DeFiHackLabs
Коллекция PoC-эксплойтов для реальных DeFi-взломов через Foundry forge-тесты. Включает: reentrancy (Euler Finance $197M), flash loan attacks (CREAM Finance), price oracle manipulation, integer overflow, access control bypass. Каждая атака воспроизводится форком mainnet на момент реального взлома.
git clone https://github.com/SunWeb3Sec/DeFiHackLabs cd DeFiHackLabs && forge install # Воспроизведение Euler Finance hack: forge test --match-contract EulerFinanceTest -vv
DeFi Hacks Reproduce - Foundry
Воспроизведение инцидентов взлома DeFi с помощью Foundry.
839 инцидентов включено.
Сделаем Web3 безопасным! Присоединяйтесь к Discord
Notion: 101 анализ причин прошлых инцидентов взлома DeFi
Инструменты отладки транзакций
Отказ от ответственности: Этот контент предназначен исключительно как демонстрация концепции, показывающая прошлые инциденты взлома DeFi. Он строго предназначен для образовательных целей и не должен толковаться как поощрение или одобрение какой-либо формы незаконной деятельности или реальных попыток взлома. Предоставленная информация носит информативный и учебный характер, и любые действия, предпринятые на основе этого контента, являются исключительной ответственностью конкретного лица. Использование этой информации должно соответствовать применимым законам, нормативным актам и этическим стандартам.
Содержание
- Начало работы
- Наши спонсоры
- Поддержать нас
- Список прошлых инцидентов DeFi
- Инструменты отладки транзакций
- База данных подписей Ethereum
- Полезные инструменты
- Панель хаков
- Список взломов DeFi и POC
Начало работы
-
Следуйте инструкциям для установки Foundry.
-
Клонируйте и установите зависимости:
git submodule update --init --recursive - Руководство по участию
Академия кибербезопасности Web3
Все статьи также публикуются на Substack.
Отладка транзакций в блокчейне
- Урок 1: Инструменты ( English | 中文 | Vietnamese | Korean | Spanish | 日本語 )
- Урок 2: Разминка ( English | 中文 | Korean | Spanish | 日本語 )
- Урок 3: Напишите собственный PoC (Манипуляция ценовым оракулом) ( English | 中文 | Korean | Spanish | 日本語 )
- Урок 4: Напишите собственный PoC (MEV-бот) ( English | 中文 | Korean | Spanish | 日本語 )
- Урок 5: Анализ Rugpull ( English | 中文 | Spanish | 日本語 )
- Урок 6: Напишите собственный PoC (Повторный вход) ( English | 中文 | Spanish | 日本語 )
- Урок 7: Анализ взлома: Nomad Bridge, август 2022 ( English | 中文 | Spanish | 日本語 )
Поддержать нас
Если вам нравится наша работа, пожалуйста, рассмотрите возможность пожертвования. Даже небольшая сумма помогает нам продолжать разработку и улучшение наших проектов, а также продвижение безопасности web3.
- Gitcoin - Пожертвовать DeFiHackLabs
- EVM-чейны - 0xD7d6215b4EF4b9B5f40baea48F41047Eb67a11D5
- Giveth
Список прошлых инцидентов DeFi
20260719 NFT Auction Marketplace
20260625 OceanBPoolSideStaking 20260624 DLMC
20260617 LBP 20260617 Aztec V1
20260605 AISOTHPresale 20260604 BYToken — Безразрешительный триггер автоматического сжигания, манипуляция резервом
20260604 ATM Token — Скрытый transferFrom, автоматический обмен, истощение
20260530 AROS — Повторная利用您的 подписи
20260529 YSDAO — Манипуляция ценой и обход налога
20260528 LegendaryMoneyMonNft — ecrecover / address(0), обход подписи
20260528 DxSale — Атака перезаписи владения
20260527 Joe Agent — Повторный вход в removeLiquidityViaContract
20260526 SKP Token — Задняя дверь владельца, сжигание LP, манипуляция ценой
20260526 SKP Token — Целенаправленно спроектированное истощение, внутренняя эксплуатация, rug pull
20260525 SquidRouterModule — Отсутствует проверка вызывающего
20260525 New Market Trading — SquidRouterModule, отсутствует проверка вызывающего
20260525 WUSD.fi — Злоупотребление синильным стимулом
20260522 FractalProtocol — Логическая ошибка в бизнес-логике
20260521 MureDistribution — Обход проверки подписи
20260520 MAPProtocol — Произвольная чеканка
20260519 ElevateFi — Манипуляция ценой резерва
20260518 TesseraSwap — Сpread цены возврата вызова
20260517 VerusBridge — Недостаточная проверка
20260517 SEAToken — Логическая ошибка в бизнес-логике
20260515 AdsharesBridge — Недостаточная проверка
20260512 SQTokenStaking — Контроль доступа
20260511 INKFinance — Логическая ошибка в бизнес-логике
20260511 HumaFinance — Обход одобрения кредита
20260510 Renegade — Неинициализированный прокси
20260507 TrustedVolumes — Повторная эксплуатация подписи
20260505 Ekubo — Логическая ошибка в бизнес-логике
20260501 SharwaMarginTrading — Манипуляция спотовой ценой залога Hegic
20260428 RWAVault — Отсутствует проверка allowance ERC-4626
20260428 JUDAO — Хук продажи JUDAO, истощение резерва
20260427 Unverified_a152 — allowanceTarget, одобрение, истощение
20260425 SingularityDynaVault — Неправильная конфигурация оракула, инфляция долей
20260423 GiddyVaultV3 — Неполное покрытие подписи
20260421 KipseliPropAMM — Несоответствие десятичных знаков в ценообразовании
20260420 JuiceboxREVLoans — Фиктивный терминал, обход проверки источника займа
20260420 ThetanutsVaultShareRounding — Манипуляция округлением долей хранилища
20260419 AaveRebalancerCreditDelegation — Произвольный внешний вызов, злоупотребление делегированием кредита
20260415 XLootStaking — Дублирование погашения XLoot
20260414 MONA LisaVault — Фарминг наград, эксплуатация учёта адреса сжигания
20260414 Saturn Protocol — Раскрытие уязвимости
