COMP на сумму около 50 миллионов долларов.

https://www.theblockcrypto.com/linked/119086/compound-bug-comp-risk-misreward?utm_source=cryptopanic&utm_medium=rss

UPD. на. русском хорошо расписал дефискамчек - https://t.me/Defiscamcheck/2137