Автор статьи - https://t.me/klatmansklad

И так, перейдем к технической части нашего повествования. Я постараюсь не использовать здесь много терминов, которые, по большей части, никому не интересны, а попробую изложить информацию лаконично и сильно упрощенно (Так что просьба не срать в комменты, что я не упомянул как конкретно работают блоки или в какое время срут валидаторы).

Блокчейн состоит из блоков. В этих блоках записываются и обрабатываются транзакции, совершенные вами. В каждом блоке может быть до нескольких тысяч транзакций. В сети BSC, разница во времени между блоками - 3 секунды. То есть, каждые три секунды проходит до нескольких тысяч транзакций.

Но как же эта информация относится к GALAчке? А так, что транзакция, когда взломщик слил в стакан сминченные им монеты, находилась в блоке 22747777 (Или же в 77, чтобы было легче воспринимать), а транзакция Николая в блоке 80.
То есть, между транзакциями было 3 блока разницы, или если говорить по-человечески - 9 секунд.

Транзакция взломщика:

Транзакция Коли:

Тут я знатно ахуел. Неужели Коля настолько гений, что смог так филигранно увидеть свечку и сразу же, самыми опытными руками на диком западе отправил транзакцию? Проверил газ - стоит обычный, так что, даже при всем уважении к старому борову, транзакция физически не должна была дойти настолько быстро, учитывая что человеку нужно время на то, чтобы успеть среагировать, нажать кнопку свапа и подтвердить саму транзакцию в метамаске.

Порывшись немного глубже, я обнаружил, что Темка в Схемке около 30 минут до той самой заветной разрывной транзакции арбитражил Гальку.
Транзакция свопа в Галю:

Транзакция отправки на Хуоби:

Таких транзакций на кошельке было несколько. И, как уже могли догадаться самые смышленые из наших подписчиков, одна из таких транзакций на своп бусдов в Галину, попала в тот самый заветный блок после того, как хакер слил в стакан свои монеты, позволяя святому Николаю набрать полные штаны лута по цене в 0.0000194 за монетку.

И тут мои ФОМОеберские инстинкты взяли вверх. Мне стало интересно, а сколько людей успело закупить монету быстрее Коли, то есть по еще более низкой цене и были ли такие люди вообще?

Порывшись в транзакциях в блоках 78 и 79 (то есть в тех, которые были между вывозом лута хакера и вывозом лута Коли), я обнаружил целых четверых молодых людей, которые оказались еще счастливее, чем владелец единственной теслы в Киеве. И вот их истории по порядку:

1) Кошелек: 0x58c253f29baca00c1db487249777650049afe6b9
Кодовое имя: Биба
Вложено: 233.75$
Gala получено: 55 135 091
Профит: 9200$
Транзакция на обмен:

Здесь мы можем увидеть, что Биба словил монету по прайсу 0.0000042, что примерно в 5 раз меньше, чем у Коли. Но, вместо того, чтобы залить ее на Хуоби, если бы он обладал этой информацией, или на стальных яичках захолдил бы до отскока, он сливает все, что свапнул, обратно в бусды в стакан, получая 9200$ чистого профита, хотя имел на тот момент 55кк монет на руках.


2) Кошелек: 0xa91fd0d3c8caa3b213a9a47b8779ccb29569d3dd
Кодовое имя: Ходлер
Вложено: 9.95$
Gala получено: 2 812 556
Профит: 5320$
Транзакция:

Ходлер, после успешного свапа по цене в 0.0000035, решил подержать монеты 2 часа перед продажей части, И через два с половиной часа продал еще одну часть по примерно вдважды большему прайсу.

Но, как любой истинный ходлер, он не смог слить все свои монеты до конца, решив до талого держать 563к монет на своем кошеле....

3) Кошелек: 0x63f515bffd81e1bf028f619f65d5aacd25266618
Кодовое имя: Боба
Вложено: 357.81$
Gala получено: 107 938 866
Профит: 15200$
Транзакция:

Очкошник Боба поступил как и свой брат Биба, слив все монеты обратно в стакан в бусды, увидев их у себя на кошеле, хотя в моменте имел на 5 миллионов монет больше, чем Коля, который, как вы помните, профита заработал в десятки раз больше.