20260412 SubQuerySettings — Контроль доступа к настройкам
20260407 SquidMulticallAllowanceDrain — Произвольный вызов, неверное одобрение
20260405 PerpPair — Манипуляция виртуальным AMM
20260331 WhalebitOracleManipulation — Манипуляция спотовым оракулом Algebra
20260328 VTSwapHook — Ошибка ценообразования в хуке Uniswap V4
20260327 EST Token — Неверный механизм сжигания токенов
20260324 XocolatlLiquidator — Контроль доступа, проверка входных данных
20260324 Univ3CollateralToken — Логическая ошибка
20260323 BCE — Логическая ошибка дефляционного токена
20260319 ATMBlindBox — Слабая случайность, предсказуемый ГСЧ
20260319 Revamp — Истощение учёта наград
20260316 unverified — CheckoutPool (старый BoC), отсутствует контроль доступа
20260315 Venus THE — borrowBehalf, атака донатом
20260315 StakeOnMe — Привилегия владельца, сжигание JAKE, истощение резерва
20260310 AlkemiEarn — Бизнес-логика
20260302 Curve LlamaLend — Манипуляция ценой доли
20260222 LAXO Token — Неверная логика сжигания
20260216 XDKRecycle — Манипуляция резервом XDK Recycle
20260215 Moonwell — Неисправный оракул
20260120 Makina — Манипуляция ценовым оракулом
20260120 SynapLogic — Логическая ошибка в бизнес-логике
20260112 MTToken — Неверная логика комиссий
20260110 FutureSwap — Несоответствие единиц измерения
20260109 TRU — Переполнение
20260101 PRXVT — Логическая ошибка в бизнес-логике
2025
20251201 yETH — Небезопасная арифметика
20251110 DRLVaultV3 — Манипуляция ценой
20251104 Moonwell — Неисправный оракул
20251103 BalancerV2 — Потеря точности
20251020 SharwaFinance — Проверка после неплатежеспособности
20251007 TokenHolder — Контроль доступа
20251004 MIMSpell3 — Обход проверки неплатежеспособности
20250918 NGP — Манипуляция ценой
20250913 Kame — Произвольный внешний вызов
20250830 EverValueCoin — Арбитраж
20250831 Hexotic — Неверная проверка входных данных
20250827 0xf340 — Контроль доступа
20250823 EquilibriaEPendle — Ошибка учёта наград
20250823 ABCCApp — Отсутствие контроля доступа
20250822 Unverified_6f7a — Контроль доступа
20250820 MulticallWithXera — Контроль доступа
20250820 0x8d2e — Контроль доступа
20250819 PresaleV5 — Манипуляция ценой
20250817 AutoPooledTradingBot — Логическая ошибка в бизнес-логике
20250816 unverified — Логическая ошибка в бизнес-логике
20250816 d3xai — Манипуляция ценой
20250815 SizeFlashLoanLooping — Произвольный внешний вызов
20250815 PDZ — Манипуляция ценой
20250815 SizeCredit — Контроль доступа
20250813 BeefyZapRouter — Произвольный внешний вызов
20250813 YuliAI — Манипуляция ценой
20250813 coinbase — Неправильная конфигурация
20250813 Grizzifi — Логическая ошибка 20250812 BaseBebopSettlement
20250725 WhereIsMyDragonTreasure
20250716 StrategyLlamaLendConvex
20250702 ActivePoolUrgentRedemption
20250509 Nalakuvara_LotteryTicket50
20250305 1inch Fusion V1 Settlement
20250211 Scorch 20250211 LimitOrderProtocol 20250211 FourMeme
20250106 Mosca 20250104 SorStaking
2024
20240806 Novax 20240801 Convergence
20240703 UnverifiedContr_0x452E25
20240610 UwuLend - Price Manipulation
20240417 UnverifiedContr_0x00C409
20240404 WSM
2023
[20231231 20231220 TransitFinance
20231201 UnverifiedContr_0x431abb
20230929 DEXRouter 2023.09.26 XSDWETHpool
2023.07.15 USDTStakingContract28
2023.06.27 UnverifiedContr_9ad32
2023.06.15 CFC 20230615 DEPUSDT_LEVUSDC - Некорректное управление доступом
20230612 Sturdy Finance - Повторный вызов (reentrancy) только для чтения
20230611 SellToken04 - Манипуляция ценой
20230607 CompounderFinance - Манипуляция средствами через колебания количества обмениваемых активов
20230606 VINU - Манипуляция ценой
20230606 UN - Манипуляция ценой
20230602 NST SimpleSwap - Непроверенный контракт, неверное одобрение
20230601 DDCoin - Атака флеш-кредитом и уязвимость смарт-контракта
20230601 Cellframenet - Проблемы с расчетами во время миграции ликвидности
20230531 ERC20TokenBank - Манипуляция ценой
20230529 Jimbo - Манипуляция ценой, специфичная для протокола
20230529 BabyDogeCoin - Отсутствие защиты от проскальзывания
20230529 FAPEN - Неправильная проверка баланса
20230529 NOON_NO - Неверная видимость в функции
20230525 GPT - Эксплуатация механизма комиссий
20230524 LocalTrade - Некорректное управление доступом к контракту с закрытым исходным кодом
20230524 CS - Устаревшая глобальная переменная
20230523 LFI - Ошибка в бизнес-логике
20230514 landNFT - Отсутствие контроля разрешений
20230514 SellToken03 - Непроверенный ввод пользователя
20230513 Bitpaidio - Ошибка в бизнес-логике
20230513 SellToken02 - Манипуляция ценой
20230512 LW - Манипуляция ценой с помощью флеш-кредита
20230511 SellToken01 - Ошибка в бизнес-логике
20230510 SNK - Ошибка в расчете наград
20230509 MCC - Рефлексивный токен
20230509 HODL - Рефлексивный токен
20230506 Melo - Управление доступом
20230505 DEI - Неправильная реализация
20230503 NeverFall - Манипуляция ценой
20230502 Level - Ошибка в бизнес-логике
20230428 0vix - Манипуляция ценой с помощью флеш-кредита
20230427 SiloFinance - Ошибка в бизнес-логике
20230424 Axioma - Ошибка в бизнес-логике
20230419 OLIFE - Рефлексивный токен
20230416 Swapos V2 - Атака с использованием ошибки в значении K
20230415 HundredFinance - Пожертвование инфляции обменному курсу и ошибка округления
20230413 yearnFinance - Неправильная конфигурация
20230412 MetaPoint - Неограниченное одобрение
20230411 Paribus - Повторный вызов (reentrancy)
