Cada gran ataque dejó una o dos líneas de código que hoy se pueden leer. Este recurso reúne los mayores incidentes registrados: la ruta de ataque paso a paso, la función que estaba abierta, la corrección y los enlaces a los informes posteriores.
Esto no es una lista de noticias. Cada incidente está desmontado hasta llegar a una lección que puede aplicar a su propio código.
Desde el primer paso hasta la salida del dinero: qué llamó el atacante, en qué orden y por qué funcionó exactamente ese orden.
La función tal como estaba en el momento del incidente. Lee el fallo con sus propios ojos, no la descripción que alguien hizo de él.
Qué cambió después del incidente y cuál era el patrón seguro que lo habría impedido desde el principio.
Cada incidente está enlazado con su clase de vulnerabilidad y con las entradas de esa misma clase en nuestra base de datos.
Enlaces a los informes originales posteriores al incidente y a análisis de seguridad independientes. Cada cifra puede verificarla usted.
Filtre por año, por red o por tipo de vulnerabilidad — útil, por ejemplo, cuando quiere leer seguidos todos los casos de reentrancy.
Las herramientas en sí (el escáner, los paneles, el espacio de trabajo de SAFI) funcionan por ahora con interfaz en inglés. Estas páginas se lo explican todo en español antes de que entre en ellas.
Los incidentes se diferencian en los detalles y se parecen de forma incómoda en las causas.
La conclusión incómoda de este recurso: muchos de estos protocolos habían pasado una auditoría antes de ser atacados. La auditoría reduce la probabilidad, no la lleva a cero.
Lo que más la reduce no es un informe suelto, son las capas: auditoría, vigilancia continua después del lanzamiento, límites de gasto y capacidad de cortar la hemorragia deprisa. Los incidentes cuya pérdida se quedó pequeña son los que tenían esa última capa.
La reentrancy y el control centralizado de los permisos explican una parte enorme de las pérdidas totales. Los dos se conocen desde hace años y los dos se siguen repitiendo.
Una sola clave privada capaz de cambiar la lógica del contrato es un único punto de rotura, por muy bueno que sea el código que la rodea.
Los puentes custodian saldos enormes y confían en mensajes que llegan de fuera; los oráculos meten dentro un precio que se puede manipular. Todos los grandes incidentes de estas dos categorías se apoyan en la misma idea: datos en los que se confía más de lo que merecen.
Pegue la dirección del contrato y vea los poderes del propietario, la liquidez y el resultado de la simulación de venta antes de arriesgar nada. La pequeña tarifa por escaneo se le muestra antes de firmar — y con cualquier suscripción está incluida sin límite.
