Взлом на $2.5М в TON который никто не заметил?

Помните такую сеть TAC? Это EVM-сеть с хорошим бриджом в тоне. Так вот, вторые сутки, как мне кажется, этот бридж ломают.

Свежесозданный кошелёк, который был пополнен с FixedFloat. Сначала посылал достаточно необычные транзакции. А потом вывел суммарно больше 2.5 миллионов долларов с бриджа. Вывел он не только USDT, но ещё много BLUM и чуть-чуть tsTON.

Если это правда был взлом, то насколько я понимаю, пострадали все кто бриджил свои ассеты из TON в TAC. Что с обертками в виде с cbBTC, WETH в тоне пока не очень понятно, но кажется, что они в безопасности.

Не знаю, что с этой информацией делать, но я чуть-чуть зашортил TAC и ничего не делаю с своим cbBTC, который у меня лежит в тоне

UPD: Первым эту аномалию заметил @KofkaLife, подпишитесь на него, он умный

Продолжаем голосование!

Считаю, что вместо опросов в телеграме, надо создавать полноценное ончейн голосование!

Собственно я это и сделал, если вы валидатор, голосуйте за снижение награды за блок, надо возвращать адекватную эмиссию.

В текущем предложении награды за блок уменьшены в 5 раз. Отслеживать можно здесь: https://vote.lagus.cooking

Если вы думаете, что награды за блок слишком маленькие, можем устроить голосование и предложить повысить доходность стейкинга хоть до 100%

Ресерч и разработка в тоне

Когда вижу в канале сочетание слов «тон», «ресерч» и «разработка», я прям всегда искренне радуюсь, и к сожалению такого в тоне удивительно мало, хотя казалось бы разработчиков у нас уже через чур много.

Так вот всем тем, кто разделяет эти интересы и кому также все ещё интересны технологии в блокчейне, рекомендую канал @lagus_research от очень умного человека в отличии от меня скамера, там вот первый пост вышел крайне заумный про алгоритмы консенсуса, про которые вообще шарят единицы

Ну и на @TheOpenDevBlog подписывайтесь, если ещё нет, они вообще пионеры в этом

Как же хочется верить, что тон продолжит существовать и тут вообще останется о чем писать и ресерчить

Короче, мемрепаблика

Мы там подумали-подумали и решили запустить токен от 50 инфлов 10 разработчиков. Не ясно что из этого выйдет, но хотим делать смешные приколы.

Если интересно: @tondev_jetton

Пока проходит аукцион на папахи непобежденного Хабиба, мой дорогой друг предложил провести бой во имя 80.000 TON, которые террорист украл у пользователей.

Несмотря на космическую разницу в весовой категории (я сильно сбросил на этой экосистемной сушке):

Ник, выходи на бой, в Дубае, по правилам ММА. Сделаем красивый сайд-эвент к Токену и Гейтвею, где тебе придётся ответить за ворованные деньги пользователей.

Твой отказ, конечно же, восприму как обыденность, поскольку мы уже привыкли к тому, что ты не готов отвечать за свои слова.

Я считаю, это главной ценностью нашего чейна и это то, из-за чего в ТОНе до сих пор интересно находится. Надо возводить ценности в абсолют!

Те кому интересен ресерч, технология и философия криптовалют (я сам такой), к сожалению вы ошиблись блокчейном – вам стоило идти в эфир.

Who is sandwiching the sandwiches?
Или как я заработал ~$2k, брея MEV-ботов

Когда-то давно я посмотрел крутой видос про ethereum dark forest и мне запала в душу концепция разных ботов в блокчейне. Нравится мне это сравнение ботов с хищниками, которые ищут прибыль.

Так вот в тоне широко распостранены сендвич боты, их у нас принято называть мевами, хотя это лишь подкатегория мевов, и не очень понятно корректно ли вообще их мевами называть.

Что делает сенвич бот? Он детектит твою покупку токена в мемпуле и создает свою транзакцию на покупку перед тобой, а затем последующую продажу. И получается что бот зажимает тебя так, что его покупка оказывается первее, а продажа идет после твоей покупки, так сендвичи и забирают деньги у работяг.

Эти сендвич боты удивительно смелые и готовы зажимать тебя покупками аж сотнями тон, и тут хочется всем напомнить, что в нашем блокчейне транзакции то асинхронны и неатомарны. Это на самом деле создает огромный риск для ботов. И удивительно, что его так мало пытались эксплуатировать.

