Главные отличия Web3 от Web2

Перед тем как углубиться в код и практику, полезно увидеть основные различия между привычной Web2-разработкой и новой логикой Web3.

Представим себе простой сервис для задач. В классическом Web2 его работа привычна: сервер обрабатывает запросы, база данных хранит задачи, а пользователь авторизуется через почту и пароль. Всё централизовано и зависит от владельца сервера.

В Web3 логика сильно меняется. Пользователь входит в систему с помощью криптокошелька, например, MetaMask. Каждая задача создаётся транзакцией и записывается в смарт‑контракт, а значит становится частью блокчейна. Удалить её уже нельзя — только отметить статус выполнения. Такой подход даёт прозрачность: любой участник сети может проверить, что задача действительно существует, и её статус изменён честно.

Стек Web3: что понадобится на практике

Чтобы построить работающий DApp, важно понимать, чем он отличается от обычного приложения. DApp — это децентрализованное приложение, в котором логика хранится в смарт-контрактах на блокчейне, а данные — в распределённых хранилищах, а не на сервере компании. Поэтому одного знания блокчейна мало: нужен полный набор инструментов — от языков и фреймворков до кошельков и сервисов подключения.

• Блокчейн: Ethereum, Layer‑2 (Arbitrum, Optimism, Base, Polygon), Solana.
• Языки: Solidity (EVM), Rust (Solana), Go (инфраструктура и сервисы).
• Библиотеки: ethers.js, wagmi.
• Фреймворки: Hardhat, Foundry, Truffle.
• Хранилища: IPFS/Arweave для файлов и метаданных.
• Кошельки/подключение: MetaMask, WalletConnect (v2/WalletConnect Network), Web3Auth.

Точка входа для новичка — Alchemy, а также ethers.js.

Пример. Быстрое подключение кошелька (ethers.js).

Архитектура DApp: из чего состоит современное Web3‑приложение

Любое Web3‑приложение строится из нескольких слоёв, каждый со своей ролью. Фронтенд остаётся привычным SPA, но работает не с сервером, а напрямую с кошельком и смарт-контрактами. Контракты содержат бизнес‑логику и хранят ссылки на данные в децентрализованных хранилищах. Оракулы обеспечивают связь с внешним миром, например, передают цены или сообщения между разными блокчейнами. Важную часть играет off‑chain слой — сервисы вне блокчейна (индексаторы, аналитика), которые помогают быстрее искать и обрабатывать данные, при этом не перегружать сеть.

Пример. Возьмём DeFi‑приложение. Пользователь открывает фронтенд и инициирует операцию swap(). В ответ фронтенд обращается к смарт‑контракту, который выполняет обмен токенов. Чтобы определить курс, контракт тянет актуальные данные через оракул. При этом тяжёлые артефакты, изображения или отчёты не хранятся в блокчейне напрямую — они лежат в IPFS. Сам контракт содержит только контент‑идентификаторы CID. Таким образом, получаем баланс: блокчейн отвечает за логику и безопасность, а децентрализованное хранилище — за данные.

Практика: ваш первый DApp за вечер

Давайте попробуем собрать простейшее приложение своими руками.

Шаг 0. Подготовка

Сначала убедитесь, что у вас стоит Node.js LTS и Git. Также нужен браузер с установленным MetaMask, где можно создать тестовый аккаунт. Чтобы оплачивать транзакции в тестовой сети, заранее возьмите немного тестовых монет через faucet — например, для Sepolia или Polygon Amoy.

Шаг 1. Проект

Создадим новый проект и установим Hardhat вместе с тулзами. Эта среда нужна для компиляции и деплоя контрактов.

Шаг 2. Контракт

В папке contracts/ создаём файл TaskTracker.sol и копируем туда код смарт-контракта из первого раздела. Это и будет бизнес-логика нашего приложения.

Шаг 3. Сценарий деплоя

Пишем скрипт, который разворачивает контракт в сети. Это простой скрипт на JavaScript, который вызывает методы Hardhat.

