Итак, если рассматривать блокчейн Ethereum (сам блокчейн это L1 уровень), то существует два вида L2-решений — ZK-роллапы и Optimistic-роллапы.

🗣️ Для чего нужны роллапы

Роллапы (L2-решения) объединяют данные о транзакциях и выносят их за пределы основной сети. Вне сети транзакции упаковываются, проверяются и валидируются, а после уже готовые возвращаются на основной блокчейн (на L1-уровень).

Благодаря роллапам снижается нагрузка на основной блокчейн, что способствует росту скорости обработки транзакций и снижения комиссий → буст масштабируемости.

🔴 Optimistic-роллапы

В OP-протоколах все данные о транзакциях из L1 переносятся в L2, однако по умолчанию все транзакции считаются действительными (не мошенническими). Так роллап экономит время и ресурс, избегая проверки каждой транзакции.

Однако, в таких протоколах существует период оспаривания транзакции: одна из сторон сделки может подать апелляцию на предмет законности транзакции. В таком случае, законность транзакции может рассматриваться до двух недель, что с момента отправки средств очень большой период.

↔️ Роллапы с Zero-knowlegde proof (доказательство с нулевым разглашением)

ZK-роллапы отличается от OP-роллапов методом подтверждения законности транзакций. В отличии от OP, ZKP проверяет все транзакции на предмет мошенничества. Происходит это так:

• Доказывающая сторона предоставляет верификатору математическое доказательство, которое может быть доступно только ему.

• После получения доказательства верификатор подтверждает законность транзакции.

Вся прелесть ZKP в том, что во время проверки транзакции верификатор не может узнать, кто является отправляющей стороной и сколько у нее средств на счету. Это способствует сохранению конфиденциальности. Транзакции на базе ZK-роллапов обычно подтверждаются до трех часов.

К OP-роллапам относятся такие сети, как Arbitrum, Base и Optimism. На базе ZK-роллапов построены проекты Starknet, Linea и zkSync.

Больше интересного и полезного контента о криптовалютах и арбитраже в ТГ канале - КриптоМарс

В криптографических приложениях и криптовалютных кошельках есть критически важные компоненты, такие как генерация ключей, шифрование/дешифрование, подпись транзакций и.т.д. Эти компоненты должны быть основными целями для Фаззинг-тестирования. Использование Фаззинг-тестирования в криптографических приложениях и криптовалютных кошельках помогает выявлять и устранять уязвимости, повышая безопасность и надежность программного обеспечения.

Фаззинг-тестирование (или просто Фаззинг) — это метод тестирования программного обеспечения, который используется для выявления уязвимостей и ошибок путем подачи на вход программы случайных или специально сгенерированных данных. В контексте криптоанализа Фаззинг-тестирование применяется для проверки криптографических алгоритмов и систем на наличие слабых мест, которые могут быть использованы злоумышленниками.

Основная идея Фаззинга заключается в том, чтобы автоматически генерировать большое количество случайных или некорректных входных данных и подавать их на вход тестируемой системе. Затем анализируются результаты работы системы с этими данными, чтобы выявить неожиданные поведения, сбои или уязвимости.

Фаззинг-тестирование в криптоанализе может помочь обнаружить такие проблемы, как:

1. Буферные переполнения: Ошибки, возникающие при записи данных за пределы выделенной памяти.

2. Ошибки обработки исключений: Неправильная обработка неожиданных или некорректных данных.

3. Уязвимости в алгоритмах: Недостатки в реализации криптографических алгоритмов, которые могут быть использованы для взлома.

Этот метод является мощным инструментом для обеспечения безопасности криптографических систем и помогает разработчикам создавать более надежное и защищенное программное обеспечение.

Применение Фаззинг-тестирования к криптовалютным кошелькам имеет несколько преимуществ:

1. Обнаружение уязвимостей: Фаззинг помогает выявить уязвимости, которые могут быть использованы злоумышленниками для кражи средств или компрометации безопасности кошелька.

2. Повышение надежности: Тестирование с использованием случайных данных помогает выявить ошибки, которые могут привести к сбоям или некорректной работе кошелька, что в свою очередь повышает его надежность.

3. Автоматизация процесса тестирования: Фаззинг-тестирование можно автоматизировать, что позволяет проводить тесты более часто и эффективно, чем ручное тестирование.

