Как украсть CryptoPunk'a, просто попросив его у контракта? — история в деталях.
Совсем недавно на просторах кредитного сектора NFT, а именно у ведущего протокола Gondi, произошла одна очень интересная ситуация. Заемщик, то бишь человек который пришел за кредитом, взял 28 $ETH под залог своего CryptoPunk'a #5032 на абсолютно обычных условиях для рынка подобных активов. Когда пришло время платить по счетам, он без задней мысли внес депозит, чтобы закрыть свои обязательства по кредиту и вернуть свой актив обратно. Однако, как только кредитор получает основной долг и протокол запускает цепочку действий по закрытию этой сделки, Punk на 3 блоке после начала процедуры сворачивает в кошелек неизвестного человека, который вовсе не участвовал в сделке.
Как? — давайте разбираться.
Начать стоит с того, что протокол Gondi, как и любой другой кредитный сервис в NFT, по сути своей прост как валенок. Это относительно небольшой список P2P команд в контракте, который работает по принципу тех же банков из реальной жизни.
Есть кредитор, есть заемщик, между ними становится ваульт в виде протокола и следит за тем, чтобы все было учтено.
Единственное отличие таких протоколов от традиционных банков — это среда обитания, которая хоть немного, но меняет правила игры, внося свои коррективы и дополнительные удобства конечному пользователю. Так например, контракт "PurchaseBundler" у Gondi через вызов функции «swapAndExecute», позволит вам выкупать NFT со свопом токенов в одну транзакцию. Удобно? — более чем. Все что нужно для работы, это пустяковый апрув протоколу, который вы подписываете при первом взаимодействии с площадкой, и здесь как ни странно, кроется вся тайна.
В силу специфики работы контракта "PurchaseBundler", каждый желающий мог заставить его вызвать любой другой контракт, указанный в белом списке как таргет. В случае с Gondi, таргетом из белого списка обычно выступают контракты маркетов, откуда происходит выкуп NFT через функцию «swapAndExecute», однако в данном случае, список содержал прямой контракт к Wrapped Cryptopunks, что и позволило сотворить ту самую магию.
Жулик развернул небольшой контракт в следующем блоке после погашения кредита владельцем и запустил вызов функции «swapAndExecute» у контракта Gondi с таргетом к Wrapped Cryptopunks. Он установил нулевые значения обмена, входа и выхода валюты, задав лишь один единственный вызов: «transferFrom(0xD79b [адрес владельца панка], "его контракт", Wrapped Cryptopunks #5032)», фактически, просто попросив у "PurchaseBundler" Gondi перевести панка к себе на кошелек. Когда контракт Wrapped Cryptopunks получил такой запрос на трансфер, он увидел его не от лица непонятного контракта, что развернул жулик, а от "PurchaseBundler" Gondi, к которому у владельца панка был апрув, потому он без задней мысли просто отправил его на контракт 3 чечика указанного в запросе который нашел эту дырку. Вот и все.
После случившегося, Gondi убрали контракт панков из вайтилиста и приостановили работу контракта "PurchaseBundler", а также пообещали возместить все убытки владельцу панка.
Совсем недавно на просторах кредитного сектора NFT, а именно у ведущего протокола Gondi, произошла одна очень интересная ситуация. Заемщик, то бишь человек который пришел за кредитом, взял 28 $ETH под залог своего CryptoPunk'a #5032 на абсолютно обычных условиях для рынка подобных активов. Когда пришло время платить по счетам, он без задней мысли внес депозит, чтобы закрыть свои обязательства по кредиту и вернуть свой актив обратно. Однако, как только кредитор получает основной долг и протокол запускает цепочку действий по закрытию этой сделки, Punk на 3 блоке после начала процедуры сворачивает в кошелек неизвестного человека, который вовсе не участвовал в сделке.
Как? — давайте разбираться.
