Audit boutique.Assistiti dall’IA, verificati da persone.

Cinque exploit reali si ripetono a turno: ogni contratto si scrive da solo, la scansione segnala la falla e una nota dice quanto è costata e come si corregge.

• The DAO, 2016-06-17: 3,6 mln di ETH sottratti. splitDAO pagava la ricompensa con una chiamata esterna prima di azzerare il saldo, così l’attaccante rientrava e divideva gli stessi token ancora e ancora. Azzerare il saldo prima di ogni chiamata esterna.
• Parity Multisig, 2017-11-06: 513.774 ETH congelati. La libreria condivisa non era mai stata inizializzata: chiunque poteva chiamare initWallet, diventarne proprietario e distruggerla con kill. Ogni wallet che vi delegava si è congelato. Inizializzare la libreria al deploy e non darle autodistruzione.
• Wormhole, 2022-02-02: 120.000 wETH, ~325 mln $. verify_signatures leggeva la verifica delle firme da un account scelto dal chiamante e non controllava mai che fosse il sysvar delle istruzioni. Uno falso è passato come approvazione completa dei guardiani. Usare load_instruction_at_checked, che verifica l’indirizzo del sysvar.
• Nomad Bridge, 2022-08-01: ~190 mln $ sottratti. Un aggiornamento ha impostato la root fidata a 0x00. Un messaggio non provato dà 0x00, quindi process accettava qualsiasi messaggio, e centinaia di imitatori hanno ripetuto il primo. Non confermare mai la root zero e rifiutare i messaggi non provati.
• Euler Finance, 2023-03-13: ~197 mln $ sottratti. donateToReserves bruciava eToken senza verificare che il donatore restasse solvibile. L’attaccante ha donato fino al debito inesigibile, poi si è liquidato da solo con lo sconto. Verificare la liquidità dopo la donazione, come negli altri prelievi.