बुटीक ऑडिट.AI की मदद, इंसान की जाँच.

पाँच असली एक्सप्लॉइट बारी-बारी से चलते हैं: हर कॉन्ट्रैक्ट खुद टाइप होता है, स्कैन खामी पकड़ता है, और एक नोट बताता है कि इसकी कीमत क्या रही और इसे कैसे ठीक करें।

• The DAO, 2016-06-17: 3.6M ETH निकाले गए. splitDAO बैलेंस शून्य करने से पहले ही बाहरी कॉल से इनाम भेज देता था, इसलिए हमलावर बार-बार लौटकर उन्हीं टोकन को बाँटता रहा। किसी भी बाहरी कॉल से पहले बैलेंस शून्य करें।
• Parity Multisig, 2017-11-06: 513,774 ETH फ़्रीज़. साझा लाइब्रेरी कभी इनिशियलाइज़ नहीं हुई थी, इसलिए कोई भी initWallet बुलाकर उसका मालिक बन सकता था और kill से उसे मिटा सकता था। उस पर निर्भर हर वॉलेट फ़्रीज़ हो गया। डिप्लॉय के समय लाइब्रेरी इनिशियलाइज़ करें और उसे सेल्फ़-डिस्ट्रक्ट न दें।
• Wormhole, 2022-02-02: 120,000 wETH, ~$325M. verify_signatures कॉल करने वाले के चुने खाते से सिग्नेचर जाँच पढ़ता था और कभी नहीं देखता था कि वह instructions sysvar है। एक नकली खाता पूरी guardian मंज़ूरी बनकर निकल गया। load_instruction_at_checked इस्तेमाल करें, जो sysvar पता जाँचता है।
• Nomad Bridge, 2022-08-01: ~$190M निकाले गए. एक अपग्रेड ने भरोसेमंद रूट को 0x00 कर दिया। बिना प्रमाण का संदेश 0x00 देता है, इसलिए process हर संदेश मान लेता था, और सैकड़ों नकलचियों ने पहला दोहराया। ज़ीरो रूट को कभी कन्फ़र्म न करें और बिना प्रमाण वाले संदेश ठुकराएँ।
• Euler Finance, 2023-03-13: ~$197M निकाले गए. donateToReserves बिना यह जाँचे eToken जला देता था कि दानकर्ता सॉल्वेंट रहा या नहीं। हमलावर दान करके बुरे कर्ज़ में गया, फिर छूट पर खुद को लिक्विडेट किया। दान के बाद लिक्विडिटी जाँचें, जैसे बाकी निकासी में होता है।