Начать стоит с того, что протокол Gondi, как и любой другой кредитный сервис в NFT, по сути своей прост как валенок. Это относительно небольшой список P2P команд в контракте, который работает по принципу тех же банков из реальной жизни.
Есть кредитор, есть заемщик, между ними становится ваульт в виде протокола и следит за тем, чтобы все было учтено.
Единственное отличие таких протоколов от традиционных банков — это среда обитания, которая хоть немного, но меняет правила игры, внося свои коррективы и дополнительные удобства конечному пользователю. Так например, контракт "PurchaseBundler" у Gondi через вызов функции «swapAndExecute», позволит вам выкупать NFT со свопом токенов в одну транзакцию. Удобно? — более чем. Все что нужно для работы, это пустяковый апрув протоколу, который вы подписываете при первом взаимодействии с площадкой, и здесь как ни странно, кроется вся тайна.
В силу специфики работы контракта "PurchaseBundler", каждый желающий мог заставить его вызвать любой другой контракт, указанный в белом списке как таргет. В случае с Gondi, таргетом из белого списка обычно выступают контракты маркетов, откуда происходит выкуп NFT через функцию «swapAndExecute», однако в данном случае, список содержал прямой контракт к Wrapped Cryptopunks, что и позволило сотворить ту самую магию.
«Функция «swapAndExecute» в своей базе, также выполняет обмен, принятие и отправку токенов с запрашиваемым контрактом»
Жулик развернул небольшой контракт в следующем блоке после погашения кредита владельцем и запустил вызов функции «swapAndExecute» у контракта Gondi с таргетом к Wrapped Cryptopunks. Он установил нулевые значения обмена, входа и выхода валюты, задав лишь один единственный вызов: «transferFrom(0xD79b [адрес владельца панка], "его контракт", Wrapped Cryptopunks #5032)», фактически, просто попросив у "PurchaseBundler" Gondi перевести панка к себе на кошелек. Когда контракт Wrapped Cryptopunks получил такой запрос на трансфер, он увидел его не от лица непонятного контракта, что развернул жулик, а от "PurchaseBundler" Gondi, к которому у владельца панка был апрув, потому он без задней мысли просто отправил его на контракт 3 чечика указанного в запросе который нашел эту дырку. Вот и все.
После случившегося, Gondi убрали контракт панков из вайтилиста и приостановили работу контракта "PurchaseBundler", а также пообещали возместить все убытки владельцу панка.
3❤40👍12🔥8😱4👏2🤯1😢1
Если вдруг вам кажется, что сегодня ваше положение дел на крипто рынке сомнительное, то просто знайте, что некогда "великий" трейдер James Wynn, известный нам по череде смешных ликвидаций крупнейшей сделке c $PEPE, где зафиксированный PNL был более чем 25 млн$ с вложенных ~8.000$ в 23 году, а также по абсолютно бестолковому, но, сука, легендарному лонгу $BTC в мае 2025 года, c общим весом позиции в 1.27 млрд$, которая позже была размыта на 95% от вложенных 100 млн$ — сегодня вынужден запускать щитки на 400к аудитории и рагать их при 17к MCAP для профита в 270$.
Винн само собой все отрицает, ходя по комментариям с криком о том, что его аккаунт взломали, но парадокс в том, все эти щитки были косвенно или напрямую связаны с его кошельками.
Винн само собой все отрицает, ходя по комментариям с криком о том, что его аккаунт взломали, но парадокс в том, все эти щитки были косвенно или напрямую связаны с его кошельками.
😁32😢8🤯7🗿4❤1👏1😱1💔1🫡1
Взлом Floor Protocol? — продажа NFT в рынок на 400.000$
Сегодня на протяжение всего дня, некоторые NFT из хранилища Floor protocol'a сливались в биды неизвестными адресами. Кто-то напрямую или посредством эксплойта получил доступ к активам и бесплатно чеканит себе NFT, "распаковывая" их через контракт проекта за u-токены.
