О безопасности. Или как не проебать все свои деньги. И ещё немного о модификации софта.
Изначально хотели написать маленький чек-лист по коду в крипте. Спойлер - На статью уже затратили около месяца, написано ~11000 слов, закинули на прочтение тестовой версии ~20 разным людям, получили умеренно положительный фидбек. Очень скоро.
Думаю, вы поняли, что этот пост - часть прогрева перед статьёй. А посвящён он безопасности.
Начнём.
Мета ретродропов, куча софтов. И очень много людей столкнулись с новой реальностью - Adapt or Die. Уверен, что у вас в папочке "Downloads" или "Telegram Desktop" лежит куча .py или .exe с софтами. Запускать их мы научились. А вот что с безопасностью? А вы точно уверены, что тот самый open-source софт, который вы скачали пару месяцев назад, был чистый?
Вы точно уверены, что в каком-то из этих файлов не лежала подлянка и ваши приватные ключи не стоят на дрейне? Ведь будет неприятно осознать на клейме дропа, что целый год работы и, допустим, 10,000$ на комиссии были потрачены впустую. А стакан токенами $ZRO и $STRK убиваете не вы, а скамер.
Про закрытые .exe я уж молчу, никого не осуждаю, но в .exe можно запихнуть буквально всё, и вы узнаете об этом уже очень и очень поздно. А засовывать свои приватники в телеграм ботов - ну это пиздец. Шанс на компрометацию вырастает в разы - могут угнать доступ к вашему компу, к вашей телеге, к базе данных продавца софта, к телеге продавца и ещё куча разных дырок.
Вы точно готовы доверять свои ключи кому-то?
Это не призыв бездумно ждать нашу статью и ещё бездумнее читать её. Нет. Мы немного о другом.
Есть такое прекрасное явление как open-source. Думаю, вы все прекрасно знаете, что это такое (в противном случае - google it). Так вот, люди почему-то решили делиться своими кодерскими решениями абсолютно бесплатно. Звучит странно c материальной точки зрения, но да. У каждого своя цель. Кто-то хочет набить портфолио. Кто-то хочет софтами набить себе аудиторию. Кто-то просто добряк. Я вот свои статьи бесплатно пишу. Раньше цели не было, но сейчас есть. Короче, к чему всё это?
Есть огромный рынок open-source софтов, как на обычные крипто активности, так и узконаправленные под ретро. Их реально очень много. Стоит ввести в поиск телеги или гитхаба нужный вам запрос, например, 'stargate bridger', и вы найдёте десятки решений, бесплатных решений. И этот тот самый велосипед, который вам не нужно изобретать. Вы можете найти нужный модуль и быстро вставить его в свой софт или переписать по своему. Но всегда есть но.
Скам, дрейн, стиллеры. Без аудита в опен сорс софты лезть не стоит. Вообще никак. А как вы зааудите софт, не имея никаких навыков в программировании? Никак. Только если закажите аудит на стороне. Но он будет стоит денег + вам всё равно придётся довериться кому-то, а не себе. Вам никто не сделает хороший аудит за 10 долларов. Если вас сдрейнят, то ничего не стоит вернуть эти несчастные 10 долларов.
На самом деле, аудит делается не так сложно. Не нужно быть гиперкодером. Вот, что требуется для базового (но креативности скамеров нет предела) аудита:
1) проверяются все адреса контрактов (чтобы не было транзакций на левые контракты)
2) проверяются все исходящие запросы с помощью различных библиотек, которые позволяют делать http-запросы
C помощью http-запросов можно:
- отправлять данные куда угодно (приватники и т.д.)
- загружать дополнительный код с github (достаточно не заметить буквально одну строчку, которая загрузит файл с кодом. А в нём уже может быть всё что угодно)
3) все библиотеки прогоняем через пункт 1 и 2
Подробнее об этом мы напишем в статье.
Массовых дрейнов через софты ещё не было. НО! Что если все ждут первого крупного дропа? Зачем воровать копейки на ком-су, если можно подождать и украсть условные 100-1000-10000$ с кошелька. Всегда нужно минимизировать риски и быть готовым ко всему. Возможно, ваш кошелёк уже стоит на дрейне, но вы просто ещё не знаете об этом.
До статьи осталась буквально неделя. Готовьте свои глазки и пальчики.