4) Кошелек: 0xf129f5d24763e903d7e5705ea3dc0a549e7d0d1c
Кодовое имя: Бот соляна флипер
Вложено: 299$
Gala получено: 7 512 309
Профит: 3200$
Транзакция:

Бот соляна флипер, удачно свопнув бусды, как и наши друзья Биба и Боба, сразу же слил галю обратно в стакан. После чего начал проводить десятки транзакций, флипая ту самую GALA:

В общей сложности, Соляна флипер совершил около 50 транзакций свопа монет, но так и не заработал больше того, сколько заработал до этого на одной транзе:

Далее в хронологии кошельков, свапнущих Галю идет Коля, про которого я и так уже достаточно расписал.

Но у вас может возникнуть вопрос: А играла ли вообще какую-то роль разница во времени между транзакциями? Может, если бы я свапнул через полминуты, то я бы тоже смог залутать такое количество денег?

Так вот, мой маленький защитник выражения "каждый мог", возьму эту транзу, которая прошла на 12 секунд позже Колиной, для сравнения:

Если посчитать, то мы получим цену за монету: 0.00017, в то время как прайс, по которому зашел Темка в Схемке был 0.0000194. То есть, за 12 секунд прайс стал хуже в 10 раз (то есть уже не 200х, а 20х при депе на Хуоби) не говоря уже о том, что те, кто свапнул монеты раньше тебя и знал про Хуоби, депнули бы их туда так же раньше тебя, тем самым сливая спред.

Ну что ж, мой маленький фомоёбер, вот мы и разобрали феномен лайфченжа где каждый мог, но повезло буквально единицам, А грамотно воспользоваться ситуацией на все 100% смогли немногие из единиц, Ауф!

Мы наглядно смогли увидеть счастливчиков, которые закупились в разы выгоднее Коли, но заработали в десятки раз меньше и дело не только в том, что они купили монету на меньший сайз, но и в том, что никто из них не вывел ее на Хуоби, где и был самый большой процентный профит от продажи (Не считая ходлера, который даже не свапнув все монеты до конца, получил 532х с 10$). Так что, даже в ситуации, где ему действительно очень повезло, Коля вывез максимум. Но и надо признать, что если бы он не занимался в те минуты арбитражем до этого, то и не попал бы в нужный тайминг.

А главное, дорогие мои фомобои,не ведитесь на сладкие зазывания "а вот в нашем ДаО про это постили, а в приватке была про это инфффа и каждый могг". Насколько я знаю, один добряк просто поделился наблюдениями за монеткой в паре приватных чатов и там уже что-то куда-то пошло, а кто увидел и понял - тот залутал.
Вообще, а заметили как много сейчас стало новомодных прив...кхм DAO? хотя я уверен, что добрая половина создателей данных дао и понятия не имеют, как это расшифровывается, в честь чего организую мини конкурс для тех, кто дочитал аж досюда:
Кто первый в комменты в телеге напишет верную расшифровку DAO получит от меня 5$, а первые 5 человек, кто напишет, что коля гений, получит по баксику на чупачупс.

По поводу этого канала:
Мы заканчиваем работу над сэндбокс и скоро будем подводить итоги.
Паблик наконец начнёт оживать и мы вынесем в свет пару наших идеек (надеюсь)
Я наконец смогу писать больше прикольчиков из мира криптовалют (которые вам нравятся, да?)

Всем спасибо всем пака

Привет, подписчик! В преддверии статьи про Walken и пока крутые дяди – программисты заняты дописыванием бота под Sandbox, я дам тебе возможность вдоволь насмеяться (научиться на чужих ошибках), а себе в очередной раз поплакать и пофомоебить.

Для начала давай познакомимся: Меня зовут Killtyraz Klatmen (по совместительству админ Klatman's Klad), мне 12 лет, пошлый, в криптовалюте я чуть более года. Сегодня я расскажу тебе про мои самые глупо недополученные деньги. Или попросту проебанные.

