Vecteurs d'attaque des contrats intelligents

L'objectif de ce dépôt est de compiler toutes les vulnérabilités possibles des contrats intelligents et les ressources pour les apprendre.

N'hésitez pas à soumettre une pull request, que ce soit pour de petites corrections, de la documentation ou des outils que vous souhaitez ajouter.

Liste des vulnérabilités de sécurité

• Contrôle d'accès
  • Authentification avec tx.origin
  • Visibilité par défaut
  • Vérification de signature
  • Retrait d'Ether non protégé
  • Instruction SELFDESTRUCT non protégée
  • Modificateur oublié
  • Noms de modificateurs incorrects
  • Rôles surpuissants
• Vérification de l'existence du compte pour les appels de bas niveau
• Sauts arbitraires avec des variables de fonction
• Violation d'assertion
• Contournement de la vérification de la taille du contrat
• Code sans effets
• Modificateurs complexes
• Déni de service
  • Revert inattendu
  • Limite de gaz du bloc
  • Appels externes sans allocation de gaz
• Bits d'ordre supérieur non nettoyés
• Illusion d'entropie / Aléa non sécurisé
• Fonctionnalités expérimentales du langage
• Référencement de contrat externe
• Attaques par prêt éclair
• Arithmétique à virgule flottante
• Attaques frontend (hors chaîne)_Attacks.md>)
  • Attaque par adresse courte_Attacks.md/>)
• Dépôt forcé
• Abus de sélecteur de fonction
• Griefing
• Masquage de code malveillant
• Attaques historiques
  • Noms de constructeurs
  • Attaque par profondeur d'appel
  • Bug de l'encodeur ABI v2 de Solidity
• Suppression incorrecte de tableau
• Interface incorrecte
• Attaques par gaz insuffisant
• Arithmétique des entiers
• Boucles sur de longs tableaux
• Appel de message avec un montant de gaz codé en dur
• Attaques des mineurs
  • Ordre des transactions / Frontrunning
  • Manipulation de l'horodatage
• Propriétaire hors ligne
• Manipulation d'oracle
• Compilateur obsolète
• Multicall payable