Поверхности атаки Web3: обзор тестирования на проникновение

Крипто-организации сохраняют все традиционные уязвимости и добавляют цепочку работы с деньгами. Статья описывает систему через четыре компонента: приложение, авторизацию и подпись, взаимодействие с блокчейном, инфраструктуру — с их зонами атак, а также пять специфичных для web3 областей: от эксплуатации и подписания до вывода средств и контрактов.

Правила взаимодействия и безопасности продакшена при пентесте институционального блокчейна

Пентест систем подписи, вывода средств и учёта готовится заранее: цель, область, ответственные, доступ, правила взаимодействия (RoE), критерии остановки, мониторинг, координация изменений. Завершается устранением недостатков и повторным тестированием.

Новостная рассылка — Август 2026

Август 2026: три крупных DeFi-инцидента. Ошибка синхронизации баланса Cosmos EVM затронула 6 сетей (~$14,8 млн). Moonwell (Base) потерял ~$9,1 млн из-за манипуляции оракулом MAMO. Term Finance (Ethereum) — захват управления при нулевой явке (~$8,47 млн).

От инцидентов к регулированию: почему криптоинституциям необходимо тестирование блокчейна на проникновение

Биржи, платёжные компании, кастодианы и кошельки теряют средства вне смарт-контракта: подписи, ключи, люди, цепочки поставок. Статья открывает серию Phalcon Security о пентесте блокчейна: источники риска и требования NYDFS, DORA, VARA, SFC, MAS.

От инцидентов к регулированию: почему крипто-организациям необходим тест на проникновение в блокчейн

Биржи, платёжные фирмы, кастодианы и кошельки теряют деньги вне смарт-контракта — в ключах, подписании и цепочках поставок. Аудит и мониторинг неполны, а пентесты упускают крипто-нюансы. Разница подходов NYDFS, DORA, VARA, SFC и MAS — в 5 юрисдикциях.

Что такое пентест блокчейна? Определения и границы

Общепринятого определения пентеста блокчейна нет, его путают с аудитом, сканированием и bug bounty. Статья даёт рабочее определение и разбирает пять проверяемых возможностей, направляя смежные задачи к аудиту кода, аудиту безопасности кошельков и bug bounty.

Мошенничество Fun Coffee: расследование 278% Ponzi-схемы в сети TRON

Fun Coffee обещал 278% годовых, затем исчез. Мы отследили 72,8 млн USDT через 99 адресов TRON.

~10,26 млн $: атаки Term Finance и MAYAChain | BlockSec

С 17 по 23 августа 2026 г. два инцидента безопасности принесли ~$10.26M убытков в Ethereum и MAYAChain: Term Finance (~$8.5M) — из-за уязвимого управления DAO хранилищ; MAYAChain (~$1.76M) — из-за ошибок учёта и проверки состояния, позволивших вывести раздутую ликвидность.

Мост Harmony Cross-Shard ONE Mint + потеря ключей на ~$47М | BlockSec

10-16 авг 2026: 5 инцидентов, ~$47М убытков. Анализ — уязвимость Harmony: replay чеков между шардами создал 3.01Т ONE (не учтено в убытках). $47М — кражи ключей (Whale ~$25М, Kite ~$14М, Coinsbuy ~$7.9М) и ошибка Fox (~$117K).

Проверка безопасности стейблкоина HKDAP: работает, лицензирован, но не готов

Обзор BlockSec HKDAP — первого регулируемого стейблкоина Гонконга — выявил нефункциональный отзыв KYC, единоключевой контроль эмиссии и противоречия с рекомендациями HKMA.

~$1.6M потеряно: эксплойты токена Moke и LpdFi | BlockSec Weekly

За неделю 3-9 августа 2026 года в BNB Chain произошло 2 инцидента с общими потерями ~$1,6 млн из-за манипуляций с ценами. LpdFi (~$697K): атакующий использовал резервы PancakeSwap для завышения позиции. Moke Token (~$906K): манипуляция ценой и дублирование дивидендов LP.

Инцидент с COLDCARD: когда «случайная» сид-фраза кошелька оказалась не случайной

Ошибка в прошивке COLDCARD направляла генерацию seed на слабый программный ГСЧ, делая кошельки восстановимыми офлайн. Обновление не устраняет проблему. К 7 августа 2026 г. подтверждённые потери — 1 405 BTC (~$91 млн), оценки до 2 055 BTC.