Проеб #1
Как из 3к рублей России сделать 30к$ и обратно.

Начнем с того, с чего я начал свою криптовалютную деятельность, а именно абуз Alien Worlds на многими любимом Wax. Про сам абуз через простого бота (Привет кликеру по цветам от abuz.trade и всем пацанам из Alien Worlds Abuzers) я подробно расписывать не буду, но времена были славные.

Во время абуза AW, когда биточек в мае 2021 года, сложился вдвое, а мои активы и того больше, я становлюсь решительным ходлером Wax. Впоследствии, так как в крипте я больше ничего не знал, кроме фарма монеток AW (TLM), я продолжаю увеличивать свою ферму и накапливать вакс в стейкинге еще несколько месяцев вплоть до осеннего булрана, когда я активно начал абузить PVU. На тот момент у меня было +-30к вакса, который лежал у меня мертвым грузом на ферме аккаунтов Alien Worlds, с которых мне выводить его было крайне лень.

К моему удивлению, вакс хорошо отрастал даже на фоне всего остального зеленого рынка, во многом благодаря коллабу с Амазон и популярностью другой P2E игры – Farmer’s World (Но это как я помню, возможно были и другие причины). Все это время роста, я, как истинный хомячелло, с раскатанной губой сидел и наблюдал, как мои монетки, которые я держал с 8 центов, пробивают все новые и новые хаи, уже предвкушая как мой маленький сундучок наполнится золотыми дублонами.

И вот, когда WAX достиг отметки 0.9$+, я поставил себе моральную (анальную) цель, что продам его по 1$ и ни центом меньше. В этот момент, каждый, кто хоть немного знаком с графиком вакса, сейчас осознал, что это было моей роковой ошибкой. Максимальная цена, которую я помню, была +-0.95$, на данный же момент мы имеем 0.091$. А все мои 30к ваксов все еще раскиданы по моей старой ферме Alien Worlds и служат мне напоминанием о безрассудстве, лени и бездумном ходле.

Я бы мог расписать вам об умной аналитике рынка: подсчете потенциальной капитализации, циркуляции монет, точках постепенного выхода, но на тот момент я был просто криптошибзиком, который холдил только потому, что чем дольше холд – тем длиннее яхта.

Проеб #2
Как меня Excel переиграл

Я думаю каждый из вас знаком с биржей Huobi, а многие наверняка и участвовали в Huobi PrimeList еще в те времена, когда это было честно и выгодно. Так вот, я один из вас.

За ночь перед очередным праймлистом я пополнял средства, а в дальнейшем и прокручивал торговый оборот на новых 200-300 аккаунтах. Так как ферма была не маленькой, а прогоняли мы ее всего лишь вдвоем с одним моим другом, то уставали мы как собаки, порой перерабатывая по ночам.

И вот, в ту самую злосчастную ночь, я раскидывал деньги через disperse.app (сайт, позволяющий сбросить монету с одного кошелька на несколько кошелей одной транзакцией). Это была одна из последних пачек аккаунтов, которая делалась под утро, когда моя концентрация была практически на нуле. Если кто-то не знаком с раскидыванием денег через дисперсию, то делается это так:

То есть, вы вставляете адрес кошелька и количество денег, которое хотите отправить. Делал я эту процедуру сразу же на 100 аккаунтов и, успешно проделав это несколько раз, я взялся делать последнюю сотню. Делал я это в новом для меня Excel, ведь до этого я пользовался только Google Таблицами. Составлял я последнюю пачку из двух таблиц: В одной таблице было 90 готовых аккаунтов, во второй – 10. Первыми шли 90 аккаунтов, которые я копировал выделив первую ячейку и опуская выделением через квадратик, вниз.

Копировал – вставил в дисперсию. Последние же 10 аккаунтов я копировал как человек – через Shift. Сверив первый и последний аккаунт и довольный выполненной работой, нажал “отправить”. Какого же было мое удивление, когда деньги я обнаружил только на 11 аккаунтах. И тут, дорогой читатель, даю тебе минуту на размышление: А почему так *****?

