Постмортем по обнесенному Tenex от SN60 который специализируется на кибербезопасности
https://x.com/bitsecai/status/2007227425672036674Дается по сути готовый фреймворк по оценке
Что бросается в глаза:
1) Тима Тенекса была полностью анонимна. В дефи это часто, НО лишь при условии, если за тебя впишется известный чел или команда
Так например у SN65 — у Таонадо кеш не может быть доксинга (авторы обязаны оставаться анонимными), однако, они известны в тусовке (и лично в ее пределах)
У тенекса не было никого, кто бы их знал и мог за них поручиться — красный сигнал
У самих SN60 создатель полностью публичен, а команда анонимна, это в дефи стандарт. Тенекс ему не следовал
2) Тенекс использовал кастомные смарт-контракты с одним аудитом — это мало. При этом аудит обнаружил эту уязвимость ранее — однако не сам эксплойт, который использовался
3) Еще один минус создателям — будучи предупрежденными о потенциальной уязвимости, они спешили выкатить продукт, а не исправить ее
Сам эксплойт очень красивый — кошельки тенекса были защищены мультисигом (т.е. любая операция требовала несколько подписей) кроме... функции управления комиссиями, которая ими защищена не была. И один аккаунт получил к ней доступ и через дыру все утащил
Утащил красиво, обновив комиссии (сделав их конскими), они стали заливаться в кошелек протокола, а в процессе он открывал плечевые позиции против ЛП. Для протокола это все был обычный трейдинг — протокол за ТАО, который чел дал в займ, заплатил в тысячи раз больше комсы, чем надо было — в чем и была суть эксплойта
Комиссии в итоге оказались больше пула и 2 млн долларов в лице 13645 ТАО ушли к новому владельцу. Т.е. чел сам себе заплатил за займ который он дал протоколу всеми бабками протокола

Ну это красиво за это мы любим дефи
4) Этот эксплойт в дискорде описывался команде Тенекса
еще месяцы назад — они не сделали нихуя, а сейчас вообще удалили репу с гитхаба, признав полный обсирон
Практические последствияВ дискорде в 99% случаев всегда известны потенциальные уязвимости — при инвестиции в сабнет достаточно посидеть попердеть в чате сабнета пару дней и ты будешь знать про него ВСË
Команда должна быть на связи 24/7, если она проебалась — она уже никогда не появится
За тиму должен кто-то поручиться из комьюнити, она должна быть публичной и быть в контакте с известными челами, даже если анонимна
Один аудит это ниачем, а обычно достаточно послушать аудиторов публичных, которые прочесывают репы на гите
1-2-3, этого достаточно