Шаг 4. Конфиг сети

В файле hardhat.config.js добавляем настройки для подключения к тестовой сети. Используем RPC-URL от Alchemy или Infura и приватный ключ от тестового аккаунта — его можно экспортировать из MetaMask, но использовать только для тестовой сети.

Шаг 5. Деплой в тестнет

Теперь запускаем скрипт деплоя. После выполнения увидите адрес контракта — он понадобится для фронтенда.

Шаг 6. Фронтенд (React + ethers.js + wagmi)

Собираем простое SPA: форма, чтобы добавить задачи, и кнопка «complete». Здесь мы используем ethers.js для обращения к контракту. Сделайте вызовы addTask и completeTask.

Подводные камни Web3-разработки и что с ними делать

Комиссии (gas): любая запись в блокчейн стоит денег и иногда комиссия выше ценности операции — например, $10 за простую задачу.

• Что делать: использовать Layer-2 (Arbitrum/Optimism/Base/Polygon), выбирать сети с низкими комиссиями (Solana, Avalanche), оптимизировать контракты и батчи транзакций.

Скорость: подтверждение транзакции занимает секунды или десятки секунд, что заметно медленнее обычного сервера.

• Что делать: показывать «оптимистичный UI», кешировать данные, переносить часть логики off-chain, использовать быстрые сети (Solana, Near, Aptos).

Безопасность: код контракта неизменяем, и одна ошибка может стоить миллионов.

• Что делать: проходить аудит (CertiK, Trail of Bits), использовать проверенные библиотеки (OpenZeppelin), писать тесты в тестовых сетях (Goerli, Sepolia), внедрять баг-баунти и ролевую модель доступа.
• Ресурс: ConsenSys Diligence — Smart Contract Security Best Practices.

UX: вход через кошелёк сложнее привычного логина/пароля. Нужно ставить расширение, пополнять баланс и подтверждать каждую транзакцию.

• Что делать: использовать аккаунт-абстракцию (ERC-4337), социальный логин, gasless транзакции через Paymaster, улучшать UI (подсказки, авто-фокус на MetaMask).

Регуляция: законы о Web3 пока разные в каждой стране. Легальное в одной юрисдикции может быть запрещено в другой (например, токенизация акций без лицензии).

• Что делать: консультироваться с юристами, следить за изменениями. Например, MiCA в ЕС — “Markets in Crypto-Assets Regulation” — это единый регламент по криптоактивам в Евросоюзе.

Безопасность всегда должна быть на первом месте, потому что в Web3 есть риск потерять реальные деньги пользователей.

Карьерные возможности и перспективы

Web3‑разработчиков уже активно ищут: зарплаты в среднем предлагают выше, чем у Web2‑коллег. Кроме программистов, востребованы смежные роли: аудиторы смарт‑контрактов, специалисты по безопасности, а также продакт‑менеджеры и аналитики, которые понимают специфику блокчейна.

Чтобы войти в профессию, начните с изучения Solidity и базовых паттернов смарт‑контрактов. Сделайте пару пет‑проектов и выложите код в GitHub. Отличный вариант прокачки — участвовать в хакатонах и грантовых программах от Ethereum Foundation или Solana Grants. Это даёт и опыт, и контакты, и иногда финансирование.

Пара пет‑проектов + понимание блокчейна — хороший старт в Web3‑команду.

Будущее Web3

Web3 не вытеснит Web2 полностью, но поменяет привычный подход к разработке. Разработчику это открывает новые вызовы: комиссии, безопасность и UX, но одновременно и новые возможности — прозрачные данные, токенизация, децентрализованные бизнес‑модели.

Для тех, кто только входит в сферу, это шанс попасть в индустрию на раннем этапе и быстро нарастить экспертизу. Простые пет‑проекты, хакатоны и знакомство с инструментами дают ощутимый старт.

Web3 будет развиваться параллельно с Web2, усиливая те области, где важны децентрализация, доверие и контроль за данными. Попробуйте задеплоить первый контракт — и вы сами почувствуете, что это не просто мода, а новый уровень возможностей.

Эти пакеты используются в миллионах проектов по всему миру — общее количество загрузок только за неделю превышает 2 млрд.