Нет, это была не ошибка дисперсии и не баг со стороны Хуоби, а простая человеческая невнимательность (тупость).

*Барабанная дробь*

А вот и ответ на злополучный вопрос: Дорогой эксель решил помочь мне с моей непростой работой и вместо простого копирования решил заполнить все 90 ячеек одним аккаунтом, но не простым, а с измененными последними числами.

Отправлялось на каждый аккаунт по 53 доллара. Степень ущерба можете посчитать сами.

Деньги, по первой, я пытался вернуть: отписал в Tether, где получил ответ, что это были USDT в сети HECO, и что в таком случае помочь они ничем не могли, тем более с таким странным запросом. В сети HECO же, я помощи не сыскал.

Что можно вынести из этой ситуации? Больше отдыхайте, работайте в меру и не доверяйте экселю. И как сказал один мудрый человек:

У меня есть еще два поучительных проеба, но текст уже выходит достаточно длинный, поэтому о них я напишу уже в следующий раз.

Надеюсь, что вы получили положительные эмоции от прочтения данной статьи и вынесли для себя какие-то уроки (не быть таким как я). Если понравился такой формат статей, то ставьте на посте в телеграмме смайлик клоуна, пишите комментарии и мы постараемся радовать вас чем-то подобным чаще. Подписывайтесь, кто может – репостите, всех люблю, всем пока.

(Статья написана https://t.me/klatmansklad)

Привет! Хочу рассказать про одно интересное событие, которое приключилось с нами на просторах крипто мира. Начнём с него, так как этот проект был у всех на слуху, и если вы в крипте больше года, то, скорее всего, вы тоже о нем знаете. Итак - речь пойдет о PVU.

Часть 1. Предыстория

Конец лета 2021 года. Я отмечаю день рождения близкого друга в одном из заведений нашего города. Звонит телефон, я поднимаю трубку.

«Привет, тут вышла игра Plants vs Undead, можно заработать»

«А что нужно делать?» - спрашиваю я.

«Нужно автоматизировать полив растений и отгон ворон.»

«Зачем кому-то нужно поливать растения и отгонять ворон?» - вновь интересуюсь я

«Этим ты зарабатываешь деньги»

Я смеюсь и прощаюсь с собеседником, пообещав, что в свободное время уделю этому внимание.

Если честно, на тот момент для меня, как для человека не знакомого с p2e, это звучало как полнейшая чушь.

Судите сами:

◦ Название игры, нагло скопированное у PopCap - разработчика франшизы Plants vs Zombies

◦ Странный геймплей, который заключается в монотонном поливе растений.

◦ Какие-то вороны, какие-то земли… Похоже на очередной таймкиллер.

Разве на этом можно заработать деньги?

На следующий день я все же решил рассмотреть проект детальнее. Когда я взглянул на количество подписчиков в социальных сетях, я, скажу честно, обалдел. Это был первый дискорд канал, что я видел, в который НЕ ПОМЕЩАЛОСЬ все комьюнити. Попросту нельзя было присоединиться из-за достигнутого лимита в пользователях. Телеграмм группа в 300к юзеров. Такого я ещё не видел у крипто инди проекта. Что ж, интерес был подогрет. Самое время что-то сделать.

Часть 2. Как в это можно играть?!

Взяв у товарища аккаунт, я решил осмотреться. Игрушка оказалась обычной браузеркой, которая к тому же дико глючила из-за наплыва пользователей. Разработчики оказались не слишком продвинутыми - архитектура оказалась не scalable (разработчики не смогли подружить сервер с таким количеством игроков) поэтому ребята просто разделили участников на группы, которые могут одновременно заходить в игру по расписанию... По расписанию, Карл, в 2021!

Что ж, пора делать бота.

Вся игра была написана на обычном JS, а общение с сервером посредством HTTP.