На данный момент в кошельках протокола по прежнему лежит:
BAYC: 127;
MAYC: 131;
BAKC: 136;
Pudgy Penguins: 84;
Lil Pudgy: 82;
Crypto Punks: 32;
Meebits: 72;
Doodles: 76;
Azuki: 155;
Beanz: 121;
Azuki E: 216;
Otherdeed: 195;
Otherdeed Ex: 21.
> Основной кошелек для продажи — ТЫК [400к$].
> Вторичные: ТЫК, ТЫК.
Некоторые коллекции, такие как: CloneX, WoW, Nakomigos, Milady, DeGods, Lil Pudgy и PP, уже приняли свою обойму из активов, показывая это сегодняшней просадкой.
Твиттер проекта заброшен уже около года, а сам проект стоит на коленях более 2. Владелец всей этой конторы — FLC, который по слухам, между делом продал этот проект людям с улицы.
Будем ждать новостей и анонсов, нам пока не до этого.
Советую готовить $ETH и набирать сладкие позиции на флип, подставляя свои ведра когда начнут лить. Те же CloneX сейчас выглядят очень заманчиво по 0.27 $ETH.
Сегодня на протяжение всего дня, некоторые NFT из хранилища Floor protocol'a сливались в биды неизвестными адресами. Кто-то напрямую или посредством эксплойта получил доступ к активам и бесплатно чеканит себе NFT, "распаковывая" их через контракт проекта за u-токены.
На данный момент в кошельках протокола по прежнему лежит:
BAYC: 127;
MAYC: 131;
BAKC: 136;
Pudgy Penguins: 84;
Lil Pudgy: 82;
Crypto Punks: 32;
Meebits: 72;
Doodles: 76;
Azuki: 155;
Beanz: 121;
Azuki E: 216;
Otherdeed: 195;
Otherdeed Ex: 21.
> Основной кошелек для продажи — ТЫК [400к$].
> Вторичные: ТЫК, ТЫК.
Некоторые коллекции, такие как: CloneX, WoW, Nakomigos, Milady, DeGods, Lil Pudgy и PP, уже приняли свою обойму из активов, показывая это сегодняшней просадкой.
Твиттер проекта заброшен уже около года, а сам проект стоит на коленях более 2. Владелец всей этой конторы — FLC, который по слухам, между делом продал этот проект людям с улицы.
Будем ждать новостей и анонсов, нам пока не до этого.
Советую готовить $ETH и набирать сладкие позиции на флип, подставляя свои ведра когда начнут лить. Те же CloneX сейчас выглядят очень заманчиво по 0.27 $ETH.
❤21👍7😱3🔥1👏1🤔1🤬1
Выгорание.
За почти 4 года ведения канала, не было ни единого момента когда в нем так долго не выходил материал. Я либо что-то готовил, либо вечно находился в поисках идеи, были дни, парой недели, но никогда не месяца. И тут было бы здорово анонсировать какую-то титаническую работу, но нет.
Настоящей причиной такого застоя в работе стала та самая вещь, о которой не принято говорить в слух, тем более среди мужчин — выгорание.
Первый серьезный звонок пришелся на ночь в середине Марта. Я долго не мог уснуть из-за постоянного потока мыслей, ворочался со стороны в сторону и каждую секунду прогонял сотни вопросов через свою голову. Обыденная тема, которая с раннего возраста мешает мне спать, я буквально не умею слушать тишину, потому просто пытался обработать весь этот шквал в голове.
Со временем подобных размышлений, градус вопросов к себе начал постепенно расти, "диалог" мягко перерос в форму самобичевание, а голос что "задает вопросы" сменил свой тон на крик. Я тотчас покрылся леденящими потом и буквально испытал первобытный страх. Он не похож на тот страх что мы испытываем в работе, повседневной жизни или отношениях, это страх смерти который растет из неоткуда, ты не видишь угрозы, но боишься, что она есть.
