Nomadland? More like Exploitland

Nomad заэкплойтили. Возможные потери превышают 150 миллионов вечнозелёных.

Токенцы мог выкачивать кто угодно
Контракт принимал нулевые значения (0x00) в качестве пруфа валидности запрашиваемой суммы на выходе.

Алгоритм эксплойта был таков:
1. Отправляешь 0.01 BTC с любой сети на любую другую
2. Указываешь в метадате, что должен получить 100 BTC в сети назначения
3. Прикрепляешь нулевые значения в качестве "подтверждения"
4. ...
5. PROFIT х10000

Хватит ли у Номадов денег для репараций — большой риторический вопрос.
В апреле собрали $22.4 млн, под конец июля закрыли ещё один раунд на неизвестную сумму.

Странник выбрал неправильную дверь, клуб блокчейного ремесла оказался на пару эксплойтов ниже.

Solana утекает

Криптотвиттер орёт, что Solana-кошельки пустеют со скоростью болида.

Практические советы:
1. Отозвать все разрешения в Phantom | Отозвать аппрувы на токены
2. Переместить средства на свежий кошелек или леджер
3. Сейвануться в лоно централизованных бирж

Возможными виновниками называют Phantom и сервис SolaLand, всё это на уровне слухов.
Следить за развитием в прямом эфире можно в треде от CIA Officer.

Ни минуты покоя...

UPD

https://twitter.com/0xfoobar/status/1554627762807349249

Отзыв разрешений не поможет. Возможно, утечка сид фраз и ключей через уязвимость браузера. Транзакции подписываются от имени овнера.

Дополнительные пути спасения:
- Создание кошельков оффлайн
- Обновление браузеров
- Пойти поспать, отключив интернет на пк

Анатолий Яковенко, ко-фаундер Соланы, о возможных причинах хака:

1. Похоже на атаку на цепочку поставок iOS. Пострадало несколько вероятных кошельков, которые только получали sol и не имели никаких взаимодействий помимо получения.
А также ключи, которые были импортированы в iOS и сгенерированы вне него.

2. Похоже, что Android также затронут. Во всех подтвержденных на данный момент случаях ключ был импортирован или сгенерирован на мобильном устройстве. Большинство сообщений - это slope, но есть и несколько пользователей Phantom.

Реклама Соланофона?

Соланоновости к часу:

1. Как минимум 8000 кошельков высушены.

2. Команды, исследующие проблему, считают, что это не баг в самой Солане, а баг в софтине, которую используют несколько популярных кошельков.

3. Апдейты вне слухов и конспирологических теорий тут: https://twitter.com/SolanaStatus

Ждем ваши мемы про ситуацию в @notothemoonchat

Заканчиваем солановещание на сегодня

Свежайшая версия на сейчас:

Во всем виноват кошелек Slope, который хранил сид-фразы на централизованных серваках.
Хацкер(ы) каким-то образом получили доступ к сервакам -> получили доступ к сид-фразам.

Команда Slope выпустила стейтмент, что они знают о бреши, сами потеряли деньги и пока не знают ее природы. И вообще зима близко.

Солана жива, у протокола дырок нет.

Сумма взлома несопоставима с раздутым FUD'ом: по подсчетам умельцев - 4 с хвостиком миллиона вечнозеленых.
Пшик для Соланы, смех по сравнению со вчерашним Nomad'ом.

Пошутить, что Солана скоро уйдет на выходные: @notothemoonchat

Санкционка от Tornado Cash

08.08 — день, когда за Tornado.сash взялись по-серьёзному.

Tornado Cash — децентрализованный миксер на эфире.

Подразделение министерства финансов США - управление по контролю над иностранными активами (OFAC) - добавило адреса Tornado Cash (TC) в список SDN.
В этот список попадают организации и лица, финансовые операции с которыми запрещены гражданам США.

По фактам:

- Любые граждане США, которые прогонят через TC свои кровные или получат средства оттуда — под прицелом правосудия. Максимальный срок за нарушение предписания — 30 лет.
Уже можно рассылать токены своим завистникам?

- OAFC в пресс релизе говорят, что с 19-го года через Торнадо отмыли более 7 миллиардов долларов.
Бантег предполагает, что цифру взяли с борды на Дюне (лол).