Никакого дополнительного шифрования контента пакетов не было. Оно и понятно - какой смысл скрывать содержимое, если игра написана на JS, который может понять каждый, кто хоть немного знаком с программированием.

Создать бота было бы супер просто, если бы не эти гребаные очереди! Как же тяжело что-то делать, когда сама игра, по факту, не работает, а 80% времени лагает.

Спустя часы страданий и попа боли, бот, который поливает наши страдающие от засухи цветы, готов!

Осталось выследить и уничтожить ворон, параллельно поливая растения с глобальной карты. Странно, никакой информации о них не видно.. или же я не туда смотрю? Да, так и есть, игрушка создает еще одно web socket соединение, из которого получает всю необходимую информацию. Посмотрим что же тут есть… Ого! Да тут же вся инфа.

Причем не только та часть карты, куда мы отправляемся, а вообще ВСЯ, да еще и в реальном времени. Вот это прям конфета!

Тратим еще некоторое время (гребаные очереди, хочется застрелиться) и домашний вариант бота готов.

Часть 3. Devs vs cheaters

Спустя какое-то время разработчики сообщают о новом грандиозном апдейте. Грандиозен он только в головах разрабов, ведь он предполагает, что игроки без нфт растений не смогут обменивать LE -> PVU. На фоне этой новости люди начинают массово продавать токен и его цена падает в пару раз за 40 минут.

Ну все, игра точно сдулась! Или все же нет... Вдруг разработчики начинают писать о том, что они приняли во внимание негативное отношение комьюнити к этому апдейту и поэтому дадут возможность людям игровым способом нафармить NFT растения. К моему удивлению цена токена после этого заявления начинает увеличиваться и в итоге достигает своего предыдущего значения. Нонсенс)

На волне хайпа перед апдейтом они так же анонсируют серверсайд античит и да, действительно, многие аккаунты абузеров начинают отлетать, но, конечно же, не наши - мы, как правильные абузеры, используем прокси и не кидаем все PVU со всех аков на один.

После этого апдейта и случается первая интересная штука.

Однажды, сев за компьютер чтобы пофиксить какой-то минорный баг в боте, я замечаю, что все запросы завершаются с ошибкой Bad Gateway. Обычно это значит, что сервер недоступен. Странно, игра открыта в браузере и все вроде работает... Хм, они "переехали" на другой субдомен и все запросы теперь идут на:

https://staging.plantvsundead.com 

Вместо

https://backend-farm.plantvsundead.com. 

Если кто-то, кто читает эту статью, хоть как-то связан с IT, то он знает, что staging - это предпродакшн среда (если проще - тестовый сервер), куда выкатывают обновления для финального тестирования и проверок на правильность интеграции с 3rd party сервисами.

Что ж, интересно, меняем URLы в боте, делаем правки и идем спать. Ночью меня будят с криками "все сломалось, ничего не поливает и не отгоняет". Сонный и злой я сажусь дебажить все это дело и вижу, что авторизация проходит, а вот дальше – снова ошибка 502. Да, так и есть, как вы догадались, они сменили базовый URL на дефолтный. Меняем обратно, заливаем и идем спать.. Но вдруг в голову приходит одна мысль, которая напрочь отбивает сон:

"Логин проходит!!!"

Для людей, которые не особо разбираются в этих скучных программерских штуках я постараюсь объяснить простым языком.

Итак, процесс логина в современном web3 мире выглядит примерно следующим образом.

1) Мы коннектим наш web3 кошелек. В нашем случае это, к примеру, Metamask.

2) Public Key из Метамаска отправляется на сервер.

3) Сервер, естественно, просто так этому не доверяет и хочет удостовериться, что пользователь владеет этим кошельком, поэтому просит подписать сообщение с помощью Private Key.

Благодаря этому сервер может проверить, действительно ли пользователь является владельцем этого кошелька. В результате он присылает вам так называемый Session Token, который постоянно отправляется в запросах серверу.