Собственно этой эксплуатацией я и занялся. Я создавал токен, пул, заливал ликву, создвавал два кошелька – один триггерит сендвич бота, другой сразу после покупки бота аккуратно в тайминг выдергивает ликву. Получается такой сендвичинг самого сендвич бота. Звучит просто, но для качественной реализации было необходимо знать про секретные незадокументрованные знания об (LT; hash) транзакций, о которых знает только несколько десятков разработчиков. Так я проделывал много раз, и кажется перепугал уже всех сендвичей каких только возможно и дальше схема уже так хорошо не работает. Пример успешного срабатывания схемы.

Всё исполнение было сделано с помощью библиотеки agton, на которую мне, кстати, ТФ не одобрил грант. Думайте.

Если вам интересно программирование, блокчейн и тон, заходите в чат канала @gosunov_chat, может что-то интересное там будет

Кто-то абузит Storm Trade

Пока все спят, и никто не заметил, опубликую новость одним из первых.

Что-то странное происходит с штормом. За буквально три часа TON и USDT волты упали на полтора процента. В пересчете на доллары это почти $200к. Дефай Ллама показывает всплеск активности. Можно покапаться в эксплорерах и найти куча каких-то разных ферм (раз, два). И просто жирных пустых адресов.

Это не похоже на взлом. Но похоже на манипуляцию рынком. Чисто предположение, что кто-то посчитал всю математику и сделал вывод, что выгодно манипулировать глобально ценой тона и устраивать микродвижения цены в нужную сторону. И открывать под это дело позицию с плечом 500 на шторме.

Если посмотреть график тона в последние три часа, то можно увидеть эти микро памп и дампы.

Сам я это увидел вот тут: @AstreidesAnalytics11523

UPD: Объяснение ситуации от самих штормов @storm_trade_news_ru1021

Я подкинул Пескарю идейку, устроить голосование валидаторов, а он это невероятно быстро реализовал, и теперь в блокчейне проходит настоящее ГОЛОСОВАНИЕ!

Суть голосования, чтобы изменить ничего не значащий параметр, с скучных ноликов, на нескучную подпись, ничего не поломав. Я считаю все от этого выиграют.

Так что в такие трудные для тона времена, я обращаюсь к валидатором. Нам надо показать всем, что наш блокчейн ДЕЦЕНТРАЛИЗОВАН и не подконтролен одной группе лиц (ведь так?). Оставьте свой голос за сие прекрасное предложение.

Голосуй или проиграешь!

Создал свою Python TON библиотеку!
Естественно она самая лучшая

Я пробовал много разных таких библиотек, но все они меня не очень устраивали. Если вы пишите на питоне, то у вас фактически выбор из трех библиотек pytoniq, tonutils и tonpy. По моему скромному мнению, эти библиотеки далеки от идеала. Хорошая библиотека сделана для тайпскрипта и, кажется, что очень хорошая сделана для котлина. Но котлин это слишком сложно для меня. А тайпскрипт это беее!

Много важных штук по разработке сейчас можно делать исключительно на тайпскрипте. Я устал от этого засилья джаваскрипт экосистемы с её нпмами, нодами и прочими странностями и решил развивать разработку под тон на лучшем языке планеты – питоне.

Добавлю сразу, что это либа для хакеров (в хорошем смысле этого слова) и разработчиков, которые плотно взаимодействуют с тоном. Если от библиотеки вы хотите просто, чтобы была функция, которая отправит токены с комментарием, а вы не знаете, что для этого нужно отправить jetton_transfer с forward_payload с snake_data и нулевым опкодом на свой jetton_wallet, то это библиотека не для вас.

Я уже релизнул начальный вариант библиотеки. Подробнее, что там есть и какие планы можете прочитать в отдельном канале.

@agton_news

Мне пока очень нравится, что получается, это без шуток один из лучших кодов, который я когда-либо писал.

Также прошу, опытных разработчиков посмотреть на либу. Если вы шарите в тоне посмотрите, например, на обертку жеттонов, если вы шарите в программирование и тоне оцените класс для TL-B. Ну и зацените в общем тур по кор фичам либы.

Получить грант, даже символический, было бы очень приятно

Техническая особенность x1000, которую мало кто оценит

Думаю уже все слышали, что команда ДеДаста выпустили новый продукт x1000.finance. Я к сожалению, плохо попадаю под ЦА этого продукта, но хотелось бы разобрать одно достаточно новаторское для тона техническое решение реализованное там.

Имхо одной из самых основных и важных фич – это возможность отправлять транзакции без подписания в своем кошельке. То есть ты пополняешь свой внутренний баланс, и шлешь очень быстро и удобно с него.

Если вы задумывались как это реализовать с технической стороны, то можно предположить, что это не такая уж трастлесс технология, вы, наверное, доверяете управление своим внутренним балансом сервису. Именно так и происходит со многим трейдинг ботами внутри телеграма, например дтрейд . Мы все доверяем таким ботам, и им редко выгодно скамить пользователей, тем не менее рагпулы случаются.