- В SDN кошельки попали по лейблам c Etherscan.

- Это первый раз, когда в SDN попадает "робот". До этого в списке были люди и страны.

- Circle внесли все адреса TC из SDN уже в свой "чёрный список". Средства протокола в USDC заморожены:

- Гитхаб выпилил аккаунты контрибьюторов TC и отправил к праотцам официальный репозиторий проекта.

- Основной сайт Tornado в блоке от провайдера. Половина зеркал тоже.
Рабочий:
https://cloudflare-ipfs.com/ipns/tornadocash.eth

- Вихрем в Торнадо активно крутился WBTC.
Официальных комментариев от BitGo - эмитента WBTC - не поступало.
Хоть у контракта WBTC отсутствует функция заморозки, BitGo требуют KYC на этапе вывода своих фантиков в царский биток. Потенциально, могут начать разворачивать всех с "нечистыми" активами.

Твиттеряне задают кучу вопросов, на которые пока нет ответа:
1. Попадут ли под удар средства в LP, если кто-то свапнет "нечистые" в пул?
2. Как с этим будут считаться неамериканские CEXы?
3. Конституционно ли вообще решение OAFC?
4. Где взять стейблкоин без нативной функции заморозки?

Несколько ответов на последний вопрос, впрочем, есть в нашем антикризисном ресерче.

Государство толкает наше уютное пространство на рельсы лепрозория.
Будем ли мы шугаться "нечистых"?

Любые мнения в чат: @notothemoonchat

Кривая Curve

https://twitter.com/samczsun/status/1557100692518473728

У Curve эксплойт во фронтэнде. Сдрейнили уже под $600k.

Крайне не рекомендуется пользоваться.

Curve в твиттере пишут: "Домен curve.exchange, похоже, не затронут. Но вы там всё равно осторожнее".

Подозрения на дыру у DNS провайдера.

https://twitter.com/CurveFinance/status/1557110654284304384

Curve are cured

Говорят пока обождать с использованием curve.fi, но проблему устранили.

Просят отозвать апрувы на трату токенов контрактом эксплойтера: 0x9Eb5F8e83359Bb5013f3D8eee60bDCe5654e8881
Например, через revoke.cash.

Дело было в провайдере iwantmyname. О других жертвах эксплойта пока ничего не слышно.

Перекличка пострадавших в чате: @notothemoonchat

Лицензионные войны: переход Moonbirds на Creative Commons
Возвращение переводов от "С нуля до нуля"

https://teletype.in/@notothemoon/MoonbirdsCC0IP

Из-за санкционной заварушки Торнадо, щитшторм в комьюнити Moonbirds прошёл негромко.
Темой раздора были права владения NFT: редко обсуждаемый, но важный топик.

Нагоняем криптотвиттер и погружаемся в ситуацию взглядом джипег инфлюенсера — Toni Payne.

Внутри ответы на вопросы:
- Кто такие Proof?
- Что за лицензия CC0?
- Как дела с лицензией у BAYC?
- Какие ошибки совершили создатели Moonbirds?

~ Примерное время прочтения - 7 минут ~

Альтернативные мнения по ситуации просятся в:
@notothemoonchat

Подкаст Hello CEO #4: Azuro Protocol
В сокастерстве с "С нуля до нуля на крипте"

Azuro — децентрализованный беттинг-протокол.

Гости: кор контрибьюторы Azuro — Паруйр Шахбазян и Денис Кайзер.

Обсудим зачем ставки лезут к нам в крипту, ключевые отличия децентрализованных ставок от централизованных и творческий путь гостей.

Вопросы возмутся задать: @prakha и @JustYap
Время начала: Через ~35 минут. В 17:00 по МСК.
Место: @cryptocholy

Начинаем через пару минут:

https://xn--r1a.website/cryptocholy?livestream

Деньги, карты, 2 Луны
Анонс

До Квон дал первое больше интервью с краха Луны/Терры.
Настолько большое, что выйдет несколько эпизодов.

Первый (нулевой) эпизод серии - сегодня.

