Her büyük saldırı, bugün okunabilecek bir iki satır kod bıraktı. Bu kaynak kayıtlardaki en büyük olayları topluyor: adım adım saldırı yolu, açık olan fonksiyonun kendisi, düzeltme ve olay sonrası raporlara bağlantılar.
Bu bir haber listesi değil. Her olay, kendi kodunuza uygulanabilir derse kadar sökülmüş durumda.
İlk adımdan paranın çıkışına: saldırgan neyi, hangi sırayla çağırdı ve neden tam olarak o sıra işe yaradı.
Fonksiyon, olay anındaki hâliyle. Kusuru bir tarifinden değil kendi gözünüzle okursunuz.
Olaydan sonra ne değişti ve en baştan engelleyecek olan güvenli desen neydi.
Her olay ait olduğu zafiyet sınıfına ve zafiyet veritabanımızdaki aynı sınıftaki kayıtlara bağlıdır.
Orijinal olay sonrası raporlara ve bağımsız güvenlik analizlerine bağlantılar. Her sayıyı kendiniz doğrularsınız.
Yıla, ağa veya zafiyet türüne göre süzün — örneğin tüm reentrancy olaylarını arka arkaya okumak istediğinizde işe yarar.
Araçların kendisi (tarayıcı, kontrol panelleri, SAFI çalışma alanı) şu an İngilizce arayüzle çalışıyor. Bu sayfalar, oraya girmeden önce her şeyi Türkçe anlatır.
Olaylar ayrıntıda farklı, sebeplerde rahatsız edici ölçüde benzer.
Bu kaynaktaki rahatsız edici sonuç: bu protokollerin birçoğu saldırıya uğramadan önce denetimden geçmişti. Denetim olasılığı azaltır, sıfırlamaz.
Olasılığı daha çok azaltan şey tek bir rapor değil katmanlardır: denetim, lansman sonrası sürekli izleme, harcama limitleri ve kanamayı hızla durdurabilme. Kaybı daha küçük kalan olaylar, son katmana sahip olanlardır.
Reentrancy ve yetkilerdeki merkezî kontrol, toplam kaybın büyük bir bölümünü açıklıyor. İkisi de yıllardır biliniyor ve ikisi de hâlâ tekrarlanıyor.
Kontratın mantığını değiştirebilen tek bir özel anahtar, çevresindeki kod ne kadar iyi olursa olsun tek bir kırılma noktasıdır.
Köprüler devasa bakiye tutar ve dışarıdan gelen mesajlara güvenir; oracle'lar ise manipüle edilebilen bir fiyatı içeri sokar. Bu iki başlıktaki her büyük olay aynı fikre dayanır: hak ettiğinden fazla güvenilen veri.
Kontrat adresini yapıştırın; sahip yetkilerini, likiditeyi ve satış simülasyonu sonucunu riske girmeden önce görün. Tarama başına küçük bir ücret imzadan önce gösterilir — herhangi bir abonelikte ise sınırsız olarak dahildir.