Пробыв в таком состоянии недолго, на пике "аттракциона" я понял что словил паническую атаку и по опыту ранних лет знал что мне нужно отвлечь себя на что-то другое, буквально перевести внимание мозга на боль, звук или картинку — не важно. И если раньше я мог ударить себя или укусить, то сегодня прогресс шагнул вперед и взяв телефон в руки, я открыл ТИК ТОК, который за пару секунд привел меня в чувство.
На утро следующего дня, я четко осознавал первопричину этой атаки — гиперконтроль и блядский перфекционизм с задранной планкой к самому себе. Накануне случившегося я вынашивал в голове огромную кипу проблем и нерешенных вопросов, которые давили на меня как в работе, так и в медиа, но "я же всегда вывозил, значит и тут вывезу" — да, вывез блять.
После этого я выпустил крайний материал про King Bob'a и еще парочку небольших постов, дав себе обещание что в начале лета возьму паузу чтобы отдохнуть.
Сейчас я полон сил и целиком ощущаю себя "здоровым", выгорание прошло а на его месте появилась легкость.
Следите за собой и своим ментальным здоровьем, это намного важнее чем кажется на первый взгляд.
За почти 4 года ведения канала, не было ни единого момента когда в нем так долго не выходил материал. Я либо что-то готовил, либо вечно находился в поисках идеи, были дни, парой недели, но никогда не месяца. И тут было бы здорово анонсировать какую-то титаническую работу, но нет.
Настоящей причиной такого застоя в работе стала та самая вещь, о которой не принято говорить в слух, тем более среди мужчин — выгорание.
Первый серьезный звонок пришелся на ночь в середине Марта. Я долго не мог уснуть из-за постоянного потока мыслей, ворочался со стороны в сторону и каждую секунду прогонял сотни вопросов через свою голову. Обыденная тема, которая с раннего возраста мешает мне спать, я буквально не умею слушать тишину, потому просто пытался обработать весь этот шквал в голове.
Со временем подобных размышлений, градус вопросов к себе начал постепенно расти, "диалог" мягко перерос в форму самобичевание, а голос что "задает вопросы" сменил свой тон на крик. Я тотчас покрылся леденящими потом и буквально испытал первобытный страх. Он не похож на тот страх что мы испытываем в работе, повседневной жизни или отношениях, это страх смерти который растет из неоткуда, ты не видишь угрозы, но боишься, что она есть.
Пробыв в таком состоянии недолго, на пике "аттракциона" я понял что словил паническую атаку и по опыту ранних лет знал что мне нужно отвлечь себя на что-то другое, буквально перевести внимание мозга на боль, звук или картинку — не важно. И если раньше я мог ударить себя или укусить, то сегодня прогресс шагнул вперед и взяв телефон в руки, я открыл ТИК ТОК, который за пару секунд привел меня в чувство.
На утро следующего дня, я четко осознавал первопричину этой атаки — гиперконтроль и блядский перфекционизм с задранной планкой к самому себе. Накануне случившегося я вынашивал в голове огромную кипу проблем и нерешенных вопросов, которые давили на меня как в работе, так и в медиа, но "я же всегда вывозил, значит и тут вывезу" — да, вывез блять.
После этого я выпустил крайний материал про King Bob'a и еще парочку небольших постов, дав себе обещание что в начале лета возьму паузу чтобы отдохнуть.
Сейчас я полон сил и целиком ощущаю себя "здоровым", выгорание прошло а на его месте появилась легкость.
Следите за собой и своим ментальным здоровьем, это намного важнее чем кажется на первый взгляд.
108❤74👍15❤🔥4😁2🤔1🤯1😢1💔1🤝1🫡1
Анабиоз NFT рынка и партия в покер с криптой — мысли по рынку.
Дамы и господа, всех приветствую, вероятно, лучшим решением после такой паузы будет разговорный пост про рынки, которого не было здесь с прошлого года. Поговорим про NFT, про крипту и любимого Трампа.
— NFT.
