Vettori di attacco degli smart contract

L'obiettivo di questo repository è raccogliere tutte le possibili vulnerabilità degli smart contract e le risorse per imparare a conoscerle.

Sentiti libero di inviare una pull request, con qualsiasi cosa, dalle piccole correzioni alla documentazione o agli strumenti che desideri aggiungere.

Elenco delle vulnerabilità di sicurezza

• Controllo degli accessi
  • Autenticazione con tx.origin
  • Visibilità predefinita
  • Verifica della firma
  • Prelievo di Ether non protetto
  • Istruzione SELFDESTRUCT non protetta
  • Modifier mancato
  • Nomi di modifier errati
  • Ruoli con privilegi eccessivi
• Controllo dell'esistenza dell'account per le chiamate di basso livello
• Salti arbitrari con variabili di funzione
• Violazione di assert
• Bypass del controllo sulla dimensione del contratto
• Codice senza effetti
• Modifier complessi
• DoS
  • Revert inaspettato
  • Limite di gas del blocco
  • Chiamate esterne senza stipendi di gas
• Bit di ordine superiore sporchi
• Illusione dell'entropia / Casualità insicura
• Funzionalità sperimentali del linguaggio
• Riferimento a contratti esterni
• Attacchi con flash loan
• Aritmetica in virgola mobile
• Attacchi al frontend (off-chain)_Attacks.md>)
  • Attacco all'indirizzo corto_Attacks.md/>)
• Alimentazione forzata
• Abuso del selettore di funzione
• Griefing
• Nascondere codice dannoso
• Attacchi storici
  • Nomi dei costruttori
  • Attacco alla profondità delle chiamate
  • Bug dell'Abi Encoder v2 di Solidity
• Eliminazione impropria degli array
• Interfaccia errata
• Attacchi per gas insufficiente
• Aritmetica degli interi
• Iterazione su array lunghi
• Chiamata di messaggio con importo di gas hardcoded
• Attacchi dei miner
  • Ordinamento delle transazioni / Frontrunning
  • Manipolazione del timestamp
• Proprietario offline
• Manipolazione dell'oracolo
• Compilatore obsoleto
• Multicall payable