#reentrancy

[cyberdudebivash-news]

Don't Wait for an Exploit. Let Us Audit Your Protocol.

Read the full report on -

Don't Wait for an Exploit. Let Us Audit Your Protocol.

CyberDudeBivash News delivers daily cybersecurity threat intel, CVE alerts, malware trends, and crypto security briefings.

[cyberdudebivash-news]

A $100M Post-Mortem: The Smart Contract Flaw Behind the Balancer Hack (And How to Audit-Proof Your Protocol) — by CyberDudeBivash

Read the full report on -

A $100M Post-Mortem: The Smart Contract Flaw Behind the Balancer Hack (And How to Audit-Proof Your Protocol)

CyberDudeBivash News delivers daily cybersecurity threat intel, CVE alerts, malware trends, and crypto security briefings.

[detikdax-blog]

'We Got Spanked': Hiburan Dewasa ICO Menderita Peretasan $ 38.000

"Kami mendapat pukulan." Itulah pesan bahwa SpankChain, situs web yang menawarkan hiburan koin (ICO) yang didanai dewasa, digunakan untuk memberitahu penggunanya bahwa seorang hacker telah mengeksploitasi bug dalam salah satu kontrak cerdasnya untuk melarikan diri dengan 165,38 ETH, senilai sekitar $ 38.000 pada saat itu pencurian. Satu lagi senilai $ 4,000 dari platform ICO token, BOOTY, telah dimobilisasi sebagai akibat dari pelanggaran, membawa dampak ekonomi total dari pembajakan ke sekitar $ 42.000. Peretasan terjadi sekitar pukul 18.00 PST pada hari Sabtu, meskipun perusahaan tidak menemukan pencurian tersebut sampai malam berikutnya, pada saat itu ia mengambil situs web secara offline untuk mencegah pelanggaran lebih lanjut. “Sayangnya, saat kami sedang menyelidiki bug kontrak cerdas lainnya, kami tidak menyadari bahwa peretasan telah terjadi hingga pukul 19.00 PST Minggu, di mana kami mengambil Spank.Live offline untuk mencegah dana tambahan dari yang disimpan ke dalam kontrak pintar saluran pembayaran, ”pengumuman itu berbunyi. Menurut SpankChain, peretas mengeksploitasi bug "reentrancy", mirip dengan yang digunakan dalam hack DAO yang terkenal. “Singkatnya, serangan itu memanfaatkan bug 'reentrancy', mirip dengan yang dieksploitasi di The DAO. Penyerang menciptakan kontrak jahat yang menyamar sebagai token ERC20, di mana fungsi 'transfer' dipanggil kembali ke kontrak saluran pembayaran beberapa kali, menguras beberapa ETH setiap kali. ”

Perusahaan mengakui bahwa mereka telah gagal untuk membayar audit keamanan dari kontrak pintar saluran pembayarannya, yang bisa menghabiskan biaya sebesar $ 50.000 - jauh di atas jumlah dana yang terkena dampak peretasan. Namun demikian, SpankChain mengatakan bahwa sekarang menyadari bahwa itu harus membayar untuk audit, meskipun mahal mungkin. “Ketika kami bergerak maju dan tumbuh, kami akan meningkatkan praktik keamanan kami, dan memastikan untuk mendapatkan beberapa audit internal untuk setiap kode kontrak pintar yang kami publikasikan, serta setidaknya satu audit eksternal profesional,” kata perusahaan itu. Sebagian besar dana yang terkena dampak adalah milik SpankChain. Namun, sekitar $ 9.300 dari dana yang dicuri dan diimobilisasi milik pengguna. Akibatnya, perusahaan, yang mengumpulkan $ 7,2 juta melalui ICO pada akhir 2017, mengatakan akan menyuntikkan $ 9,300 di ETH ke akun SpankPay pengguna yang terkena setelah reboot situs web dalam beberapa hari berikutnya. Seperti yang dilaporkan Detikdax , SpankChain hanyalah yang terbaru dalam antrean panjang proyek Ethereum yang kehilangan uang ketika peretas mengeksploitasi bug dalam kontrak cerdas mereka. Pada bulan Juli, pertukaran terdesentralisasi (DEX) Bancor kehilangan $ 23 juta di ETH dan token ethereum lainnya ketika seorang peretas mengkompromikan dompet yang digunakan untuk meningkatkan beberapa kontrak pintar platform. Pada bulan yang sama,  KICKICO kehilangan 70 juta KICK senilai $ 7,7 juta ketika seorang peretas berhasil menguasai kontrak pintar proyek tersebut. Sebelumnya, kontrak cerdas yang mengatur dompet multi-tanda tangan ethereum mengalami beberapa pelanggaran keamanan , menghasilkan pencurian $ 32 juta dan $ 150 juta dalam dana yang dibekukan secara permanen. Peretasan seperti itu telah menyebabkan pencipta Litecoin Charlie Lee menyarankan bahwa Solidity, bahasa pemrograman asli dari kontrak cerdas Ethereum, adalah "surga peretas". Namun, masalahnya tidak diisolasi ke Ethereum. Pada bulan September, beberapa aplikasi desentralisasi (dApps) yang berjalan di jaringan EOS dieksploitasi sebagai hasil dari bug kontrak cerdas juga. Setidaknya dua duel perjudian terpengaruh, kehilangan kolektif $ 260.000 ketika peretas menemukan cara untuk memasang taruhan tanpa harus mempertaruhkan token nyata apa pun, memungkinkan mereka untuk mempertaruhkan bebas konsekuensi. Read the full article