smartcontractsecurity

Summer.fi 610 millones de dólares se llevó un ataque de flash loan; el problema no está en la liquidez on-chain, sino en una sola línea de "confianza".

El atacante usa un flash loan de 65,40 millones de USDC + 1 millón de USDT: primero deposita 64,80 millones de USDC en Fleet Commander para obtener participaciones, luego mete directamente esas participaciones de SiloVault en el contrato de estrategia Ark, que es gestionado por Silo Finance. Así, se salta la ruta de depósito normal, y el saldo de Ark pasa de 0 a "donado" con 7,14 millones de dólares.

Cuando Fleet Commander calcula totalAssets, da total credibilidad al saldo inicial que Ark declara, sin ninguna validación interna. Entonces, el atacante aprovecha para canjear 71 millones de USDC y se marcha con una ganancia neta de aproximadamente 6,10 millones de dólares en una sola operación.

Onchain Lens lo califica como un ataque de donación entre contratos ERC-4626. La esencia de este tipo de vulnerabilidad es que el vault trata el contrato de estrategia como un "oráculo de confianza"; mientras que el estándar ERC-4626 en sí no obliga a aislar las entradas externas con la entrada de fondos real.

Tres recordatorios para quienes mantienen posiciones:
1. Revisa si el protocolo usado realiza contabilidad independiente para la capa de estrategia, en lugar de leer directamente balanceOf
2. En los vault con subidas anómalas de la tasa, primero mira la composición del TVL y luego habla del APY
3. Flash loan + inflación de participaciones es el dúo más frecuente en los últimos dos años en DeFi; no lo sigas tratando como un cisne negro

La confianza en el código no es seguridad; la verificación sí lo es.

#DeFi #SmartContractSecurity #ERC4626

"La mayoría de los traders piensan que hackear contratos inteligentes es cosa del pasado. No tan rápido.

Un hacker de sombrero blanco acaba de recuperar $2M de un exploit en un contrato inteligente del ICO de Hong Coin de hace una década, lo que me hace preguntarme cuántas más vulnerabilidades ocultas están esperando ser descubiertas.

#SmartContractSecurity #HackingRecovery #DeFi

La señal es clara: los contratos inteligentes antiguos son tan vulnerables a la explotación como los recién desplegados. Esta revelación debería hacer temblar a cada inversor de DeFi.

¿La interpretación? Este no es un incidente aislado. Hemos visto múltiples casos de contratos antiguos siendo derribados debido a brechas de seguridad. Con más protocolos adoptando nuevas tecnologías diariamente, el código antiguo se convierte en una bomba de tiempo.

La lista de vigilancia: mantén un ojo cercano en los contratos inteligentes más antiguos que 2017. Si estás en largo con monedas atadas a código legado, quizás quieras reconsiderar tu posición.

¿Tienes un activo de DeFi que podría estar escondiendo una bomba de tiempo?"

⚠️ ¡ALERTA DE MERCADO!!!

CO-FUNDADOR DE OPENZEPPELIN: TODO EL DEFI NO ES SEGURO 🔥

Manuel Aráoz — cofundador de OpenZeppelin — ha declarado que cree que "todo el DeFi es inseguro" debido a que los agentes de codificación de IA han alcanzado una capacidad superior para detectar vulnerabilidades en los contratos inteligentes 🛠

Él ha aconsejado personalmente a amigos y familiares que retiren todo su capital de las posiciones DeFi 💰

OpenZeppelin es una de las principales firmas de seguridad en crypto, habiendo auditado proyectos como Aave, Compound, MakerDAO, Uniswap y muchos otros grandes proyectos 📊

Cuando alguien de la industria de la seguridad lanza una advertencia, es una señal que no se debe tomar a la ligera. Sin embargo, el DeFi sigue operando normalmente — el mercado se evaluará a sí mismo en cuanto al nivel real de riesgo.

#DeFi #SeguridadDeContratosInteligentes

$AAVE $UNI $PLAY

Imagina si dejaras una puerta digital bien abierta para que los hackers entraran, y tardara una semana entera en que alguien se diera cuenta.