20230409 SushiSwap - Непроверенный ввод пользователя
20230405 Sentiment - Повторный вызов (reentrancy) только для чтения
20230402 Allbridge - Манипуляция ценой с помощью флеш-кредита
20230328 SafeMoon Hack - Взлом SafeMoon
20230328 THENA - Уязвимость протокола доходности
20230325 DBW - Ошибка в бизнес-логике
20230322 BIGFI - Рефлексивный токен
20230317 ParaSpace NFT - Манипуляция с помощью флеш-кредита и scaledBalanceOf
20230315 Poolz - Целочисленное переполнение
20230313 EulerFinance - Ошибка в бизнес-логике
20230308 DKP - Манипуляция ценой с помощью флеш-кредита
20230307 Phoenix - Управление доступом и произвольный внешний вызов
20230227 LaunchZone - Управление доступом
20230227 SwapX - Управление доступом
20230224 EFVault - Коллизия хранилища
20230222 DYNA - Ошибка в бизнес-логике
20230218 RevertFinance - Уязвимость произвольного внешнего вызова
20230217 Starlink - Ошибка в бизнес-логике
20230217 Dexible - Уязвимость произвольного внешнего вызова
20230217 Platypusdefi - Ошибка в бизнес-логике
20230210 Sheep Token - Рефлексивный токен
20230210 dForce - Повторный вызов (reentrancy) только для чтения
20230207 CowSwap - Уязвимость произвольного внешнего вызова
20230206 FDP Token - Рефлексивный токен 20230203 Orion Protocol (повторное входжение)
20230203 Spherax USDs (ошибка пересчёта баланса)
20230202 BonqDAO (манипуляция ценовым оракулом)
20230130 BEVO (токен с отражением)
20230126 TomInu Token (токен с отражением)
20230119 SHOCO Token (токен с отражением)
20230119 ThoreumFinance (ошибка бизнес-логики)
20230118 QTN Token (ошибка бизнес-логики)
20230118 UPS Token (ошибка бизнес-логики)
20230117 OmniEstate (отсутствие проверки входных параметров)
20230116 MidasCapital (повторное входжение только для чтения)
20230111 UFDao (некорректная настройка параметров)
20230111 ROE (манипуляция ценой через флеш-кредит)
20230110 BRA (ошибка бизнес-логики)
20230103 GDS (ошибка бизнес-логики)
2022
20221230 DFS (недостаточная валидация -- флеш-кредит)
20221229 JAY (недостаточная валидация -- повторное входжение)
20221225 Rubic (уязвимость произвольного внешнего вызова)
20221223 Defrost (повторное входжение)
20221214 Nmbplatform (манипуляция ценой через флеш-кредит)
20221214 FPR (контроль доступа)
20221213 ElasticSwap (ошибка бизнес-логики)
20221212 BGLD (дефляционный токен -- манипуляция ценой через флеш-кредит)
20221211 Lodestar (манипуляция ценой через флеш-кредит)
20221211 MEVbot_0x28d9 (недостаточная валидация)
20221210 MUMUG (манипуляция ценой через флеш-кредит)
20221210 TIFIToken (манипуляция ценой через флеш-кредит)
20221209 NOVAToken (вредоносный неограниченный минтинг (скам))
20221207 AES (дефляционный токен -- ошибка бизнес-логики -- манипуляция ценой через флеш-кредит)
20221205 RFB (предсказание случайных чисел)
20221205 BBOX (манипуляция ценой через флеш-кредит)
20221202 OverNight (атака с флеш-кредитом)
20221201 APC (флеш-кредит -- манипуляция ценой)
20221129 MBC & ZZSH (ошибка бизнес-логики -- контроль доступа)
20221129 SEAMAN (ошибка бизнес-логики)
20221123 NUM (несовместимость протокольного токена)
20221122 AUR (отсутствие проверки разрешений)
20221121 SDAO (ошибка бизнес-логики)
20221119 AnnexFinance (верификация обратного вызова флеш-кредита)
20221118 Polynomial (отсутствие валидации входных данных)
20221117 UEarnPool (атака с флеш-кредитом)
20221116 SheepFarm (отсутствие валидации входных данных)
20221110 DFXFinance (повторное входжение)
20221109 brahTOPG (уязвимость произвольного внешнего вызова)
20221108 MEV_0ad8 (произвольный вызов)
20221108 Kashi (дефект дизайна кэширования цен)
20221107 MooCAKECTX (атака с флеш-кредитом)
20221105 BDEX (ошибка бизнес-логики)
20221027 VTF (некорректный расчёт вознаграждений)
20221027 Team Finance (эксплойт миграции ликвидности)
20221026 N00d Token (повторное входжение)
20221025 ULME (контроль доступа)
20221024 Market (повторное входжение только для чтения)
20221024 MulticallWithoutCheck (уязвимость произвольного внешнего вызова)
20221021 OlympusDAO (отсутствие валидации входных данных)
20221020 HEALTH Token (ошибка логики передачи)
20221019 BEGO Token (некорректная верификация подписи)
20221018 HPAY (контроль доступа)
20221018 PLTD Token (ошибка логики передачи)
20221017 Uerii Token (контроль доступа)
20221014 INUKO Token (манипуляция ценой через флеш-кредит)
20221014 EFLeverVault (верификация обратного вызова флеш-кредита)
20221014 MEVBOT a47b (mevbot-a47b) 20221012 ATK
20221011 Rabby Wallet SwapRouter
20220908 Ragnarok Online Invasion
20220701 Quixotic - Optimism NFT Marketplace
20220624 Harmony's Horizon Bridge
20220608 Optimism - Wintermute
20220430 Rari Capital/Fei Protocol
20220409 GYMNetwork 20220329 Ronin Network
20220322 CompoundTUSDSweepTokenBypass
2021
До 2020 года
20200804 Opyn Protocol 20200628 Протокол Balancer
20171106 Parity - «Случайно убил это»
Инструменты для отладки транзакций
Phalcon | Tx tracer | Cruise | Ethtx | Tenderly | eigenphi
База данных подписей Ethereum
Полезные инструменты
ABI в интерфейс | Получить ABI для непроверенных контрактов | ETH Calldata Decoder | ETHCMD - Угадай ABI | Инструменты ABI
Панель взломов DeFi
Slowmist | Defillama | De.Fi | Rekt | Cryptosec | BlockSec
Список взломов DeFi и PoC
20260719 NFT Auction Marketplace - Двухстороннее урегулирование / Возврат средств при снятии с листинга
Потери: ~2.2 BNB
