Vectores de ataque en contratos inteligentes

El objetivo de este repositorio es recopilar todas las posibles vulnerabilidades de contratos inteligentes y recursos para aprender sobre ellas.

No dudes en enviar un pull request con cualquier cosa, desde pequeños arreglos hasta documentación o herramientas que quieras añadir.

Lista de vulnerabilidades de seguridad

• Control de acceso
  • Autenticación con tx.origin
  • Visibilidad por defecto
  • Verificación de firmas
  • Retiro de Ether sin protección
  • Instrucción SELFDESTRUCT sin protección
  • Modificador omitido
  • Nombres de modificadores incorrectos
  • Roles con privilegios excesivos
• Comprobación de existencia de cuenta para llamadas de bajo nivel
• Saltos arbitrarios con variables de función
• Violación de assert
• Evasión de la comprobación del tamaño del contrato
• Código sin efectos
• Modificadores complejos
• DoS
  • Reversión inesperada
  • Límite de gas por bloque
  • Llamadas externas sin estipendios de gas
• Bits de orden superior sucios
• Ilusión de entropía / Aleatoriedad insegura
• Características experimentales del lenguaje
• Referencia a contratos externos
• Ataques de préstamos flash
• Aritmética de punto flotante
• Ataques al frontend (off-chain)_Attacks.md>)
  • Ataque de dirección corta_Attacks.md/>)
• Alimentación forzada
• Abuso del selector de funciones
• Griefing
• Ocultamiento de código malicioso
• Ataques históricos
  • Nombres de constructores
  • Ataque de profundidad de llamada
  • Bug del codificador ABI v2 de Solidity
• Eliminación incorrecta de arrays
• Interfaz incorrecta
• Ataques de gas insuficiente
• Aritmética de enteros
• Bucles a través de arrays largos
• Llamada a mensaje con cantidad de gas fija
• Ataques de mineros
  • Ordenación de transacciones / Frontrunning
  • Manipulación de marcas de tiempo
• Propietario fuera de línea
• Manipulación de oráculos
• Compilador desactualizado
• Multicall pagable