Как работал вредоносный код

Внедренный JavaScript-код маскировался внутри библиотек и выполнялся исключительно в браузерной среде. Основная цель — перехват криптовалютных транзакций через подмену данных:

• внедрение в методы fetch, XMLHttpRequest, а также Web3-объекты (window.ethereum и др.);
• отслеживание и подмена адресов кошельков при вызовах вроде sendTransaction, approve, transfer;
• использование «похожих» адресов для подмены без визуального отличия;
• манипуляции с параметрами транзакций на этапе подписи;
• сохранение внешней «нормальности» интерфейса, чтобы пользователь ничего не заметил.

Таким образом, атака была нацелена на незаметное хищение криптоактивов прямо из интерфейсов Web3-приложений.

Как злоумышленники получили доступ

Один из мейнтейнеров, обладающий доступом к части библиотек, стал жертвой фишинговой атаки.

Он получил письмо с поддельного адреса support@npmjs.help, зарегистрированного 5 сентября 2025 года. После компрометации аккаунта были опубликованы вредоносные версии пакетов.

Автор позднее подтвердил взлом и удалил некоторые версии, но часть вредоносных сборок осталась доступной, включая simple-swizzle.

Список затронутых пакетов

Наиболее популярные зараженные библиотеки:

• chalk
• debug
• supports-color
• strip-ansi
• ansi-regex
• wrap-ansi
• color-name
• color-convert
• color-string
• chalk-template
• has-flag
• has-ansi
• slice-ansi
• error-ex
• simple-swizzle
• backslash
• и другие

Большинство из них используются транзитивно — через другие зависимости.

Что делать разработчикам

1. Проверить package-lock.json или yarn.lock на наличие зараженных версий.
2. Использовать npm audit, snyk, Safe Chain или аналогичные инструменты для анализа зависимостей.
3. Обновить или зафиксировать безопасные версии пакетов.
4. Если проект работает с криптовалютой, проверить, не было ли компрометации в процессе использования.

Почему это важно

Эта атака стала одной из крупнейших в истории JavaScript-экосистемы и подчеркивает уязвимость цепочек поставки (supply chain) в open-source.

Даже небольшая уязвимость или фишинговая атака на одного мейнтейнера может поставить под угрозу миллионы пользователей по всему миру.

Все ждали, что вот-вот начнётся киберпанк: наши аватары будут тусоваться в 3D, ходить по виртуальным улицам и работать в офисе на Марсе. Но метавселенная не случилась и вместо этого мы получили пустые миры, лаги и виртуальную морскую болезнь. Чтобы попасть в эту «новую реальность», нужен мощный комп, дорогущий VR-шлем и вестибулярка космонавта. Массовому пользователю это не по карману и не по душе. Даже если вы добрались до метавечеринки — вас ждала примитивная мультяшная графика.

Метавселенная — красивый технологический концепт, но без реального запроса со стороны людей. Одни видели в ней VR и AR, другие — NFT и блокчейн, третьи — некий 3D-интернет. И стало непонятно: что это вообще было и зачем?

Метавселенная обещала стать новым поколением соцсетей, что именно там будет жить наше будущее общение и работа. Весь хайп смыл новый тренд: волна генеративного ИИ. Meta* (признана в России экстремистской организацией и запрещена) и другие техногиганты свернули свои эксперименты и переключились на нейросети.

У бизнеса с метавселенными тоже не сложилось: ни чёткой модели монетизации, ни реальных кейсов. Продажа виртуальной недвижимости в Decentraland, мерч для аватаров, баннеры в виртуальных тусовках — всё больше напоминает Web3-версию The Sims, чем серьёзную платформу с реальной экономикой. Так что будущее в 3D отложили до лучших времён.

Игровые платформы вроде Minecraft, Roblox, Fortnite — это по сути и есть настоящие метавселенные, которые давно живут своей жизнью. Среднестатистический пользователь от виртуальных тусовок отказывается: ему проще зайти в Discord или залипнуть в обычный стрим на Twitch, чем надевать шлем ради планёрки в Horizon Worlds.