Esto es lo que pasó con el puente entre cadenas de Secret Network hacia Axelar, ya que un atacante explotó un error de acuñación de hace años en un contrato CW20-ICS20 para drenar $4.67 millones en tokens envueltos entre el 10 de junio y el 17 de junio.

El Concepto de Errores de "Acuñación Infinita" ( #SeguridadDeSmartContracts). Los errores de acuñación infinita ocurren cuando los contratos inteligentes permiten que se acuñen tokens indefinidamente, permitiendo a actores maliciosos drenar fondos de manera continua.

El Ejemplo del Mundo Real de Inseguridad ( #SeguridadBlockchain). La explotación de Secret Network-axlar es un recordatorio contundente de la importancia de un desarrollo robusto de contratos inteligentes, ya que una sola vulnerabilidad puede costar millones.

La Lección - Asegura tus Contratos Inteligentes ( #EscribeParaGanar). Revisa tus contratos inteligentes y asegúrate de que no tengan vulnerabilidades que un atacante pueda explotar.

¿Qué piensas que es la mejor manera de prevenir hacks similares en el espacio crypto?

Aztec Labs investiga un posible incidente de vulnerabilidad que afecta a un producto de pago obsoleto, con aproximadamente $2 millones drenados de un contrato inteligente inmutable, y esta noticia podría impactar $ETH precios 🔥

Entrada: 1700
Objetivo: 1800 🚀
Stop Loss: 1600 ⚠️

El incidente es un recordatorio de la importancia de la seguridad en el espacio cripto, y los inversores deben ser cautelosos al tratar con contratos inteligentes. Las listas en intercambios de primer nivel pueden proporcionar una capa adicional de seguridad.

No es asesoramiento financiero. Maneja tu riesgo.

#ETH #VulnerabilityIncident #SmartContractSecurity

✅

$BNB CHAIN JUST SAW A 1.11M USD EXPLOIT ON PANCAKESWAP V2 🔥

Entrada: 291.23
El reciente exploit en PancakeSwap V2 ha levantado preocupaciones sobre la seguridad de los protocolos DeFi, ¿desencadenará este evento una ola de auditorías de seguridad y mejoras en el espacio, o estamos en camino a más sorpresas?

No es asesoría financiera. Maneja tu riesgo.
#BNB #DeFiExploits #SmartContractSecurity
⚠️

🛡️ Por Qué Tu Portafolio de Cripto Sigue Siendo Vulnerable (Y Cómo Arreglarlo)

En el mundo acelerado de las criptos, tu mayor enemigo no es solo la volatilidad del mercado—es la ingeniería social sofisticada.

Como desarrollador y hacker ético, he analizado cómo los atacantes enfocan a los inversores minoristas. Aquí está la realidad técnica de lo que la mayoría de la gente ignora:

1. La Trampa de la API Key: Nunca otorgues permisos de "Retiro" a bots de trading de terceros a menos que sea absolutamente necesario. Una API key filtrada es una puerta abierta para que los hackers drenen tu billetera en segundos.
2. Fugas de Metadata: ¿Publicando capturas de pantalla de tu portafolio? Asegúrate de eliminar los datos EXIF. A veces, los hackers pueden extraer información de ubicación o del dispositivo de archivos de imagen sin procesar.
3. El Riesgo de la "Nube": Almacenar tus claves privadas o frases semilla en Notas, Google Drive o borradores de email es una sentencia de muerte. Usa un dispositivo offline aislado o una billetera de hardware físico.
4. Higiene de 2FA: Aléjate de la 2FA basada en SMS de inmediato. Si tu SIM puede ser cambiada, tu 2FA puede ser eludida. Cambia a una App de Autenticación (por ejemplo, Google Authenticator o Authy) o un YubiKey.

Consejo Pro para Creadores: Si estás usando herramientas de automatización de trading, siempre audita las dependencias de la biblioteca en tus scripts de Python. Paquetes maliciosos están siendo inyectados en repositorios comunes para robar variables de entorno.

La seguridad no es una configuración de una sola vez; es un hábito.

¡Deja un comentario abajo si quieres saber cómo auditar tus propias interacciones de contratos inteligentes por permisos ocultos! 🚀

#BinanceSquare #CryptoSecurity #CyberSecurity #RDXHUNTER #Web3 #SmartContractSecurity