Так вот к чему это я, в x1000.finance всё сделано тру трастлесс! Я и Пескарь ресерчнули, как работает создание депозитного кошелька, и короче наш вердикт, что это реализовано круто! Приватный ключ кошелька никогда не покидает ваш браузер. Чтобы это реализовать использовали новую фичу тонконнекта.

Попытался объяснить, вышло чуть душно, возможно кому-то будет интересно:

Для каждого публичного ключа есть ровно один депозитный адрес. Депозитный адрес имеет динамический публичный ключ. То есть в моменте времени депозитный адрес хранит инфу (user_pk, pk?).

Как происходит начало сессии торговли:
1) Внутри браузера генерится пара (sk, pk)
2) В SignData вы подписываете сгенерированный ключ своим user_sk, браузер сохраняет эти подписанные данные
3) При отправке транзы (покупки/продаже), в смартконтракт вашего депозитного адреса, передается SignData, смартконтракт проверяет её, и меняет свой публичный ключ на указанный там
4) Транза отправляется. Приватный ключ не покинул вашего браузера!

Если вы сотрете всю инфу с браузера, вам придется снова подписать сообщение в кошельке.

Кстати, у этого есть забавное следствие, вы можете подключить разные версии кошелька V4R2, V3R2 и у вас будет тот же депозитный адрес.

Ник подтвердил, что общий принцип работает именно так

Лично мне показалось это очень изящным решением. Я знаю, что похожее планирует делать шторм трейд и возможно другие сервисы. Делайте такое же решение – оно крутое. Вообще радует, что новые фичи используются и UX тон аппок улучшается.

Если среди моих подписчиков, есть любители поторговать мемы, пользуйтесь – https://x1000.finance/?ref=mrkn9tz5

Я взломал дефай протокол в тоне! И всё вернул..

Изучая опенсорс протоколы, я наткнулся на протокол с неймингом французских гренок. И роясь в коде каким-то чудом обнаружил там критическую уязвимость! В моменте мне захотелось поиграть в хакера и я сделал эксплойт. Кто бы мог подумать, но после эксплойта меня замучила совесть, поэтому, когда мне написали с просьбой вернуть деньги, я сразу вернул, оставив себе только маленькую часть. Нашу маленькую ончейн переписку можете посмотреть здесь.

Удивляет в этой истории, что протокол был проаудирован квантштампом, и они пропустили настолько прямолинейную уязвимость! Ещё чуть менее удивительно, но все равно интересно, что хак заметило ровно ноль человек. Что это говорит нам о дефае на тоне? Не знаю..

Вообще команда сейчас закрывает протокол и билдит что-то новое. И я искренне им желаю удачи. Билдить дефай на тоне дело очень неблагодарное, так что респектую всем, кто рискнул сюда залезть.

Да я не писал посты три месяца, и что вы мне сделаете? Ожидаю, что много людей от канала отпишуться, потому что забыли как сюда попали :)

Опять про TON Connect, и опять про тон пруфы

TON Connect это просто замечательный протокол, это одна из тех фич тона, которая реализована намного круче, чем в других блокчейнах. Но разработчики сервисов могут, не всегда его правильно интегрировать.

Я уже писал, как однажды обошёл дуревский впн, который давал доступ к впну бесплатно, если у тебя есть на кошельке нфтшка. А сейчас я написал более обобщенное решение, которое позволяет подключить любой адрес к любому сервису, если тот не использует тон пруф!

http://fakeconnect.gosunov.ru

На самом деле, теперь все интересные юзкейсы уже пофикшены . (Можно было зайти в некоторые ОЧЕНЬ дорогие приватки). Но думаю, кто-то все равно найдёт применение. Вот пара полезных и не злых применений доступных сейчас. Допустим вам интересна история трейдов человека в шторм трейде и его открытые позиции, или вы хотите посмотреть сколько юзер положил денег в еваа протокол. Вы можете подключить этот адрес и скопировать ссылку подключения в сервисе, и вам прям в браузере покажется вся инфа!

Я относительно долго и глубоко разбирался в протоколе тонконнекта и возможно напишу вторую часть с жестким программистким хардкором, напишите, если это интересно. А ещё спасибо за эту идею @tiredofbeeing

Там тон кор запустили два контеста для гениев блокчейна. И контест по разработки бриджа по моему очень интересен. Кажется в ТОНе в дополнение к мейннету и тестнету может появится ещё одна сеть. Некий FASTNET.