4. Разнообразие тестовых сценариев: Фаззинг генерирует большое количество разнообразных тестовых сценариев, что помогает выявить ошибки, которые могли бы остаться незамеченными при использовании традиционных методов тестирования.

5. Улучшение безопасности: Регулярное Фаззинг-тестирование помогает разработчикам своевременно обнаруживать и устранять уязвимости, что повышает общий уровень безопасности криптовалютного кошелька.

6. Экономия времени и ресурсов: Автоматизированное Фаззинг-тестирование может сэкономить время и ресурсы, которые в противном случае были бы потрачены на ручное тестирование и отладку.

Фаззинг может помочь обнаружить следующие типы уязвимостей:

1. Ошибки обработки ввода: Кошельки могут некорректно обрабатывать входные данные, такие как адреса, суммы транзакций или ключи. Фаззинг может выявить случаи, когда некорректные данные приводят к сбоям или неправильной работе кошелька.

2. Переполнение буфера: Если Биткоин кошелек не проверяет длину входных данных, это может привести к переполнению буфера, что в свою очередь может быть использовано злоумышленниками для выполнения произвольного кода.

3. Уязвимости в парсерах: Кошельки часто используют парсеры для обработки данных транзакций и других входных данных. Фаззинг может выявить ошибки в этих парсерах, которые могут привести к сбоям или уязвимостям безопасности.

4. Ошибки в криптографических операциях: Некорректная обработка данных в криптографических операциях может привести к утечке приватных ключей или другим критическим уязвимостям. Фаззинг может помочь выявить такие ошибки.

5. Уязвимости в API: Если Биткоин кошелек предоставляет API для взаимодействия с другими приложениями, Фаззинг может выявить уязвимости в этих интерфейсах, которые могут быть использованы для несанкционированного доступа или выполнения нежелательных операций.

6. Ошибки в обработке транзакций: Фаззинг может выявить ошибки в логике обработки транзакций, которые могут привести к неправильному выполнению транзакций или даже к потере средств.

BitcoinChatGPT и выбор инструмента для Фаззинга:

Существует множество инструментов для Фаззинг-тестирования, таких как AFL (American Fuzzy Lop), libFuzzer, Honggfuzz и другие. Фаззинг-тестирование должно быть частью непрерывного процесса разработки и тестирования. Регулярное проведение Фаззинг-тестов поможет своевременно выявлять новые уязвимости и поддерживать высокий уровень безопасности криптовалютного кошелька. В начале 2024 года широкую популярность получили современные технологии которые развивают предварительно обученную модель Bitcoin ChatGPT и находят эффективные способы решение сложных криптографических задач, лежащих в основе метода Фаззинг-тестирования. Рассмотрим пример построение структуры уязвимой Raw транзакции в котором используется модуль BitcoinChatGPT

BitcoinChatGPT №3 Fuzzing Vulnerability Algorithm

Эти инструменты могут помочь выявить уязвимости и улучшить безопасность криптовалютных кошельков.

AFL (American Fuzzy Lop)

Это один из самых популярных инструментов для Фаззинг-тестирования. Он может быть настроен для тестирования различных типов программного обеспечения, включая криптовалютные кошельки. American Fuzzy Lop (AFL) — это мощный инструмент для Фаззинг-тестирования, который обычно используется для нахождения уязвимостей в программном обеспечении. Хотя AFL в основном используется через командную строку, вы можете написать Python-скрипт для автоматизации его запуска. Для начала, убедитесь, что у вас установлен AFL. Если нет, вы можете установить его, следуя инструкциям на официальном сайте AFL.

На YouTube можно найти множество полезных видеороликов, которые помогут вам лучше понять и использовать AFL. Вот несколько рекомендаций:

1. “American Fuzzy Lop (AFL) Tutorial” — В этом видео обычно объясняются основы использования AFL, как его установить и начать работу с ним.

2. “Fuzzing with AFL: A Practical Guide” — Это видео может предложить практическое руководство по Фаззинг-тестированию с использованием AFL, включая примеры и демонстрации.

3. “Advanced Fuzzing Techniques with AFL” — В этом видео могут быть рассмотрены более продвинутые техники и стратегии для эффективного использования AFL.

4. “AFL Fuzzing: Finding Bugs in Real-World Applications” — Это видео может показать, как использовать AFL для нахождения уязвимостей в реальных приложениях, с примерами и анализом.

5. “Setting Up AFL for Fuzz Testing” — В этом видео может быть пошагово показано, как настроить AFL для Фаззинг-тестирования на вашей системе.