forge test --contracts ./src/test/2026-07/NFTAuctionMarketplace_exp.sol -vvv --evm-version cancun
Контракт
20260719 RWT Token - Манипуляция ценой путем deflationary burn-from-pair
Потери: ~118,000 USDT
forge test --contracts ./src/test/2026-07/RWT_exp.sol -vvv
Контракт
20260716 CompoundProvider - Allowance Sweep / Отсутствие контроля доступа
Потери: ~774,943 USDC
forge test --contracts ./src/test/2026-07/CompoundProvider_exp.sol -vvv
Контракт
20260716 CrowdRingCircle - Манипуляция резервом через burn-from-pair + sync
Потери: ~201,359 USDT
forge test --contracts ./src/test/2026-07/CrowdRingCircle_exp.sol -vvv --evm-version cancun
Контракт
20260716 Perpetual Protocol - Контроль доступа / Отсутствие проверки разрешений
Потери: ~3,062 USDC
forge test --contracts ./src/test/2026-07/PerpetualProtocol_exp.sol -vvv
Контракт
20260714 Lumi Finance - Одобрение Paymaster на фазе валидации ERC-4337
Потери: ~264,000 USD
forge test --contracts ./src/test/2026-07/LumiFinance_exp.sol -vvv --evm-version cancun
Контракт
20260712 Sodium - Обход валидации Session-Key в ERC-4337
Потери: ~11.76 ETH (~$21,200)
forge test --contracts ./src/test/2026-07/Sodium_exp.sol -vvv --evm-version cancun
Контракт
20260701 edel-xstock - Манипуляция ценовым оракулом
Потери: 204,215.57 USDC
forge test --contracts ./src/test/2026-07/edel-xstock_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2072130807356129726
20260629 Vault4626 - Ошибка бизнес-логики
Потери: 13.53 WETH
forge test --contracts ./src/test/2026-06/Vault4626_exp.sol --evm-version shanghai -vvv
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2071495744071086510
20260706 SummerFi - Надувание NAV FleetCommander через обесцененный xUSD
Потери: ~$6M (shares DAI + LVUSDC)
forge test --contracts ./src/test/2026-07/SummerFi_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://etherscan.io/tx/0x0db528c44f23fc7fa4544684a2fab81096450a14aae8bc89f42cd0592d43da12
20260628 AIDC - Ошибка бизнес-логики
Потери: 220.13 WBNB
forge test --contracts ./src/test/2026-06/AIDC_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2071415914948685892
20260627 CookFinanceIssuance - Манипуляция ценовым оракулом
Потери: ~$50K
forge test --contracts ./src/test/2026-06/CookFinanceIssuance_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2071497001443770684
20260625 LixirPermitDrain - Сломанная проверка подписи
Потери: 2.60 ETH, 4,477.72 USDC, 3,609.95 USDT, 24,182.56 LIX
forge test --contracts ./src/test/2026-06/LixirPermitDrain_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2070362661691207935
20260625 OceanBPoolSideStaking - Математика одностороннего join/exit в BPool с учетом баланса gulp в SideStaking
Потери: 127.86K mOCEAN
forge test --contracts ./src/test/2026-06/OceanBPoolSideStaking_exp.sol -vvv
Контракт
Ссылка-источник
http://x.com/defimonalerts/status/2070362661540286735
20260624 DLMC - Манипуляция livePrice, производным от резерва
Потери: 222,560.22 USDT
forge test --contracts ./src/test/2026-06/DLMC_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2069957542109958498
20260623 RoyalRoyalties - Пакетная передача ERC1155 с нулевой сумой надувает баланс уровня Royal LDA
Потери: 261,162.93 USDC
forge test --contracts ./src/test/2026-06/RoyalRoyalties_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2069596801725002121
20260622 Aztec Escape Hatch - Обход учета proof_id (воспроизведение whitehat)
Потери: N/A (чисто учебный пример; максимальный潜在ный ущерб составил бы ~$2M, как при отдельной уязвимости, которая действительно опустошила контракты)
forge test --contracts src/test/2026-06/AztecEscapeHatch_exp2.sol -vvv
Контракт
Ссылка-источник
https://github.com/AztecProtocol/aztec-2.0
https://x.com/ivanbogatyy/status/2069159603942596830
20260622 ATM - Сжигание LP-токена
Потери: 1,603.99 WBNB
forge test --contracts ./src/test/2026-06/ATM_LP_Burn_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2068993748936151209
20260620 OLPC - Манипуляция резервом пары OLPC
Потери: 1,115,903.66 USDT
forge test --contracts ./src/test/2026-06/OLPC_exp.sol --evm-version shanghai -vvv
Контракт
Ссылка-источник
https://x.com/exvulsec/status/2068308334512365924
20260618 JB - Повторяющийся цикл через JB helper опустошает пару JB/USDT
Потери: 49,958.06 USDT
forge test --contracts ./src/test/2026-06/JB_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/audit_911/status/2067943961327763788
20260617 Aztec V1 - Подделка escapeHatch доказательства (безразрешительный выход через RollupProcessor)
Потери: ~$2.2M (1158 ETH + 150,000 DAI + 0.4696 renBTC)
forge test --contracts src/test/2026-06/AztecEscapeHatch_exp.sol -vvv
Контракт
20260617 WHALE - Десинхронизация учета резерва при Transfer
Потери: 3,460.41 USDT
forge test --contracts ./src/test/2026-06/WHALE_exp.sol -vvv --evm-version cancun
Контракт
Ссылка для справки
https://x.com/audit_911/status/2067451654694412720
20260617 LBP - Ошибка учёта награды balanceOf в LBP
Потеря: 610.56 BNB
forge test --contracts ./src/test/2026-06/LBP_exp.sol -vvv --evm-version cancun
Контракт
Ссылка для справки
https://x.com/DefimonAlerts/status/2067329401977532429
20260616 DIP - Манипуляция резервом при комиссии на перевод (Fee-on-Transfer)
Потеря: 111 097,59 USDC
forge test --contracts ./src/test/2026-06/DIP_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка для справки
https://x.com/TenArmorAlert/status/2067059314519417163