Пост посвящён статье. Канал посвящён статье. Весь мир посвящён статье.
Изначально хотели написать маленький чек-лист по коду в крипте. Спойлер - На статью уже затратили около месяца, написано ~11000 слов, закинули на прочтение тестовой версии ~20 разным людям, получили умеренно положительный фидбек. Очень скоро.
Думаю, вы поняли, что этот пост - часть прогрева перед статьёй. А посвящён он безопасности.
Начнём.
Мета ретродропов, куча софтов. И очень много людей столкнулись с новой реальностью - Adapt or Die. Уверен, что у вас в папочке "Downloads" или "Telegram Desktop" лежит куча .py или .exe с софтами. Запускать их мы научились. А вот что с безопасностью? А вы точно уверены, что тот самый open-source софт, который вы скачали пару месяцев назад, был чистый?
Вы точно уверены, что в каком-то из этих файлов не лежала подлянка и ваши приватные ключи не стоят на дрейне? Ведь будет неприятно осознать на клейме дропа, что целый год работы и, допустим, 10,000$ на комиссии были потрачены впустую. А стакан токенами $ZRO и $STRK убиваете не вы, а скамер.
Про закрытые .exe я уж молчу, никого не осуждаю, но в .exe можно запихнуть буквально всё, и вы узнаете об этом уже очень и очень поздно. А засовывать свои приватники в телеграм ботов - ну это пиздец. Шанс на компрометацию вырастает в разы - могут угнать доступ к вашему компу, к вашей телеге, к базе данных продавца софта, к телеге продавца и ещё куча разных дырок.
Вы точно готовы доверять свои ключи кому-то?
Это не призыв бездумно ждать нашу статью и ещё бездумнее читать её. Нет. Мы немного о другом.
Есть такое прекрасное явление как open-source. Думаю, вы все прекрасно знаете, что это такое (в противном случае - google it). Так вот, люди почему-то решили делиться своими кодерскими решениями абсолютно бесплатно. Звучит странно c материальной точки зрения, но да. У каждого своя цель. Кто-то хочет набить портфолио. Кто-то хочет софтами набить себе аудиторию. Кто-то просто добряк. Я вот свои статьи бесплатно пишу. Раньше цели не было, но сейчас есть. Короче, к чему всё это?
Есть огромный рынок open-source софтов, как на обычные крипто активности, так и узконаправленные под ретро. Их реально очень много. Стоит ввести в поиск телеги или гитхаба нужный вам запрос, например, 'stargate bridger', и вы найдёте десятки решений, бесплатных решений. И этот тот самый велосипед, который вам не нужно изобретать. Вы можете найти нужный модуль и быстро вставить его в свой софт или переписать по своему. Но всегда есть но.
Скам, дрейн, стиллеры. Без аудита в опен сорс софты лезть не стоит. Вообще никак. А как вы зааудите софт, не имея никаких навыков в программировании? Никак. Только если закажите аудит на стороне. Но он будет стоит денег + вам всё равно придётся довериться кому-то, а не себе. Вам никто не сделает хороший аудит за 10 долларов. Если вас сдрейнят, то ничего не стоит вернуть эти несчастные 10 долларов.
На самом деле, аудит делается не так сложно. Не нужно быть гиперкодером. Вот, что требуется для базового (но креативности скамеров нет предела) аудита:
1) проверяются все адреса контрактов (чтобы не было транзакций на левые контракты)
2) проверяются все исходящие запросы с помощью различных библиотек, которые позволяют делать http-запросы
C помощью http-запросов можно:
- отправлять данные куда угодно (приватники и т.д.)
- загружать дополнительный код с github (достаточно не заметить буквально одну строчку, которая загрузит файл с кодом. А в нём уже может быть всё что угодно)
3) все библиотеки прогоняем через пункт 1 и 2
Подробнее об этом мы напишем в статье.
Массовых дрейнов через софты ещё не было. НО! Что если все ждут первого крупного дропа? Зачем воровать копейки на ком-су, если можно подождать и украсть условные 100-1000-10000$ с кошелька. Всегда нужно минимизировать риски и быть готовым ко всему. Возможно, ваш кошелёк уже стоит на дрейне, но вы просто ещё не знаете об этом.
До статьи осталась буквально неделя. Готовьте свои глазки и пальчики.