Vettori di attacco degli smart contract

L'obiettivo di questo repository è raccogliere tutte le possibili vulnerabilità degli smart contract e le risorse per imparare a conoscerle.

Sentiti libero di inviare una pull request, con qualsiasi cosa, dalle piccole correzioni alla documentazione o agli strumenti che desideri aggiungere.

Elenco delle vulnerabilità di sicurezza

• Controllo degli accessi
  • Autenticazione con tx.origin
  • Visibilità predefinita
  • Verifica della firma
  • Prelievo di Ether non protetto
  • Istruzione SELFDESTRUCT non protetta
  • Modifier mancato
  • Nomi di modifier errati
  • Ruoli con privilegi eccessivi
• Controllo dell'esistenza dell'account per le chiamate di basso livello
• Salti arbitrari con variabili di funzione
• Violazione di assert
• Bypass del controllo sulla dimensione del contratto
• Codice senza effetti
• Modifier complessi
• DoS
  • Revert inaspettato
  • Limite di gas del blocco
  • Chiamate esterne senza stipendi di gas
• Bit di ordine superiore sporchi
• Illusione dell'entropia / Casualità insicura
• Funzionalità sperimentali del linguaggio
• Riferimento a contratti esterni
• Attacchi con flash loan
• Aritmetica in virgola mobile
• Attacchi al frontend (off-chain)
  • Attacco all'indirizzo corto
• Alimentazione forzata
• Abuso del selettore di funzione
• Griefing
• Nascondere codice dannoso
• Attacchi storici
  • Nomi dei costruttori
  • Attacco alla profondità delle chiamate
  • Bug dell'Abi Encoder v2 di Solidity
• Eliminazione impropria degli array
• Interfaccia errata
• Attacchi per gas insufficiente
• Aritmetica degli interi
• Iterazione su array lunghi
• Chiamata di messaggio con importo di gas hardcoded
• Attacchi dei miner
  • Ordinamento delle transazioni / Frontrunning
  • Manipolazione del timestamp
• Proprietario offline
• Manipolazione dell'oracolo
• Compilatore obsoleto
• Multicall payable
• Perdita di precisione nei calcoli
• Illusione della privacy
• Collisione dello storage del proxy
• Rientranza
• Carattere di controllo Right-To-Left-Override (U+202E)
• Attacchi sandwich
• Replay della firma
• Chiamate esterne non controllate
• Puntatori allo storage non inizializzati
• Aggiornamenti non protetti
• Delegatecall non sicuri
• Variabile inutilizzata
• Uso di funzioni Solidity deprecate
• Shadowing delle variabili
• Scritture in posizioni di storage arbitrarie
• Ereditarietà errata

CTFs

Strumenti di sicurezza

Articoli / Documenti da leggere

• Roadmap per la sicurezza blockchain - https://lnkd.in/gPw7Nf4J

• The Eye of Horus: individuare e analizzare gli attacchi agli smart contract di Ethereum - https://lnkd.in/gnzDrXaH

• BLOCKEYE - Alla ricerca di attacchi DeFi sulla blockchain - https://lnkd.in/gvxmW8Hu

• Rilevamento topologico di anomalie in reti blockchain dinamiche multistrato - https://lnkd.in/gPG6vrAM

• Verifica dell'algoritmo dell'albero di Merkle incrementale con Dafny - https://lnkd.in/gfk3YrEd

• GoHammer: strumento di test delle prestazioni della blockchain - https://lnkd.in/gHhjWdHj

• EtherClue: indagine digitale sugli attacchi agli smart contract di Ethereum - https://lnkd.in/gvuaaKaT

• Analisi dei requisiti e valutazioni delle piattaforme blockchain per possibili casi d'uso - https://lnkd.in/g7G9Rpxj

• Una nota sulla privacy nei market maker a funzione costante - https://lnkd.in/guEEV7Gm

• Un approccio per rilevare la vulnerabilità Denial of Service negli smart contract di Ethereum - https://lnkd.in/gT3C-9fq

• AGSolT: uno strumento per la generazione automatica di casi di test per smart contract Solidity - https://lnkd.in/gYDvEndF

• Identificazione della vulnerabilità di rientranza negli smart contract di Ethereum - https://lnkd.in/g6EVMjpg

• Coinbugs: enumerazione delle vulnerabilità comuni a livello di implementazione della blockchain - https://lnkd.in/gqTS47JW

• SuMo: una strategia di mutation testing per smart contract Solidity - https://lnkd.in/gm_ut_ev

• Un framework e un dataset per i bug negli smart contract di Ethereum -

Altre risorse utili

• The Auditors Book

• CryptoFin Solidity Auditing Checklist

• Registro SWC

• Elenco di riferimenti di Trail of Bits

Sostienimi

Il tuo supporto è fondamentale per aiutarmi a continuare a fare ciò che amo: educare gli utenti DeFi e Crypto.

Se trovi valore nel mio lavoro e vuoi sostenermi, puoi inviarmi una donazione a questo indirizzo:

• Indirizzo Ethereum/Polygon/BSC/Arbiturm/ecc. – 0xB8B14B7f0E4dF000f0654aF98498d52e567F2bfE

• Indirizzo Solana – 2fM5d1cupj2Mceh1wSYTrq1PSz2JbTbcYipJ4RxRSgMB

• Bitcoin – bc1q5nmjw8x40upjd3k9akpmtj682xa3zus7sr7rm3

• DogeCoin - DPFhZeZkybzLZj3ReJPdWHnDzv1zU5pugA

• LiteCoin - ltc1qzs3tj276zdjtuv5qy7aww3cc3frus8yvjdukln

• Link di riferimento Binance

Grazie infinite a ciascuno di voi! Il vostro supporto mi permette di creare più contenuti, migliorare la qualità del mio lavoro e, in definitiva, avere un impatto positivo sulla community.

Scrivimi un messaggio su LinkedIn se hai dubbi o hai bisogno di aiuto:

Linktree

Grazie! Stai al sicuro!