Эти видеоролики помогут вам лучше понять, как использовать AFL для тестирования безопасности вашего программного обеспечения.

libFuzzer

Это библиотека для Фаззинг-тестирования, которая интегрируется с LLVM. Она может быть использована для тестирования программ на C и C++. LibFuzzer — это инструмент для fuzz-тестирования, который обычно используется с C/C++ программами. Однако, вы можете использовать Python для автоматизации запуска LibFuzzer.

1. “Introduction to Fuzzing with libFuzzer” – Этот видеоролик предоставляет базовое введение в использование libFuzzer для начинающих.

2. “Fuzzing with libFuzzer and AddressSanitizer” – В этом видео объясняется, как использовать libFuzzer вместе с AddressSanitizer для обнаружения уязвимостей в коде.

3. “Advanced Fuzzing Techniques with libFuzzer” – Этот ролик подходит для тех, кто уже знаком с основами и хочет углубить свои знания.

4. “Google Testing Blog: libFuzzer Tutorial” – Видеоурок от команды Google, который охватывает различные аспекты использования libFuzzer.

5. “Fuzzing C/C++ Programs with libFuzzer” – В этом видео рассматриваются конкретные примеры и демонстрируется процесс Фаззинга C/C++ программ.

Эти видеоролики помогут вам лучше понять, как использовать libFuzzer для тестирования и улучшения безопасности вашего кода.

Honggfuzz

Это еще один мощный инструмент для Фаззинг-тестирования, который поддерживает различные типы программного обеспечения и может быть использован для тестирования криптовалютных кошельков. Honggfuzz — это мощный инструмент для fuzz-тестирования, который можно запускать из Python с помощью модуля subprocess.

1. “Fuzzing with Honggfuzz” – Этот видеоролик может предоставить вам общее представление о том, как начать работу с Honggfuzz, включая установку и базовые команды.

2. “Advanced Fuzzing Techniques with Honggfuzz” – В этом видео могут быть рассмотрены более продвинутые техники и настройки для использования Honggfuzz, что может быть полезно для более опытных пользователей.

3. “Honggfuzz Tutorial for Beginners” – Если вы только начинаете, этот видеоролик может быть отличным стартом, так как он, вероятно, охватывает основные концепции и шаги по настройке.

4. “Integrating Honggfuzz with CI/CD Pipelines” – Это видео может показать, как интегрировать Honggfuzz в ваши процессы непрерывной интеграции и доставки, что может быть полезно для автоматизации тестирования.

OSS-Fuzz

Это сервис от Google, который предоставляет инфраструктуру для непрерывного Фаззинг-тестирования с открытым исходным кодом. Он поддерживает множество проектов и может быть настроен для тестирования криптовалютных кошельков. OSS-Fuzz помогает находить ошибки в программном обеспечении с открытым исходным кодом с помощью fuzz-тестирования. Однако, OSS-Fuzz не запускается напрямую через Python-код. Вместо этого, вы должны настроить проект для использования OSS-Fuzz, а затем запустить его через командную строку.

Рассмотрим ример того, как можно настроить и запустить fuzz-тестирование для вашего проекта с использованием OSS-Fuzz.

1. “OSS-Fuzz: Continuous Fuzzing for Open Source Software” – Этот видеоролик от Google Open Source рассказывает о том, как работает OSS-Fuzz и как он помогает улучшать безопасность и стабильность открытого программного обеспечения.

2. “Fuzzing with OSS-Fuzz” – В этом видео подробно объясняется, как начать использовать OSS-Fuzz для вашего проекта, включая настройку и интеграцию.

3. “Google OSS-Fuzz: Continuous Fuzzing for Open Source Software” – Презентация от Google, которая охватывает основные концепции и преимущества использования OSS-Fuzz.

4. “Fuzzing 101: Getting Started with OSS-Fuzz” – Учебное пособие для начинающих, которое шаг за шагом объясняет, как начать работу с OSS-Fuzz.

5. “Integrating Your Project with OSS-Fuzz” – В этом видео рассматриваются практические аспекты интеграции вашего проекта с OSS-Fuzz, включая примеры кода и советы по устранению неполадок.

Radamsa

Это генератор случайных данных, который может быть использован для Фаззинг-тестирования. Он прост в использовании и может быть интегрирован в различные тестовые сценарии. Radamsa — это инструмент для генерации случайных данных (fuzzing), который может быть полезен для тестирования программного обеспечения.

