Цитата:
Сообщение от medwet
Спасибо, дарагой! Ищем, спотыкаемся. пруфы про присутствие бэкдоров в 333 в студию, иначе имя тебе...в общем сам знаешь
|
В общем, сидел, три часа проводил собственный аудит контракта, нашел несколько подозрительных мест с тем самым OnlyOwner, за что я изначально и зацепился, потом пришло в голову порыть ютуб. Нашел, за что критиковали этот пирамидос - невозможность дизовна и возможность назначить адресом приема комиссий тяжелый смарт-контракт, который бы вешал входящие транзакции из-за недостатка газа. В данной версии Disown есть, и он был произведен адресом-создателем - я проверил. Поэтому, намеки на дыры с OnlyOwner в качестве бэкдора рассматриваться не могут, беру свои слова назад. По большей части, эта проверка там использовалась для миграции данных из v1 в v2, и безусловно, была бы дырой, если бы Owner остался, т.к. там практически вручную шло заполнение и выдавался доступ к Storage.
С бэкдором пока разобрались. Осталось пара моментов.
Первое. Что там с компенсациями для тех, кто остался в v1? Скоро пойдут отзывы и станет ясно. 1% от общего бюджета это мало. Репутация проекта уже подмочена этим перезапуском, поэтому я бы сто раз подумал, смогут ли они привлечь достаточно буратин
Второе. Зачем вы скидываете под видом аудита ссылку на какое-то видео, которое им не является? Кроме того, технический аудит (который был для первой версии контракта) вообще никак не говорит о том, что вкладчиков не кинут. Он говорит только о том, что контракт безопасен для внешней атаки на смарт-контракт. А возможность вывода средств админами может посчитаться фичей, а не багой! Чтобы фирма провела корректный аудит, надо ставить ТЗ, в котором будет регламентировано, что могут админы, а чего нет, чтобы фирма проверила это заявление на соответствие реальности в смарт-контракте.
Поэтому не все аудиты одинаково полезны. А сам я себя не считаю экспертом в Solidity, чтобы гарантировать истинность вышенаписанных выводов, я просто проверил свои подозрения, пошерстив код.