Описание с сайта:

TON mainnet is configured in a such a way to provide reasonable fees and (almost) unlimited throughput through asynchronous execution, without compromising decentralization or censorship-resistance. However there are applications where limited throughput is acceptable if it results in lower fees and much faster finality. TON-based network can work in this regime too.
Because of this, we can get the best of all possible regimes by spawning separate blockchains with specific configurations and binding them into one borderless ecosystem with bi-directional trustless bridges.

Как будто пожертвуют пропускной способностью, взамен на более быстрые транзакции. На сайте время блока отмечено в 1 секунду!

При чем этот FASTNET уже работает, есть апишка и даже кран, где можно получить тестовые тоны!

Крутое что-то готовится, мне нравится.

Небольшой анализ разлоков ТОНа

Многие знают, что Телеграмм продаёт ТОНы OTC по скидке. Можно даже увидеть когда он их продаёт. Продает он их, конечно с нормальным таким вестингом. И есть даже сервис для просмотра данных о вестинге.

Но вот только нигде нет никакой общей статистики, когда и сколько будет разлоков. Поэтому я выкачал данные о всех вестинг кошельках и сделал эту статистику! Посмотреть красивый график можно тут http://unlocks.gosunov.ru.

Из интересного, уже произошло каких-то два больших разлока. Пришли они на этот кош, а этот кош их тут же раскидал на биржи) Последний разлок был 4 ноября, тогда курс тона просел с 4.86 до 4.59, уж не знаю связанные ли эти события, но в следующий разлок попробую открыть шорт.

Я никак не связан с USDT и Ноткоином!

Знали ли вы, что любому безымянному адресу кто угодно может присвоить своё название? Так например кто-то сделал, что теперь нулевой адрес это blockburner.ton. Я вот когда об этом узнал, очень удивился и провернул тоже самое с адресами USDT и NOT. Просто вставил туда своё имя. Сделал я это очень давно, и уже забыл об этом. Зачем? Мне просто показалось, что это смешно.

Вот только сейчас мне это аукнулось, и мне начали писать куча людей с обвинениями в каких-то мошенничествах, ханипотах, и даже угрожать! Оказалось всё из-за этих адресов... Специально для них я пишу этот пост, чтобы скидывать его, когда мне такое пишут.

Ещё, кстати, удивлен, что этим массово не пользуются. Есть же много безымянных адресов, с которыми ежедневно взаимодействуют тысячу раз. Можно вставить туда какой-нибудь фишинг или рекламу. На всякий случай не буду тут говорить, как такое сделать.

UPD: Я изменил днсы на usdt-minter.ton и notcoin-minter.ton (ща подумал надо было к ним ещё adnl свой привязать).

Я верифнул контракт болта!

Если вдруг кто не знает верификация контракта нужна, чтоб любой мог посмотреть код контракта и быть увернным с чем он взаимодействует. В тонвьювере даже есть отдельная вкладочка "Code", если контракт верифнут, то вы увидите нечто более менее читаемое, если же нет, увидите просто набор букв и цифр. Контракты верифают обычно создатели, но может так-то и любой человек, который знает FunC код исходников.

Так вот контракт старейшого в тоне жеттона не был верифнут создателями (вероятно потому, что тогда и верифаера не было). Но код оказывается был открыт, я долго и муторно пытался верифнуть контракт самого жеттон мастера, но что-то то ли технологии сильно изменились за два года, то ли программисты че-то там напутали, но жеттон-мастер верифнуть не получилось. Зато получилось верифнуть контракт кошелька болта. Теперь в каждом коде кошелька болта в начале идёт моя реклама) Вот тут можно посмотреть, как это выглядит.

Тут болтоши в одном из последних постов напомнил о существовании такого сервиса как durevpn. Хотел поделиться исторей связаной с ней.

В конце августа, когда они только запустились, я зашёл посмотреть что за впн, как сайт работает и нашёл супер элементарную ошибку у них. Для контекста, они дают впн бесплатно, если у тебя на кошельке лежит их нфтшка. Как они проверяют, что кошелёк принадлежит тебе? Никак! То есть ты просто подключаешь тонконнект на фронте, они берут адрес кошелька с фронта и пересылают на бэк. Естественно такую вещь очень легко обойти. Вот скрипт, который это делает.

Я в день публичного запуска зарепортил им это. Они поблагодарили. Я попросил 50 долларов. Они заигнорили...

Спустя два месяца можно всё также получить доступ к их впну бесплатно. Видимо не баг, а фича. Думаю, что им просто в лом или они даже не знают, как это починить. А чинится это тон пруфами, вон Субботин целый сервис для примера написал.

UPD: Пофиксили, я уверен все ещё есть способ обойти, но мне лень искать