1. “Fuzzing with Radamsa” – В этом видео объясняется, как использовать Radamsa для Фаззинга (тестирования программного обеспечения на наличие уязвимостей).

2. “Introduction to Fuzz Testing with Radamsa” – Введение в Фазз-тестирование с использованием Radamsa, включая основные принципы и примеры.

3. “Radamsa: A Fuzzing Tool for Security Testing” – Обзор возможностей Radamsa и его применения в области безопасности.

4. “How to Use Radamsa for Fuzz Testing” – Пошаговое руководство по использованию Radamsa для Фазз-тестирования.

Echidna

Это инструмент для Фаззинг-тестирования смарт-контрактов на языке Solidity, который может быть полезен для тестирования кошельков, взаимодействующих с Ethereum.

1. “Echidna: Fuzzing for Ethereum Smart Contracts” – Этот видеоролик объясняет основы использования Echidna для тестирования смарт-контрактов на Ethereum.

2. “Fuzzing Smart Contracts with Echidna” – В этом видео подробно рассматривается процесс настройки и запуска Echidna для Фаззинга смарт-контрактов.

3. “Echidna: A Fuzzer for Ethereum Smart Contracts” – В этом видео обсуждаются различные аспекты и возможности Echidna, а также примеры использования.

4. “Smart Contract Security: Fuzzing with Echidna” – Видеоролик, который фокусируется на безопасности смарт-контрактов и использовании Echidna для нахождения уязвимостей.

Peach Fuzzer

Коммерческий инструмент для Фаззинг-тестирования, который поддерживает множество протоколов и форматов данных. Он может быть использован для тестирования безопасности криптовалютных кошельков. Peach Fuzzer — это популярная платформа Фаззинга, используемая для проверки безопасности и надежности программного обеспечения путем предоставления неожиданных или случайных входных данных.

1. “Peach Fuzzer Tutorial” – В этом видео обычно объясняются основы использования Peach Fuzzer, включая установку и настройку.

2. “Fuzzing with Peach: A Beginner’s Guide” – Это видео может быть полезно для тех, кто только начинает работать с Peach Fuzzer и хочет понять основные концепции и методы.

3. “Advanced Peach Fuzzer Techniques” – В этом видео рассматриваются более сложные аспекты использования Peach Fuzzer, такие как создание собственных тестов и анализ результатов.

4. “Peach Fuzzer in Action: Real-World Examples” – Здесь можно увидеть, как Peach Fuzzer используется для нахождения уязвимостей в реальных приложениях.

5. “Setting Up a Fuzzing Environment with Peach” – Это видео поможет вам настроить рабочую среду для эффективного использования Peach Fuzzer.

Peach Fuzzer не написан на Python, и для его запуска обычно требуются файлы конфигурации и определенные шаги настройки.

Чтобы запустить Peach Fuzzer, вам обычно необходимо создать XML-файл Peach Pit, который определяет структуру данных, которые вы хотите Фаззить, и целевое приложение. Затем вы используете инструмент командной строки Peach для выполнения процесса Фаззинга.

Заключение:

Фаззинг представляет собой мощный метод тестирования безопасности, который может значительно повысить устойчивость криптовалютных систем, таких как Bitcoin. В ходе исследования были выявлены потенциальные уязвимости и слабые места в программном обеспечении Bitcoin, что подчеркивает необходимость постоянного мониторинга и улучшения безопасности. Применение фаззинга позволяет не только обнаруживать ошибки на ранних стадиях разработки, но и предотвращать возможные атаки, что особенно важно в условиях растущей популярности и значимости криптовалют. В будущем, интеграция фаззинга в стандартные процедуры тестирования может стать ключевым шагом к обеспечению надежности и безопасности децентрализованных финансовых систем.

References:

• 1. “Fuzzing for Security Testing: Theory and Practice” – review articles on methods and techniques fuzzing.

• 2. “Bitcoin: A Peer-to-Peer Electronic Cash System” is an original article by Satoshi Nakamoto describing the basics of Bitcoin.

• 3. “Fuzzing: Art, Science, and Engineering” – articles describing various approaches to fuzzing and their application in security.

• 4. “Fuzzing for Software Security Testing and Quality Assurance” – a book dedicated to fuzzing methods and tools.

