Boutique-Audits.KI-gestützt, von Menschen geprüft.

Fünf echte Exploits laufen nacheinander ab: Jeder Vertrag tippt sich selbst, der Scan markiert die Schwachstelle, und eine Notiz sagt, was er gekostet hat und wie er behoben wird.

• The DAO, 2016-06-17: 3,6 Mio. ETH abgezogen. splitDAO zahlte die Belohnung per externem Aufruf aus, bevor das Guthaben auf null stand. Der Angreifer rief erneut auf und teilte dieselben Token immer wieder. Das Guthaben vor jedem externen Aufruf auf null setzen.
• Parity Multisig, 2017-11-06: 513.774 ETH eingefroren. Die gemeinsame Bibliothek war nie initialisiert. Jeder konnte initWallet aufrufen, Eigentümer werden und sie mit kill zerstören. Jede Wallet, die an sie delegierte, fror ein. Die Bibliothek beim Deployment initialisieren und ihr kein Selbstzerstören geben.
• Wormhole, 2022-02-02: 120.000 wETH, ca. 325 Mio. $. verify_signatures las die Signaturprüfung aus einem Konto, das der Aufrufer wählte, und prüfte nie, ob es der Instructions-Sysvar war. Ein gefälschtes galt als volle Guardian-Freigabe. load_instruction_at_checked verwenden, das die Sysvar-Adresse prüft.
• Nomad Bridge, 2022-08-01: ca. 190 Mio. $ abgezogen. Ein Upgrade setzte den vertrauten Root auf 0x00. Eine unbewiesene Nachricht ergibt 0x00, also akzeptierte process jede Nachricht, und Hunderte Nachahmer spielten die erste erneut ab. Den Null-Root nie bestätigen und unbewiesene Nachrichten ablehnen.
• Euler Finance, 2023-03-13: ca. 197 Mio. $ abgezogen. donateToReserves verbrannte eTokens, ohne zu prüfen, ob der Spender solvent bleibt. Der Angreifer spendete sich in faule Schulden und liquidierte sich dann mit Rabatt selbst. Nach der Spende die Liquidität prüfen, wie bei jeder anderen Auszahlung.