блокчейн-слой, не общий вебthe blockchain layer, not generic web

Атаки на крипто/DeFiCrypto/DeFi attacks

Reentrancy, flash loan, oracle manipulation, rug pull, MEV/sandwich — специфика блокчейн-слоя, отдельная от общих веб-атак. Каркас: 11 карточек, страницы ещё не написаны. — the blockchain layer's own specifics, separate from generic web attacks. Skeleton: 11 cards, pages not yet written.

Уязвимости смарт-контрактовSmart contract vulnerabilities

ошибки в коде контрактаbugs in contract code

ReentrancyВнешний вызов до обновления состояния позволяет рекурсивно повторно войти в функцию — The DAO hack (2016) как канонический пример и повод для форка Ethereum. Checks-Effects-Interactions как паттерн защиты.An external call before state is updated allows recursively re-entering the function — the DAO hack (2016) as the canonical example and the reason for the Ethereum fork. Checks-Effects-Interactions as the defensive pattern.interview Integer overflow/underflowПереполнение целочисленных типов в арифметике баланса до SafeMath/Solidity 0.8 — классический источник произвольной эмиссии токенов.Integer overflow in balance arithmetic before SafeMath/Solidity 0.8 — a classic source of arbitrary token minting. Access control багиbugsОтсутствующие или неверные модификаторы доступа (onlyOwner), незащищённые функции инициализации в proxy-контрактах.Missing or wrong access modifiers (onlyOwner), unprotected initializer functions in proxy contracts. Непроверенные внешние вызовыUnchecked external callsИгнорирование результата low-level call/send/delegatecall, delegatecall на контролируемый атакующим адрес как вектор захвата storage.Ignoring the result of low-level call/send/delegatecall, delegatecall to an attacker-controlled address as a storage-hijack vector.

Манипуляция рынком и даннымиMarket & data manipulation

атомарность и порядок транзакций как оружиеatomicity and tx ordering as weapons

Flash loan атакиattacksЗайм без залога на один блок используется, чтобы временно сдвинуть цену/ликвидность и извлечь прибыль в той же атомарной транзакции.An uncollateralized single-block loan used to temporarily move price/liquidity and extract profit within the same atomic transaction.interview Oracle manipulationМанипуляция ценовым фидом через тонкий пул ликвидности (spot price как оракул) вместо TWAP/агрегированных источников — классическая связка с flash loan.Manipulating the price feed via a thin liquidity pool (spot price used as an oracle) instead of TWAP/aggregated sources — the classic combo with flash loans. MEV и sandwich-атаки& sandwich attacksИзвлечение ценности из порядка транзакций в блоке: sandwich вокруг жертвы в mempool, приоритет через gas/PBS, роль builder/searcher.Extracting value from transaction ordering within a block: sandwiching a victim in the mempool, priority via gas/PBS, the builder/searcher roles. Front-runningНаблюдение ожидающей транзакции в mempool и её опережение с более высокой платой за газ — основа для многих MEV-стратегий.Watching a pending transaction in the mempool and outbidding it with higher gas — the basis for many MEV strategies.

Мошенничество на уровне протоколаProtocol-level fraud

умысел разработчика, а не багdeveloper intent, not a bug

Rug pullРезкий вывод ликвидности или неограниченный минт токена командой проекта — soft rug (постепенный) vs hard rug (мгновенный).The project team suddenly pulling liquidity or minting tokens without limit — soft rug (gradual) vs hard rug (instant). Honeypot-контрактыКонтракт, разрешающий покупку токена, но блокирующий продажу через скрытую логику — жертва видит прибыль на бумаге, вывести не может.A contract that allows buying a token but blocks selling via hidden logic — the victim sees paper profit but cannot withdraw. Fake approvals и infinite allowance& infinite allowanceФишинговый approve() на неограниченный allowance даёт атакующему контракту право опустошить кошелёк в любой момент после подписи.A phished approve() granting unlimited allowance lets the attacker's contract drain the wallet at any point after signing.

статусstatus

Это каркас: 11 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 11 cards are locked in, pages not yet written.