Чтобы посмотреть:

1. Законнектить кошелек на coinage.media

2. Бесплатно сминтить НФТ подписчика

3. Получить доступ к контенту

Ждем сальные подробности и слезливые истории, обсуждаем в @notothemoonchat

Запись разговора с кор-контрибьюторами Azuro Protocol — Паруйром и Денисом

@JustYap и @cryptocholy расспросили причастных к разработке платформы децентрализованных ставок о:

- Тернистом пути web3 проекта к деньгам фондов
- KYC политике и технических деталях протокола
- Страхе перед будущими регуляциями
- Геймификации, нфтизации и прочих -ациях

Прим @JustYap:
Под капотом у Азуровых оказался по-настоящему децентрализованный движок.
Респект и поддержка. Им может прийтись несладко в свете последних рестиков-арестиков ребят из Торнадо.

Мнение о разговоре: @notothemoonchat

Кредитование, NFT и фейл

5 августа в @notothemoonchat была дискуссия про выдачу кредитов под обеспечение НФТ.

В ходе которой Зеро высказал мысль о том, что, мол, обеспечение кредитов неликвидными активами - идея не самая звездная на свете.

Сегодня, 22 августа, случился живой пример этой мысли.

Обанкротились BendDAO.
Они выдавали кредиты под залог НФТ.

— Ребята задолжали кредиторам 15 000 ETH
— На контракте проекта осталось 12,5 ETH
— Платформа не может ликвидировать NFT потому, что нет ставок на покупку этих активов.
Подробнее: твиттер-тред

Что это значит для мира нфт и значит ли вообще что-то - еще предстоит узнать.
Конспирологические теории направляем в @notothemoonchat

С 1-го до 30-го дня в крипте
Материалы за июль 2022
#дайджест

Духота, аресты честных программистов и эксплойты — это всё в августе. Вместе вспоминаем похороненный под слоем времени июль.

Контент от нас

Криптовые суды. За рагпульщиков взялись:
https://xn--r1a.website/notothemoon/1762

0Y продолжает голосовать в GearBox:
https://xn--r1a.website/notothemoon/1765

Спорные мувы от Perpetual Protocol. Самый эффективный способ съесть грант:
https://xn--r1a.website/notothemoon/1790

Подкасты медвежьего времени на "С нуля до нуля"

Mirai Team x Zero. Выгорание, FOMO, L2:
https://xn--r1a.website/notothemoon/1775

Директор Binance по СНГ x Zero. DAO, DAO и ещё раз DAO:
https://xn--r1a.website/notothemoon/1778

Citadel One х C0Д0. Введение в Cosmos, скандальный говернанс и рассказ о бытие валидатором:
https://xn--r1a.website/notothemoon/1784

Serp1337 х JustYap. NFT передоз, ETH 2.0 и развитие 0Y:
https://xn--r1a.website/notothemoon/1789

Контент друзей

Max Wayld повествует о непростой судьбе CIA Officer'a.
Ложные обвинения и обыски — криптанский колёр локаль?:
https://xn--r1a.website/maxycrypto/480

Автостопом по Cosmos. Ульти-ульти-ультимативный гайд по экосистеме Космоса от @creeptah и @TheFarm_xyz:
https://xn--r1a.website/creeptah/442

SBF под лупой @cryptocholy. Путь жаренного Сэма и его интерпретация эффективного альтруизма:
https://xn--r1a.website/cryptocholy/126

Перевод материала о вредных моментах NFT культуры от Moni Talks. Исцеляющий эффект практик реального бизнеса:
https://monitalks.xyz/ru/learn/nfts/nft-culture

0x_unidentified о AMO в FRAX.
Понци механика, скрывающаяся за восклицаниями твиттера:
1 | 2 | 3

Влад из Degen Hustle всё ещё проводит гемные лекции на канале Moni:
Как найти крутой проект?| Как не ректануться на фарминге с плечом?

Дайджест за июнь:
https://xn--r1a.website/notothemoon/1773

Битва роллапов: Polygon, Arbitrum, Optimism, dYdX и Loopring
Перевод выходного дня от "С нуля до нуля"

https://teletype.in/@notothemoon/RollupsBattle

Твиттерянин @jake_pahor взялся покопаться в метриках ведущих L2 решений.
Залез в инфу о:
- Ревенью протоколов
- Полнимости их трежери
- Разлоках
- Хрустящих бумажках в кошельках разработчиков

~ Примерное время прочтения - 5 минут ~

Все споры и крики несогласия о выводах ресерча в @notothemoonchat