Обычно это все оборачивают в JWT (Json Web Token), который нужен для того, чтобы подписать сгенерированные сервером данные, чтобы злоумышленник на стороне клиента не смог подкидывать серверу всякую дрянь. В этот ключ включена подпись и благодаря нему сервер может проверить, действительно ли пользователь является владельцем этого кошелька.

В PVU он выглядел примерно так:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJwdWJsaWNBZGRyZXNzIjoiMHgwYTM0YTU1NjVlOTUyYWIyNzc4N2EyMWEzZjRlNTRiMzIxYWMwMzQwIiwibG9naW5UaW1lIjoxNjI5MDU0ODkxODgyLCJjcmVhdGVEYXRlIjoiMjAyMS0wOC0xMSAxODo1MjowNSIsImlhdCI6MTYyOTA1NDg5MX0.rmYW0kWaHKKWxEOjjH02WbPvwaS0YpfOgA4p4m_sqUs

После расшифровки:

{

"publicAddress": "0x0a34a5565e952ab27787a21a3f4e54b321ac0340",

"loginTime": 1629054891882,

"createDate": "2021-08-11 18:52:05",

"iat": 1629054891

}

Итак, мы видим, что в токене есть адрес нашего кошелька.

Фух, закончили со скучной и непонятной тех частью, она нам понадобится чуть позднее, в ней и будет заключаться самое интересное =).

И так, вернемся к тому, что логин проходит на staging (тестовом) сервере и нам возвращает токен авторизации. Интересно, а запущен ли staging после смены url доменов? Проверяем и радуемся - успешный логин.

Проверяем, пускает ли в игру с этим токеном? Получается, мы можем авторизоваться на одном сервере, а использовать токен на другом. Круто, но что нам это дает? А то, что на забаненных аккаунтах логин сервер посылает нас на три буквы и не выдает нам токен. Попробуем получить его со staging сервера. Как вы догадались - успешно =)

Подытожим: Мы смогли авторизоваться на забаненном аккаунте на тестовом сервере, где получили действующий токен, как на обычном (незабаненном) аккаунте. Получается, что используя это маленькое ухищрение мы можем продолжать играть/выводить c забаненных аккаунтов.

Часть 4. Кто убил PVU?

Помните, как в конце PVU, ежедневные поливы на дереве (которые, по сути своей, являлись ежедневными квестами с наградами) стали увеличиваться с ненормальной скоростью, а после разрабы выключили дерево и снесли браузерную версию игры?

Этот инцидент случился после того, как группа жадных и недалеких людей, найдя баг, начали использовать его на всю катушку, вовсе не думая о последствиях своих действий. И из-за этого они закономерно спалились на нереалистичных цифрах полива дерева в ежедневном квесте.

Что это был за баг, каковы его причины и почему жадность — это плохо, я и расскажу вам в этой части.

Однажды, после "разбана" очередных аккаунтов наших "клиентов" с помощью метода, описанного мной выше, мы решили переписать кусочек нашего софта, а именно ту часть, которая отвечает за логин. Впоследствии человек, которому мы все это делали, сказал, что ему дало в 2 раза больше LE и расходок, чем должно было дать (для тех кто не застал прекрасный гем, коим являлось PVU, LE – внутриигровой расходник, который не имеет денежной ценности, в отличии от токенов PVU, которые хранятся в блокчейне и имеют прямой денежный эквивалент).

Этот человек очень обрадовался, но мы на тот момент не придали этому значения. Позже вечером ситуация повторилась, и когда еще один человек рассказал нам про двойное количество LE и расходников, мы решили все таки разобраться: А откуда же у людей двойная награда за выполнение ежедневного квеста?

Начав наше "домашнее расследование" мы обнаружили, что для каждого из аккаунтов у нас есть 2 токена авторизации и используя каждый из них мы можем поливать дерево раз в сутки! Логика сервера позволяла это, а баланс аккаунта, который записан в базе данных, оставался общим. Вот это приятная находка, не находите? Погнали абузить!

Но подождите, стоп, х2 - это конечно приятно, но раз уязвимость игры позволила нам сделать х2, возможно по той же логике получится сделать и х100?