20260615 Thetanuts - Ошибка учёта доли в компонентах индексного хранилища
Потеря: 105 471,50 USDC
forge test --contracts ./src/test/2026-06/Thetanuts_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/PeckShieldAlert/status/2066540451126190312
20260614 Aztec Connect - Несоответствие доказательства/расчёта numRealTxs (бесконтрольный RollupProcessorV3)
Потеря: ~$2.19M (эта PoC воспроизводит часть на 908.99 ETH)
forge test --contracts src/test/2026-06/AztecConnect_exp.sol -vvv
Контракт
Ссылка для справки
https://www.cryptotimes.io/2026/06/15/aztec-exploit-drains-2-19m-from-dormant-privacy-protocol/
https://dev.to/cryip/how-a-single-validation-mismatch-can-drain-millions-lessons-from-the-aztec-connect-exploit-2598
20260609 TOPBPool - Чеканка токена под управлением Governance и опустошение пула Balancer
Потеря: 944.20 WETH
forge test --contracts ./src/test/2026-06/TOPBPool_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/DefimonAlerts/status/2064616112822583505
20260609 NovaBox - Обход проверки дивиденда в конструкторе
Потеря: 56.73 ETH
forge test --contracts ./src/test/2026-06/NovaBox_exp.sol --evm-version prague -vvv
Контракт
Ссылка для справки
https://x.com/DefimonAlerts/status/2064616360466919793
20260607 AmbientCrocSwapDex - Ошибка учёта нативного излишка
Потеря: 67.85 ETH
forge test --contracts ./src/test/2026-06/AmbientCrocSwapDex_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/TenArmorAlert/status/2063816231023427861
20260606 BOSS - Монета/сжатие с помощью вспомогательного контракта BOSS и искажение пула из-за налога на перевод
Потеря: 10 207,54 USDT
forge test --contracts ./src/test/2026-06/BOSS_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка для справки
https://x.com/audit_911/status/2063819348305985748
20260605 DTXT - Обход комиссии из-за неправильной классификации ликвидности
Потеря: 35 041,11 USDT
forge test --contracts ./src/test/2026-06/DTXT_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка для справки
https://x.com/audit_911/status/2063793931138347015
20260605 AISOTHPresale - Арбитраж на фиксированной цене в预售
Потеря: 30 314,76 USDT
forge test --contracts ./src/test/2026-06/AISOTHPresale_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка для справки
https://x.com/audit_911/status/2063565495073415618
20260604 BYToken - Манипуляция резервом через бесконтрольный вызов triggerAutoBurn
Потеря: ~$87,402 (146.60 WBNB)
forge test --contracts src/test/2026-06/BYToken_exp.sol -vvv
Контракт
Ссылка для справки
https://hacked.slowmist.io
20260604 ATM Token - Скрытый drain через автоматический обмен в transferFrom
Потеря: ~$243,543 USDT
forge test --contracts src/test/2026-06/ATM_exp.sol -vvv
Контракт
Ссылка для справки
https://hacked.slowmist.io
20260530 AROS - Повторное использование подписи (Signature Replay)
Потеря: ~$295K
forge test --contracts src/test/2026-05/AROS_exp.sol -vvv --evm-version prague
Контракт
Ссылка для справки
https://bscscan.com/tx/0xe89fe640ec5241edfca7d8dcae77a0a4270dee15e4bbd043fc60e393aabf41e1 https://x.com/TenArmorAlert/status/2061289921990570349
20260529 YSDAO - Манипуляция ценой и обход налога
Потеря: ~19.49K USDT
forge test --contracts src/test/2026-05/YSDAO_exp.sol -vvv
Контракт
Ссылка для справки
https://bscscan.com/tx/0x91f26d96373bbec6a6a8517c7be995a739d65f20fed589d53bc47d8140f91907
20260528 LegendaryMoneyMonNft - Обход подписи через ecrecover(address(0))
Потеря: ~$85.5K USD (85 519 USDT)
forge test --contracts src/test/2026-05/LegendaryMoneyMonNft_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/SlowMist_Team/status/2060205558687486441
20260528 DxSale - Атака с переопределением владельца (Ownership Override Attack)
Потеря: ~7.3M USD
forge test --contracts src/test/2026-05/DxSale_exp.sol -vvv
Контракт
Ссылка для справки
https://crypto.news/dxsale-exploit-drains-7-3m-in-bnb-through-hidden-contract-backdoor/ https://x.com/Tahax1/status/1928169316736651568 https://x.com/CoinsultAudits/status/1928203831996297670
20260527 Joe Agent - Повторное вхождение (Reentrancy) в removeLiquidityViaContract
Потеря: ~$45K USD (62.5 BNB + ~1.196M JOE)
forge test --contracts src/test/2026-05/JoeAgent_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/SlowMist_Team/status/2059887450663551352
20260525 SquidRouterModule - Отсутствие проверки вызывающего (caller)
Потеря: 0.25 WBTC + 0.29 wTAO + 0.02 WETH
FOUNDRY_EVM_VERSION=cancun forge test --contracts ./src/test/2026-05/SquidRouterModule_exp.sol -vvv
Контракт
Ссылка для справки
https://t.me/defimon_alerts/3045
20260525 New Market Trading - Отсутствие проверки вызывающего (caller) в SquidRouterModule
Потеря: ~$3.98M USD
FOUNDRY_EVM_VERSION=cancun forge test --contracts src/test/2026-05/NewMarketTrading_exp.sol --match-contract NewMarketTradingExploit -vv
Контракт
Ссылка для справки
https://rekt.news/newmarkettrading-rekt
20260526 SKP Token - Сжатие LP через заднюю дверь владельца + манипуляция ценой
Потеря: ~$212K USD
forge test --contracts src/test/2026-05/SKP_exp.sol -vvv
Контракт
Ссылка для справки
https://www.cryptotimes.io/2026/05/27/skp-liquidity-exploit-drains-212k-across-bnb-chain-defi-protocols/
20260526 SKP Token - Предумышленно спланированный drain (Инсайдерская эксплойт / Rug Pull)
Потеря: ~$212,195 USDT
Классификация: Предумышленная инсайдерская эксплойт — НЕ является обычной внешней атакой.