Начиная с прошлого года и по сей день, я несу тот крест что поднял однажды — «Топовые NFT проекты переживают метаморфозу, делая первичный упор не на холдеров коллекции, а на расширение влияния своего бренда за пределами NFT». Сегодня, да и вчера впрочем, людям незачем покупать NFT. Даже тот небольшой рынок, что формировался за счет малого числа людей еще в прошлом году, сегодня попросту иссяк.
Однако, если хорошо прищуриться, парой даже в самом самой ужасной картине можно разглядеть приятные тона, и здесь они есть — кредиты в NFT.
На данный момент это одно из немногих интересных мест внутри всего рынка картинок. За сравнительно высоким порогом входа, сложным процессом поиска активов и маленьким рынком, скрывается относительно неплохой доход на $ETH\USDC в %. При прочих равных, вы либо заберете хороший актив с дисконтом, если грамотно оцените LTV, либо заработаете неплохой %APR с единственным риском в виде скама самой площадки.
— Crypto.
Во многом мой взгляд на рынок начал меняться чуть более года назад. Ранее я смотрел на него как на шахматную доску, которую мне показывают и лишь изредка дают сделать взвешенный шаг, но все поменялось в момент, когда по ту сторону доски сел играть рыжеватый друг, что опрокинул её и тотчас полез в драку.
Спустя некоторое время наблюдений за действиями Трампа, я понял фундаментальную вещь — теперь мы играем не в шахматы, а в покер, где он периодически подглядывает карты, но также оголяет свои.
— Пара карманных тузов в виде тарифов и войны с Ираном, а также несчастные 2\7 с его любимым «TAСO».
При грамотном обращение капитала и умением видеть карманных тузов, играть становиться проще, но проблема кроется в том, что большая часть рынка по прежнему играет в шахматы, но уже на покерном столе.
Дамы и господа, всех приветствую, вероятно, лучшим решением после такой паузы будет разговорный пост про рынки, которого не было здесь с прошлого года. Поговорим про NFT, про крипту и любимого Трампа.
— NFT.
Начиная с прошлого года и по сей день, я несу тот крест что поднял однажды — «Топовые NFT проекты переживают метаморфозу, делая первичный упор не на холдеров коллекции, а на расширение влияния своего бренда за пределами NFT». Сегодня, да и вчера впрочем, людям незачем покупать NFT. Даже тот небольшой рынок, что формировался за счет малого числа людей еще в прошлом году, сегодня попросту иссяк.
Однако, если хорошо прищуриться, парой даже в самом самой ужасной картине можно разглядеть приятные тона, и здесь они есть — кредиты в NFT.
На данный момент это одно из немногих интересных мест внутри всего рынка картинок. За сравнительно высоким порогом входа, сложным процессом поиска активов и маленьким рынком, скрывается относительно неплохой доход на $ETH\USDC в %. При прочих равных, вы либо заберете хороший актив с дисконтом, если грамотно оцените LTV, либо заработаете неплохой %APR с единственным риском в виде скама самой площадки.
— Crypto.
Во многом мой взгляд на рынок начал меняться чуть более года назад. Ранее я смотрел на него как на шахматную доску, которую мне показывают и лишь изредка дают сделать взвешенный шаг, но все поменялось в момент, когда по ту сторону доски сел играть рыжеватый друг, что опрокинул её и тотчас полез в драку.
Спустя некоторое время наблюдений за действиями Трампа, я понял фундаментальную вещь — теперь мы играем не в шахматы, а в покер, где он периодически подглядывает карты, но также оголяет свои.
— Пара карманных тузов в виде тарифов и войны с Ираном, а также несчастные 2\7 с его любимым «TAСO».
При грамотном обращение капитала и умением видеть карманных тузов, играть становиться проще, но проблема кроется в том, что большая часть рынка по прежнему играет в шахматы, но уже на покерном столе.
❤27👍8🔥6😁2🌚2🤝2❤🔥1👏1