С этой оптимистичной мыслью мы и принялись искать уязвимость. Вы наверняка сейчас думаете, какая же могла быть изощренная уязвимость в игре с маркет каппой в несколько сотен миллионов долларов и такой огромной аудиторией? Наверняка в игре, имеющей такое колоссальное количество денег в своем распоряжении, не может быть каких-то очевидных проблем с написанием кода. Насколько же надо было ухищриться, чтобы найти эксплойт, потенциально позволяющий вынести несколько миллионов из игры, а также впоследствии ставший одной из основных причин закрытия и смерти PVU? Если вы задались хотя бы одним из этих вопросов, то самое интересное впереди.
Итак, после тщательного изучения внутриигровых токенов мы и обнаружили ту самую неочевидную, но простую ошибку, которая была в игре с самого первого дня. И так, давайте же разберем, в чем была проблема.

Вот как выглядел первый токен:

{

"publicAddress": "0x0a34a5565e952ab27787a21a3f4e54b321ac0340",

"loginTime": 1629054891882,

"createDate": "2021-08-11 18:52:05",

"iat": 1629054891

}

, а вот и второй:

{

"publicAddress": "0x0A34A5565E952aB27787A21a3f4E54b321AC0340",

"loginTime": 1629054891882,

"createDate": "2021-08-11 15:37:02",

"iat": 1629053416

}

На первый взгляд кажется, что все нормально. Но при повторном логине сервер "обнуляет" предыдущий токен (а вместе с ним и полученные награды), и он становится не валидным. Хм, странно... Хотя подождите..

0x0a34a5565e952ab27787a21a3f4e54b321ac0340

0x0A34A5565E952aB27787A21a3f4E54b321AC0340

Кошелек один и тот же, однако регистр букв отличается.

Что нам это дает? - На этапе поливов дерева сервер считает, что это два разных аккаунта! Как же мы это обнаружили? Все дело в том, что когда мы решили переписать ту часть кода, которая отвечает за логин, мы забыли привести строку к нижнему регистру, (т.е не заменили большие буквы на маленькие) благодаря чему некоторые из наших клиентов и получали двойные награды за ежедневные квесты.

Это была, безусловно, интересная находка. Получается, что мы можем сгенерировать огромное количество вариантов одного кошелька, просто меняя буквы с больших на маленькие и логиниться с ними, поливая дерево вновь и вновь! При этом с одного аккаунта мы можем делать огромное количество паблик ключей, а именно равное 2^N, где N - количество букв в кошельке, в теории позволяя нам сделать те самые х100(а может и х1000?), о которых я и писал ранее. Звучит круто =)

Давайте еще раз осмыслим вышесказанное:

"а А" - Вот это убило ПВУ! Прописная и заглавная буквы в одном и том же паблик ключе позволили неограниченное количество раз поливать дерево и собирать за это награды в тех количествах, которые были нужны (Бесконечно).

Про то, что было дальше, история, конечно же, умалчивает. Однако есть основания полагать, что если делать все планомерно и не спеша, то можно получить суммы с шестью-семью нулями. Особенно легко это было сделать именно тем, кто обнаружил этот баг раньше других.

Спустя полтора месяца кроме нас нашлись еще какие-то люди, которые узнали об этой особенности игры. Эти ребята решили не стесняться и в лучших традициях широкой русской души разнесли баг по большому количеству людей. Закономерно, количество поливов стало неконтролируемым, и все заметили, что происходит что-то неладное, в том числе и разработчики, которые быстро устранили уязвимость, а впоследствии полностью убрали браузерную версию игры и сделали ее десктопной.

Ну что же, спасибо всем, кто дочитал до конца. Вот мы и разобрали, как и что погубило криптогиганта и прародителя P2E пирамид, на котором в свое время заработали свой первый банк огромное количество криптанов ру – сегмента.

Подписывайтесь на наш телеграмм канал (https://t.me/klatmansklad), будем благодарны за актив и репосты. В скором времени ожидайте новую историю о том, как Walken хоронили.