forge test --contracts src/test/2026-05/SKP_exp2.sol -vvv
Контракт
Ссылка для справки
- https://bscscan.com/tx/0xbc01ea37bd2ff8f6aa6afcfbe0406114ff27a01e9aa56102bfa4ad8a0c2f25ee
- https://bscscan.com/tx/0xadf1b6ff02a917043c816bc8bd1ed67038d64a19d06544b09ceeb872518fda37
- https://www.bitget.com/amp/news/detail/12560605230076
20260525 WUSD.fi - Злоупотребление синильными стимулами _englove
Потеря: ~$200K USD (эmissions GLOVE + опустошение LP)
forge test --contracts src/test/2026-05/WUSD_exp.sol -vvv
Контракт
Ссылка для справки
https://x.com/exvulsec/status/2058803971947385330
20260522 FractalProtocol - Ошибка бизнес-логики
Потеря: ~$13.7K
forge test --contracts src/test/2026-05/FractalProtocol_exp.sol -vvv
Контракт
Ссылка для справки
https://arbiscan.io/tx/0x20db78913a51c3b3aece860ea142c240f3f8fa3b5bbf533a3d1d48eed857e10f https://x.com/DefimonAlerts/status/2058619391776878967
20260521 MureDistribution - Обход проверки подписи
Потеря: ~5.45 ETH
forge test --contracts src/test/2026-05/MureDistribution_exp.sol -vvv
Контракт
Ссылка для справки
https://etherscan.io/tx/0xb83040361a0ec72fa2d06ad69493226518a5f8b5d96c19b400626248f9c5b798 https://x.com/DefimonAlerts/status/2058211424761942226
20260520 MAPProtocol - Произвольная эмиссия токена (Arbitrary Mint)
Потеря: ~$180K
forge test --contracts src/test/2026-05/MAPProtocol_exp.sol -vvv
Контракт
Ссылка для справки
https://etherscan.io/tx/0x31e56b4737649e0acdb0ebb4eca44d16aeca25f60c022cbde85f092bde27664a https://x.com/MapProtocol/status/2059587998409490510
20260519 ElevateFi - Манипуляция ценой резерва
Потеря: ~16,000 USD
forge test --contracts ./src/test/2026-05/ElevateFi_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://t.me/defimon_alerts/3040
20260518 TesseraSwap - Ответ вызова при погашении ценового спреда
Потери: ~$20K
forge test --contracts ./src/test/2026-05/TesseraSwap_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://t.me/defimon_alerts/3038
20260517 VerusBridge - Недостаточная проверка
Потери: ~$11.58M
forge test --contracts src/test/2026-05/VerusBridge_exp.sol -vvv
Контракт
Ссылка-источник
https://etherscan.io/tx/0x6990f01720f57fc515d0e976a0c4f8157e0a9529194c4c15d190e98d087eb321 https://x.com/VerusCoin/status/2057465214975492358
20260517 SEAToken - Уязвимость бизнес-логики
Потери: ~$110K
forge test --contracts src/test/2026-05/SEAToken_exp.sol -vvv
Контракт
Ссылка-источник
https://arbiscan.io/tx/0x001cb16e17c4c5a5c4d02423c9e9b2f2b11ab6b2a1baf2ba53b8fcaf06167716 https://anomly.rs/metasea-redeemposition-distributor-drain-arb-2026-05-17
20260515 AdsharesBridge - Недостаточная проверка
Потери: ~$628K
forge test --contracts src/test/2026-05/AdsharesBridge_exp.sol -vvv
Контракт
Ссылка-источник
https://etherscan.io/tx/0x8844b4ec371c4b13d7fac701b5d546a7c2fba12621a9596dd14b662b14408789 https://etherscan.io/tx/0xfba82bb34515d7aefbf0c89582b71d915ec8861c96babaafdc882743dbc23509 https://etherscan.io/tx/0xa3476575183204b4a662dd6ee56f6499d806e4f41ce83d98366752d31e9e9ca3 https://x.com/DefimonAlerts/status/2055751467579936770
20260512 SQTokenStaking - Управление доступом
Потери: ~$346.1K
forge test --contracts src/test/2026-05/SQTokenStaking_exp.sol -vvv --evm-version prague
Контракт
Ссылка-источник
https://bscscan.com/tx/0x1bae633eda9b3d98999ea116bc403712eaa07093ec32bd6d559085cc4607f5b8 https://x.com/Defi_Nerd_sec/status/2054425936746148148
20260511 INKFinance - Уязвимость бизнес-логики
Потери: ~$140K
forge test --contracts src/test/2026-05/INKFinance_exp.sol -vvv
Контракт
Ссылка-источник
https://polygonscan.com/tx/0xb469a24ec737be16fe41367a7b5b315c7f03b4e0ff3af50b3a2db03b3066b982 https://www.cryptotimes.io/2026/05/11/ink-finance-exploited-on-polygon-140k-usdt-drained-in-flash-loan-attack/
20260511 HumaFinance - Обход проверки кредитного одобрения
Потери: ~$101K (82,315 USDC + 19,074 USDC.e)
forge test --contracts src/test/2026-05/HumaCreditApprovalBypass_exp.sol -vv
Контракт
HumaCreditApprovalBypass_exp.sol
Ссылка-источник
https://www.cryptotimes.io/2026/05/11/huma-finance-v1-exploit-on-polygon-drains-101k-in-usdc/
20260510 Renegade - Неинициализированный прокси
Потери: ~$209K
forge test --contracts src/test/2026-05/Renegade_exp.sol -vvv
Контракт
Ссылка-источник
https://arbiscan.io/tx/0x0e494685ace16d372066c5b4db959b58ebac6d88166c2d9d618e0e421dc0c77e https://x.com/renegade_fi/status/2053531772634427599 https://x.com/DefimonAlerts/status/2053538325969977801
20260507 TrustedVolumes - Повторное использование подписи
Потери: ~$5.87M
forge test --contracts src/test/2026-05/TrustedVolumes_exp.sol --match-contract TrustedVolumesExploit -vv
Контракт
Ссылка-источник
https://rekt.news/trustedvolumes-rekt https://www.darknavy.org/web3/exploits/trustedvolumes-rfq-proxy-drain/ https://blog.verichains.io/p/trustedvolumes-exploit-analysis
20260505 Ekubo - Уязвимость бизнес-логики
Потери: ~$1.4M
forge test --contracts src/test/2026-05/Ekubo_exp.sol -vvv
Контракт
Ссылка-источник
https://etherscan.io/tx/0x770bc9a1f7c32cb63a5002b9ceb5c7994cd3af0fc6b2309cb32d3c46f629daa0 https://x.com/EkuboProtocol/status/2051754481465856038 https://x.com/blockaid_/status/2051757787714118125
20260501 SharwaMarginTrading - Манипуляция спотовой ценой обеспечения Hegic
Потери: 32.85K USDC
forge test --contracts ./src/test/2026-05/SharwaMarginTrading_exp.sol -vvv