Я могу просто посмотреть стрим и получить лучший опыт. Надевать шлем не имеет смысла — никакой пользы

Громкие обещания про «полное погружение» и «эффект присутствия» на практике разбивались о суровую реальность — кривую техническую реализацию. Сейчас платформы выглядят заброшенными: пустые сцены, аватары без ног и скучные шаблонные взаимодействия. Ещё одна проблема — отсутствие единого мира. Все платформы живут по отдельности, между ними нет порталов и возможности перемещаться. К тому же, в виртуальности были серьёзные проблемы с безопасностью — например, случаи домогательств.

Есть надежда, что метавселенная вернётся — когда технологии и контекст будут готовы. Когда VR-шлемы станут лёгкими, дешевыми и удобными, появятся реальные сценарии, а не просто презентации для инвесторов. Тогда, может быть, мы ещё туда заглянем. А пока — rest in pixels, Metaverse.

NFT-мания

Пока одни тусовались в метавселенной и зарабатывали миллионы на продаже пикселей, другие гуглили, что такое OpenSea и почему JPEG стоит как однушка в Москве. Сейчас NFT называют либо финансовым пузырём, либо зачатками новой цифровой инфраструктуры.

Пандемия и локдаун дали интернету второе дыхание. Люди заскучали и начали скупать цифровое искусство, как раньше собирали марки, карточки или скины в играх. В 2021 году NFT стали мейнстримом: CryptoPunks, Bored Ape, Beeple — эти имена знали все. К цифровой лихорадке подключились бренды: Adidas, Nike и даже McDonald’s начали продавать цифровой мерч в метавселенных. Пиксельные обезьяны разлетались, как будто золото будущего: в январе 2022 NFT-маркетплейс OpenSea побил все рекорды, ведь месячный объём торгов составил около $5 млрд. Владение NFT стало признаком цифрового престижа. Люди устанавливали токены себе на аватарки в Twitter, потому что это был цифровой Rolex: если у тебя был токен — ты в теме. А если нет — шёл читать гайды на Tproger.

Но уже к лету того же года рынок начал сдуваться. В июне 2022 объем OpenSea упал до ~$700 млн, а в октябре 2023 он составлял лишь $91 млн. Минус 98% от пиковых значений. Что же пошло не так?

Большинство NFT не дают прав на владение цифровым активом. Вы покупаете не саму картинку, а ссылку на неё в блокчейне. Если сервер с изображением ляжет — останется только строчка кода, свидетельствующая о вашем хорошем вкусе. Многие NFT были просто картинками. Ни привязки к играм, ни доступа к сообществам, ни других функций — только красивая (или не очень) обёртка.

Зачем мне вообще покупать этот NFT вместо настоящего произведения искусства?

Тысячи NFT-проектов выходили каждый день, рынок быстро перенасытился, и в итоге NFT-платформы утонули в спаме и мошенничестве. Один из самых распространённых трюков — wash trading: пользователь продаёт токен сам себе, чтобы искусственно раздуть спрос. Исследования показывают, что по итогам 2022 года более половины объёма торгов NFT на Ethereum приходилось на липовые сделки. Кто-то считает, что NFT со временем обесценились. Но возможно, что они с самого начала были пустышками.

Ещё один удар по доверию — кражи и хаос с плагиатом. Работы художников массово превращали в NFT без их ведома: копировали, заливали и продавали, как своё. Никто не спрашивал разрешения у авторов, и уж точно не предлагал процент с продаж. NFT также критиковали за углеродный след и загрязнение окружающей среды.

NFT как спекулятивный пузырь — фактически умер. Большинство коллекций потеряли всякий торговый смысл: объёмы упали, активные игроки исчезли, а токены превратились в мёртвые цифровые артефакты. Лихорадочные инвестиции, основанные на спекуляциях, просто сдулись.

Но сама концепция уникального цифрового актива живёт дальше. Токен как технология адаптируется и трансформируется. В играх NFT уже показали себя как востребованный юзкейс: игроки могут владеть, торговать и прокачивать виртуальные предметы. Эксперты считают, что инфраструктура останется, и на её базе появятся проекты с реальной практической ценностью. А NFT превратится в элемент цифровой инфраструктуры — как инструмент доступа и сертификат владения. Цифровой «паспорт», который фиксирует принадлежность к сообществам, открывает возможности для участия в клубах и эксклюзивных событиях.

