Почти все 220 миллионов долларов США, украденные у Kelp DAO, были отмыты — блокчейн-отслеживание оказалось бесполезным перед THORChain, Wasabi и Tornado Cash. Это не единичный случай — Radiant Capital только что приостановил работу после атаки на 50 миллионов долларов, а уязвимость Gnosis Pay продолжает развиваться. Доверительная книга мостов между блокчейнами постоянно переписывается. Хакеры использовали THORChain для перевода 175 миллионов ETH в биткоин, после чего смешали и разделили средства, увеличив объем транзакций THORChain за один день до 394 миллионов долларов США. Инструменты приватности не новы, но масштаб этой атаки раскрыл структурную проблему: чем процветает ликвидность между блокчейнами, тем более зрелыми становятся каналы отмывания денег хакерами. Единственные замороженные 71 миллион долларов США в ETH теперь находятся в правовом споре — семьи жертв из Северной Кореи требуют конфискации этих средств в качестве компенсации. Под судебным запретом остается неясным, удастся ли вернуть эти средства. Безопасностные допущения DeFi смещаются от «код — это закон» к «закон — последняя линия обороны». Для рынка это не история «плохие новости уже учтены». После каждой атаки протоколы усиливают аудит, но хакеры тоже эволюционируют. Рост стоимости доверия между блокчейнами в конечном итоге отразится на ставках по финансированию, TVL и поведении пользователей — готовы ли вы размещать свои активы в сети, которую может пронизать канал отмывания денег? $btc #eth #defi #链上数据 #ai

Не все неудачи в DeFi начинаются с хака. Firelight будет рассматривать как технические, так и экономические неудачи, включая просроченную задолженность и структурные нарушения в отношениях между обеспечением и активами кредитов. Каждое утверждение будет подкреплено четкими триггерами и проверяемыми доказательствами в блокчейне.

С момента запуска программа баг-баунти получила большое количество заявок. Чтобы каждой заявке было уделено должное внимание, мы приостанавливаем прием новых заявок, пока работаем над очередью. Мы сообщим обновление, когда программа возобновит работу. Спасибо всем, кто уже принял участие.

Хи. На рынке могут остаться только те, кто может заплатить $1 млн за меры безопасности. > При сканировании Mythos было обнаружено более 20 критических уязвимостей в исходном коде Palo Alto Networks, за что было потрачено более 1 миллиона долларов в токенах.

Bitcoin. Нет крипты. «DAO больше не имеет жизнеспособного пути в будущее». Не сумев восстановиться после кибератаки, стоившей ей примерно 50 миллионов долларов, Radiant Capital закрывает свои двери.

Восстановление от белых шляп: исследователь Флоран сотрудничал с командой HongCoin, чтобы разблокировать ~1 003 ETH (~2 млн $), заблокированных в контракте возврата средств ICO 2016 года из-за устаревших ошибок в логике переполнения/возврата. #Ethereum #SmartContractSecurity

Reentrancy расшифрована — уязвимость смарт-контракта, которая до сих пор похищает миллионы в 2026 году, и шаблон Checks-Effects-Interactions, который её останавливает в коде Reentrancy — не магия. Это ошибка порядка: ваш контракт обновляет своё состояние ПОСЛЕ того, как делает внешний вызов, а не до него, и злоумышленник повторно вызывает его в этот промежуток. Исправьте порядок — и уязвимость исчезнет. DAO потерял около 3,6 млн ETH (примерно 60 млн долларов, около 5% всего ETH, существовавшего тогда) из-за этой точной ошибки 17 июня 2016 года. Последствия привели к расколу Ethereum на ETH и ETC. Спустя десять лет она до сих пор похищает средства. Solv Protocol потерял $2,73 млн из-за reentrancy 5 марта 2026 года, а в мае 2026 года около $52 млн было похищено через различные ончейн-протоколы (DeFiLlama через CryptoTimes, 31 мая 2026 года). Уязвимый шаблон: считать баланс, отправить ETH с помощью низкоуровневого вызова, ЗАТЕМ установить баланс в ноль. Функция receive() атакующего повторно вызывает withdraw(), прежде чем ноль будет установлен, и цикл продолжается, пока контракт не опустеет. Два исправления, используемые вместе: Checks-Effects-Interactions. Проверьте, обновите ВСЕ состояния, а затем выполните внешний вызов ПОСЛЕДНИМ. Переместите balances[msg.sender] = 0 выше вызова — повторный вызов прочитает ноль и откатится. Неблокирующая защита OpenZeppelin. Мьютекс в хранилище (NOT_ENTERED → ENTERED), который откатывает при повторном входе. Используйте его вместе с CEI, а не по отдельности. Две вещи, которые большинство разработчиков до сих пор делают неправильно. 1. .transfer() больше не является защитой: лимит в 2300 газа перестал быть безопасным предположением после того, как EIP-1884 повысил стоимость SLOAD в 2019 году. Используйте .call{value:}("") вместе с CEI. 2. Чтение без изменения (read-only) обходит стандартную защиту, потому что чтение view-функции во время обновления возвращает повреждённое состояние и может отравить оракул цен (dForce, $3,64 млн). Только для образовательных целей. Не является финансовой консультацией. Подписывайтесь на ежедневные инсайты — где блокчейн встречается с ИИ, один удовлетворяющий свайп за раз. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation