Vectores de ataque en contratos inteligentes

El objetivo de este repositorio es recopilar todas las posibles vulnerabilidades de contratos inteligentes y recursos para aprender sobre ellas.

No dudes en enviar un pull request con cualquier cosa, desde pequeños arreglos hasta documentación o herramientas que quieras añadir.

Lista de vulnerabilidades de seguridad

• Control de acceso
  • Autenticación con tx.origin
  • Visibilidad por defecto
  • Verificación de firmas
  • Retiro de Ether sin protección
  • Instrucción SELFDESTRUCT sin protección
  • Modificador omitido
  • Nombres de modificadores incorrectos
  • Roles con privilegios excesivos
• Comprobación de existencia de cuenta para llamadas de bajo nivel
• Saltos arbitrarios con variables de función
• Violación de assert
• Evasión de la comprobación del tamaño del contrato
• Código sin efectos
• Modificadores complejos
• DoS
  • Reversión inesperada
  • Límite de gas por bloque
  • Llamadas externas sin estipendios de gas
• Bits de orden superior sucios
• Ilusión de entropía / Aleatoriedad insegura
• Características experimentales del lenguaje
• Referencia a contratos externos
• Ataques de préstamos flash
• Aritmética de punto flotante
• Ataques al frontend (off-chain)
  • Ataque de dirección corta
• Alimentación forzada
• Abuso del selector de funciones
• Griefing
• Ocultamiento de código malicioso
• Ataques históricos
  • Nombres de constructores
  • Ataque de profundidad de llamada
  • Bug del codificador ABI v2 de Solidity
• Eliminación incorrecta de arrays
• Interfaz incorrecta
• Ataques de gas insuficiente
• Aritmética de enteros
• Bucles a través de arrays largos
• Llamada a mensaje con cantidad de gas fija
• Ataques de mineros
  • Ordenación de transacciones / Frontrunning
  • Manipulación de marcas de tiempo
• Propietario fuera de línea
• Manipulación de oráculos
• Compilador desactualizado
• Multicall pagable
• Pérdida de precisión en cálculos
• Ilusión de privacidad
• Colisión de almacenamiento del proxy
• Reentrancia
• Carácter de control Right-To-Left-Override (U+202E)
• Ataques sándwich
• Reutilización de firmas
• Llamadas externas sin comprobar
• Punteros de almacenamiento sin inicializar
• Actualizaciones sin protección
• Delegatecalls inseguras
• Variable sin usar
• Uso de funciones obsoletas de Solidity
• Sombreado de variables
• Escrituras en ubicaciones de almacenamiento arbitrarias
• Herencia incorrecta

CTFs

Herramientas de seguridad

Artículos / Documentos para leer

• Hoja de ruta de seguridad en blockchain - https://lnkd.in/gPw7Nf4J

• The Eye of Horus: detección y análisis de ataques a contratos inteligentes de Ethereum - https://lnkd.in/gnzDrXaH

• BLOCKEYE: caza de ataques DeFi en blockchain - https://lnkd.in/gvxmW8Hu

• Detección de anomalías topológicas en redes blockchain multicapa dinámicas - https://lnkd.in/gPG6vrAM

• Verificación del algoritmo Incremental Merkle Tree con Dafny - https://lnkd.in/gfk3YrEd

• GoHammer, herramienta de prueba de rendimiento para blockchain - https://lnkd.in/gHhjWdHj

• EtherClue: investigación digital de ataques a contratos inteligentes de Ethereum - https://lnkd.in/gvuaaKaT

• Análisis de requisitos y evaluaciones de plataformas blockchain según posibles casos de uso - https://lnkd.in/g7G9Rpxj

• Una nota sobre la privacidad en los creadores de mercado de función constante - https://lnkd.in/guEEV7Gm

• Un enfoque para detectar vulnerabilidades de denegación de servicio en contratos inteligentes de Ethereum - https://lnkd.in/gT3C-9fq

• AGSolT: una herramienta para la generación automatizada de casos de prueba para contratos inteligentes en Solidity - https://lnkd.in/gYDvEndF

• Identificación de vulnerabilidades de reentrancia en contratos inteligentes de Ethereum - https://lnkd.in/g6EVMjpg

• Coinbugs: enumeración de vulnerabilidades comunes a nivel de implementación en blockchain - https://lnkd.in/gqTS47JW

• SuMo: una estrategia de pruebas de mutación para contratos inteligentes en Solidity - https://lnkd.in/gm_ut_ev

Otros recursos útiles

• The Auditors Book

• Lista de verificación de auditoría de Solidity de CryptoFin

• Registro SWC

• Lista de referencias de Trail of Bits

Apóyame

Tu apoyo es crucial para ayudarme a seguir haciendo lo que amo: educar a los usuarios de DeFi y criptomonedas.

Si encuentras valor en mi trabajo y quieres apoyar mi trabajo, puedes enviarme una donación a la dirección -

• Dirección de Ethereum/Polygon/BSC/Arbiturm/etc – 0xB8B14B7f0E4dF000f0654aF98498d52e567F2bfE

• Dirección de Solana – 2fM5d1cupj2Mceh1wSYTrq1PSz2JbTbcYipJ4RxRSgMB

• Bitcoin – bc1q5nmjw8x40upjd3k9akpmtj682xa3zus7sr7rm3

• DogeCoin - DPFhZeZkybzLZj3ReJPdWHnDzv1zU5pugA

• LiteCoin - ltc1qzs3tj276zdjtuv5qy7aww3cc3frus8yvjdukln

• Enlace de referido de Binance

¡Muchísimas gracias a todos y cada uno de ustedes! Su apoyo me permite crear más contenido, mejorar la calidad de mi trabajo y, en última instancia, generar un impacto positivo en la comunidad.

Envíame un mensaje por LinkedIn si tienes dudas o necesitas ayuda -

Linktree

¡Gracias! ¡Cuídate!