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2975
20260428 RWAVault - Отсутствующая проверка лимита ERC4626
Потери: 398,655.47 USDC
forge test --contracts ./src/test/2026-04/RWAVault_exp.sol -vvv
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2958
20260428 JUDAO - Истощение резерва через хук продажи JUDAO
Потери: 205K USDT + 36 BNB
forge test --contracts ./src/test/2026-04/JUDAO_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2955
20260427 Unverified_a152 - Истощение AllowanceTarget через одобрение
Потери: 229K USDT
forge test --contracts ./src/test/2026-04/unverified_a152_exp.sol -vvv
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2987
20260425 SingularityDynaVault - Неправильная конфигурация оракула / Раздувание доли
Потери: 413.13K USDC
forge test --contracts ./src/test/2026-04/SingularityDynaVault_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2048698708309705069
20260423 GiddyVaultV3 - Неполный охват подписи
Потери: $1.3M
forge test --contracts ./src/test/2026-04/giddyvaultv3_compound_auth_exp.sol -vvv --evm-version cancun
Контракт
giddyvaultv3_compound_auth_exp.sol
Ссылка-источник
https://x.com/DefimonAlerts/status/2047334517535642024
20260421 KipseliPropAMM - Несоответствие ценообразования / десятичных знаков
Потери: 0.93 cbBTC
forge test --contracts ./src/test/2026-04/KipseliPropAMM_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2046873857571934254
20260420 JuiceboxREVLoans - Обход проверки источника фиктивного терминала кредитования
Потери: 21.77 ETH
forge test --contracts ./src/test/2026-04/JuiceboxREVLoans_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2046862935650345139
20260420 ThetanutsVaultShareRounding - Манипуляция округлением долей в хранилище
Потери: 0.15 WBTC
forge test --contracts ./src/test/2026-04/ThetanutsVaultShareRounding_exp.sol -vvv
Контракт
ThetanutsVaultShareRounding_exp.sol
Ссылка-источник
https://t.me/defimon_alerts/2933
20260419 AaveRebalancerCreditDelegation - Произвольный внешний вызов / Злоупотребление делегированием кредита
Потери: 6,999.91 WAVAX
forge test --contracts ./src/test/2026-04/AaveRebalancerCreditDelegation_exp.sol -vvv
Контракт
AaveRebalancerCreditDelegation_exp.sol
Ссылка-источник
https://x.com/DefimonAlerts/status/2046504796463808991
20260415 XLootStaking - Двойное погашение xLOOT
Потери: 6.21 ETH
forge test --contracts ./src/test/2026-04/XLootStaking_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2044709964091187660
20260414 MONA LisaVault - Эксплойт фарминга наград / Учёт в BurnAddress!
Потери: ~60.95K USDT
forge test --contracts src/test/2026-04/MONA_LisaVault_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/exvulsec/status/2043928546662592949
20260414 Saturn Protocol - Раскрытие уязвимости
Потери: 0 (Только раскрытие; эксплойт не произошел)
Ценность активов под угрозой: ~$35.7M
forge test --contracts src/test/2026-04/SaturnProtocol_exp.sol -vvv --fork-url https://rpc.ankr.com/eth
Контракт
Ссылка-источник
https://gist.github.com/sgInnora/b70ad98327649ed4ab976a122f45e485
Примечание: Разработчик утверждает, что SAT-001 (недоисчисление) устраняется через _validateTotals, а SAT-002 (накопление допусков) является наблюдением в дизайне с доверенной ролью.
20260412 SubQuerySettings - Управление доступом к настройкам
Потери: 218.07M SQT
forge test --contracts ./src/test/2026-04/SubQuerySettings_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2909
20260407 SquidMulticallAllowanceDrain - Произвольный вызов / Неверное одобрение
Потери: 1 ETH
forge test --contracts ./src/test/2026-04/SquidMulticallAllowanceDrain_exp.sol -vvv --evm-version shanghai
Контракт
SquidMulticallAllowanceDrain_exp.sol
Ссылка-источник
https://x.com/DefimonAlerts/status/2041530294369386806
20260405 PerpPair - Манипуляция виртуальным AMM
Потери: 165K USDC
forge test --contracts ./src/test/2026-04/PerpPair_exp.sol -vvv --evm-version prague
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2041070927908126897
20260331 WhalebitOracleManipulation - Манипуляция оракулом spots-цены Algebra
Потери: 824K USD
forge test --contracts ./src/test/2026-03/WhalebitOracleManipulation_exp.sol -vvv
Контракт
WhalebitOracleManipulation_exp.sol
Ссылка-источник
https://x.com/DefimonAlerts/status/2039372077686251787
20260328 VTSwapHook - Ошибка ценообразования в хуке UniswapV4
Потери: 4,507,034.03 vATH + 2,007,935.14 ATH
forge test --contracts ./src/test/2026-03/VTSwapHook_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2038647146098954283
20260327 EST Token - Неверный механизм сжигания токена
Потери: 150.2 WBNB
forge test --contracts src/test/2026-03/EST_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://bscscan.com/address/0xD4524Be41cd452576aB9FF7b68a0b89aF8498a91
20260324 XocolatlLiquidator - Управление доступом / Валидация входных данных
Потери: 3.25 cbETH и 0.22 WETH
forge test --contracts ./src/test/2026-03/XocolatlLiquidator_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2834
20260324 Univ3CollateralToken - Логическая ошибка
Потери: 57K USD
forge test --contracts ./src/test/2026-03/Univ3CollateralToken_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2036449500512891317
20260323 BCE - Логическая ошибка дефляционного токена