• 5. “Mastering Bitcoin: Unlocking Digital Cryptocurrencies” is a book that provides a deep understanding of how Bitcoin works.

• 6. “Looking for Lacunae in Bitcoin Core’s Fuzzing Efforts” Dynamic analysis: Software testing and debugging

• 7. “ContractFuzzer: Fuzzing Smart Contracts for Vulnerability Detection” Bo Jiang, Ye Liu, and W.K. Chan. 2018. ContractFuzzer: Fuzzing Smart Contracts for Vulnerability Detection

• 8. “Fuzzing Ethereum Smart Contracts” Roberto Ponte and Miguel Correia INESC-ID, Instituto Superior Tecnico, Universidade de Lisboa / Iberia Medeiros LaSIGE, Faculdade de Ciencias, Universidade de Lisboa.

• 9. “TokenAuditor: Detecting Manipulation Risk in Token Smart Contract by Fuzzing” 2022 IEEE 22nd International Conference on Software Quality, Reliability and Security (QRS).

• 10. “Learning to Fuzz from Symbolic Execution” with Application to Smart Contracts.

• 11. “Finding Consensus Bugs in Ethereum via Multi-transaction Differential Fuzzing” Youngseok Yang, Seoul National University; Taesoo Kim, Georgia Institute of Technology; Byung-Gon Chun, Seoul National University and FriendliAI

• 12. “The Human Side of Fuzzing: Challenges Faced by Developers” During Fuzzing Activities (Software testing and debugging; Empirical studies; Surveys and overviews).

Данный материал создан для портала CRYPTO DEEP TECH для обеспечения финансовой безопасности данных и криптографии на эллиптических кривых secp256k1 против слабых подписей ECDSA в криптовалюте BITCOIN. Создатели программного обеспечения не несут ответственность за использование материалов.

Исходный код

Google Colab

BitcoinChatGPT

Telegram: https://t.me/cryptodeeptech

Видеоматериал: https://youtu.be/CU4CFoxgKc8

Dzen Video Tutorial: https://dzen.ru/video/watch/665f6986a2886608ad194e31

Источник: https://cryptodeep.ru/fuzzing-bitcoin

В настоящее время большинство из нас покупает крипту на биржах. Возьмём к примеру Binance, это CEX-биржа, то есть присутствует центральная власть, которая регулирует всю работу. В DEX-биржах единого управляющего звена нет, вместо него регулятором выступают смарт-контракты.

Чтобы торговать на Binance нужно пройти KYC-верификацию. Это означает что вы должны предоставить бирже свои документы удостоверяющие личность. На этапе верификации начинается деанон криптана.

🗿 На бирже знают кто я такой. Но как они узнают какой кошелек принадлежит мне?

Здесь уже сама концепция блокчейна позволяет это узнать. Из-за того что вся история транзакций находится в открытом доступе, не составляет труда посмотреть, куда вы со своего биржевого аккаунта отправляете купленные активы.

Посмотрели в обозревателе адрес кошелька-получателя — узнали его баланс и установили личность владельца. Понятно, что посторонний человек так сделать не сможет, так как ваша персональная информация хранится у биржи.

Но если вами заинтересуются правоохранительные органы, то биржа с большой вероятностью будет сотрудничать с ними и предоставит всю необходимую информацию. А может даже заморозить счета на вашем биржевом кошельке. +1 фобия 😱

Также стоит отметить, что от утечек данных с биржи и взломов никто не застрахован (яркий тому пример — FTX). +1 фобия 😱

😒 Я хочу оставаться анонимным. Как быть?

Некоторых людей реально беспокоит тот факт, что их смогут деанонимизировать, так как это создаёт риски потери их крипты. Если злоумышленник знает, сколько у вас есть крипты, то он может попытаться присвоить ее себе посредством фишинга, социальной инженерии, брутфорса и так далее.

Если хотите сохранять анонимность, то вот некоторые советы:

• пользуйтесь VPN/Proxy.

• используйте DEX-биржи, так как там в большинстве случаев не нужна верификация.

• если хотите пообсуждать крипту и блокчейн в соцсетях, то используйте сторонний аккаунт, который никак не связан с вами в настоящей жизни.

• не нужно лишний раз светить публичным адресом своего кошелька. Про сид-фразу я думаю и так понятно — ее показывать вообще никому нельзя.

Больше интересного и полезного контента о криптовалютах и арбитраже в ТГ канале - КриптоМарс