Векторы атак на смарт-контракты

Цель этого репозитория — собрать все возможные уязвимости смарт-контрактов и ресурсы для их изучения.

Не стесняйтесь отправлять pull request — от небольших исправлений до документации или инструментов, которые вы хотите добавить.

Список уязвимостей безопасности

• Контроль доступа
  • Аутентификация с помощью tx.origin
  • Видимость по умолчанию
  • Проверка подписи
  • Незащищённый вывод Ether
  • Незащищённая инструкция SELFDESTRUCT
  • Пропущенный модификатор
  • Некорректные имена модификаторов
  • Чрезмерно широкие роли
• Проверка существования аккаунта для низкоуровневых вызовов
• Произвольные переходы с функциональными переменными
• Нарушение assert
• Обход проверки размера контракта
• Код без эффектов
• Сложные модификаторы
• DoS
  • Неожиданный откат (revert)
  • Лимит газа блока
  • Внешние вызовы без выделения газа
• Загрязнённые старшие биты
• Иллюзия энтропии / Небезопасная случайность
• Экспериментальные возможности языка
• Ссылки на внешние контракты
• Атаки с использованием flash-кредитов
• Арифметика с плавающей запятой
• Атаки на фронтенд (вне сети)_Attacks.md>)
  • Атака короткого адреса_Attacks.md/>)
• Принудительная отправка средств
• Злоупотребление селектором функции
• Грифинг
• Сокрытие вредоносного кода
• Исторические атаки
  • Имена конструкторов
  • Атака на глубину вызовов
  • Ошибка ABI-кодировщика v2 в Solidity
• Некорректное удаление массива
• Некорректный интерфейс
• Атаки с недостаточным газом
• Целочисленная арифметика
• Цикл по длинным массивам
• Вызов сообщения с жёстко заданным количеством газа
• Атаки майнеров
  • Упорядочивание транзакций / Фронтраннинг
  • Манипулирование временной меткой
• Офлайн-владелец
• Манипулирование оракулом
• Устаревший компилятор
• Платежный мультивызов
• Потеря точности в вычислениях