Потери: ~800,000 USDT
forge test --contracts ./src/test/2026-03/bce_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2814
20260319 ATMBlindBox - Слабая случайность / Предсказуемый ГСЧ
Потери: 99K USD
forge test --contracts ./src/test/2026-03/ATMBlindBox_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://t.me/defimon_alerts/2808
20260319 Revamp - Дренаж учёта вознаграждений
Потери: 2.99 BNB
forge test --contracts ./src/test/2026-03/Revamp_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2034532544239088053
20260316 unverified - CheckoutPool Old BOC отсутствует управление доступом
Потери: 85,730 USDC
forge test --contracts ./src/test/2026-03/unverified_1304_exp.sol -vvv --evm-version cancun
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2034532547191820390
20260315 Venus THE - Атака BorrowBehalf + донат
Потери: 913,858.263360521396654198 CAKE + 1,972.530910582753621682 WBNB
forge test --contracts src/test/2026-03/Venus_THE_exp.sol --match-test testTraceDrivenPoC -vvv
Контракт
Ссылка-источник
https://bscscan.com/tx/0x4f477e941c12bbf32a58dc12db7bb0cb4d31d41ff25b2457e6af3c15d7f5663f
20260315 StakeOnMe - Дренаж зарезервированного для сжигания JAKE с привилегиями владельца
Потери: 0.28 ETH
forge test --contracts ./src/test/2026-03/unverified_237d_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2034532549905580417
20260310 AlkemiEarn - Бизнес-логика
Потери: 43.45 ETH
forge test --contracts ./src/test/2026-03/AlkemiEarn_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/blockaid_/status/2031351881029546194
20260302 Curve LlamaLend - Манипуляция ценой доли
Потери: ~240,000 US$
forge test -vvv --contracts ./src/test/2026-03/Curve_LlamaLend_exp.sol
Контракт
Ссылка-источник
https://x.com/yieldsandmore/status/2028368378457362629
20260222 LAXO Token - Неверная логика сжигания
Потери: ~137,000 US$
forge test src/test/2026-02/LAXO_Token_exp.sol -vvv
Контракт
Ссылка-источник
https://x.com/CertiKAlert/status/2027317095420072317
20260216 XDKRecycle - Манипуляция зарезервированными для вторичногоycle XDK
Потери: 6.84 WBNB
forge test --contracts ./src/test/2026-02/XDKRecycle_exp.sol -vvv --evm-version shanghai
Контракт
Ссылка-источник
https://x.com/DefimonAlerts/status/2024163654631882916
20260215 Moonwell - Неисправный оракул
Потери: 1.78M USD
forge test --contracts ./src/test/2026-02/Moonwell_exp.sol -vvv
Контракт
Ссылка-источник
https://forum.moonwell.fi/t/mip-x43-cbeth-oracle-incident-summary/2068
https://forum.moonwell.fi/t/recovery-plan-cbeth-incident-and-moonwell-apollo-onboarding/2084
https://x.com/pashov/status/2023872510077616223
https://x.com/moo9000/status/2024040101982990534
20260120 SynapLogic - Дефект бизнес-логики
ВНИМАНИЕ: SynapLogic является полностью мошенническим контрактом с бэкдорами, уязвимостями и rug pull.
Потери: 27.6 ETH & 3450 USDC
forge test -vvv --contracts ./src/test/2026-01/SynapLogic_exp.sol
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2013432861366292520?s=20
https://x.com/hklst4r/status/2013440353844461979?s=20
https://x.com/CertiKAlert/status/2013440963851755610?s=20
https://x.com/nn0b0dyyy/status/2013445844394279260?s=20
20260120 Makina - Манипуляция оракулом цен
Потери: 5.1M USD
forge test -vvv --contracts ./src/test/2026-01/makina_exp.sol --evm-version cancun
# MUST use evm >= cancun
Контракт
Ссылка-источник
https://x.com/nn0b0dyyy/status/2013472538832314630
https://x.com/TenArmorAlert/status/2013460083078836342
https://x.com/CertiKAlert/status/2013473512116363734
20260112 MTToken - Неверная логика комиссий
Потери: 37K USD
forge test -vvv --contracts ./src/test/2026-01/MTToken_exp.sol
Контракт
Ссылка-источник
https://x.com/TenArmorAlert/status/2010630024274010460?s=20
https://x.com/nn0b0dyyy/status/2010638145155661942?s=20
20260110 FutureSwap - Несовпадение единиц измерения
Потери: 433K USD
forge test -vvv --contracts ./src/test/2026-01/futureswap_exp.sol
Контракт
Ссылка-источник
https://x.com/nn0b0dyyy/status/2009922304927731717?s=20
20260109 Truebit - Переполнение
Потери: 8540ETH
forge test --contracts ./src/test/2026-01/Truebit_exp.sol -vvv
Контракт
Ссылка-источник
https://www.certik.com/zh-CN/resources/blog/truebit-incident-analysis
20260101 PRXVT - Дефект бизнес-логики
Потери: 32.8 ETH
forge test --contracts ./src/test/2026-01/PRXVT_exp.sol -vvv --block-gas-limit 60000000 # use gas limit control iterations
Контракт
Ссылка-источник
https://x.com/CertiKAlert/status/2006685174587605315
Просмотр отчётов о газе
Foundry также умеет отчитываться о газе, используемом для каждого вызова функции, что имитирует поведение hardhat-gas-reporter. В общем, если стоимость газа за вызов функции очень высока, то снижается вероятность её успешного выполнения. Оптимизация газа — важная задача, которую решают разработчики смарт-контрактов.
Каждый доказ的概念 (PoC) в этом репозитории может генерировать отчёт о газе в следующем виде:
forge test --gas-report --contracts <contract> -vvv
Например: Давайте выясним, сколько газа было использовано в PoC для Audius
Выполнение
forge test --gas-report --contracts ./src/test/Audius.exp.sol -vvv
Демонстрация
Воспроизведение уязвимости
Перенесено в DeFiVulnLabs
Тестирование с.flashloan
Перенесено в DeFiLabs
Лицензия
Данный проект лицензирован в соответствии с Лицензией Apache 2.0.