3D‑телевизоры: история провала объёмного кино у вас дома

В начале 2010-х 3D-ТВ казались мегатрендом после хита «Аватар». Однако к 2016 году большинство крупных производителей отказались от выпуска моделей с поддержкой 3D. Многие пользователи так и не получили качественный опыт из-за технических ограничений и ранней стадии развития.

Я знаю, почему 3D-телевизоры провалились: производители поспешили поймать волну кинотеатрального бумa, сделав технологию с тяжёлыми и требующими подзарядки очками. В то же время на горизонте появились большие плоские телевизоры без очков, которые выглядели гораздо лучше и удобнее для пользователей.

Что пошло не так? Во-первых, сами 3D-очки. Их нужно было заряжать, носить поверх своих, а сидеть при этом строго под определённым углом, иначе магия пропадала. Многие отмечают, что это было неудобно — очки были дорогими, тяжелыми, а некоторые зрители уставали уже на середине фильма: жаловались на напряжение в глазах, дискомфорт и головные боли. Технология, которая должна была удивлять, в итоге просто раздражала.

Контента почти не было, и пользователи, купив дорогой телевизор, сталкивались с вопросом: а что, собственно, смотреть? 3D-телевизоры были дороже своих 2D-аналогов, и с развитием 4K, HDR и OLED-технологий потребители начали отдавать предпочтение лучшему качеству изображения без 3D. Зачем платить за условную «глубину», если можно просто получить красивую живую картинку из коробки.

Несмотря на провал 3D-ТВ в их классическом виде, эксперты не ставят на них технологии крест. Как пишет WIRED, новый виток связан с автостереоскопическими дисплеями: они используют трекинг взгляда, линзы и AI, чтобы создавать объёмное изображение прямо на экране — без всяких аксессуаров.

Google Glass: будущее было на носу

Google Glass подавали как прорыв — интерфейс будущего прямо у вас перед глазами. Но вместо футуризма — странная дужка с экранчиком сбоку. Стоила как хороший ноутбук, делала как плохой смартфон. Пользователи получали уведомления на уровне браслета и фото из 2005 года. Памяти почти нет, батарея умирает быстрее, чем вы успеете сказать «Окей, Google».

Соучредитель Google Сергей Брин позже признал, что не понимал, как устроены поставки и насколько сложно произвести такие очки массово и недорого. И это многое объясняет: в Google Glass вложили идею, но не довели её до жизнеспособного устройства.

Хотя запуск обставили красиво: дали очки техноинфлюенсерам, звёздам, первопроходцам — маркетинг остался без главного: никакой конкретики, ни сроков, ни объяснения, зачем это всё нужно. Продукт обсуждали, хайп был — но в продаже его не было. Сама общественность встретила Glass с настороженностью: главной проблемой стала конфиденциальность. У очков не было явного индикатора съёмки, и люди не понимали, записывают их или нет.

Некоторые считают, что Google Glass просто опередили своё время. Прототип показали ещё в 2013 году на Google I/O, а уже к 2015-му производство свернули. На практике очки оказались недостаточно удобными, многие обозреватели говорили, что они нелепо выглядят, а способов их применения никто так и не придумал. При цене в $1500 очки превратились в атрибут избранных гиков, а не в массовый гаджет.

По оценкам аналитиков, всего было продано не более 250 тыс. таких устройств, причем на старте Google отдала лишь 10 000 очков ограниченному кругу «избранных». Попасть к покупателю было сложно — очки продавали только по рекомендациям действующих владельцев. Функционально устройство не впечатляло: маленький прозрачный дисплей с разрешением 640×360, слабая 5-Мп камера, мало памяти и скромные 2–3 часа работы от батареи не соответствовали ожиданиям пользователей.

После провала на массовом рынке Google сменила стратегию на бизнес‑фокус. С 2014 года разрабатывалась корпоративная версия Glass Enterprise Edition, адаптированная для промышленных задач. Однако эти бизнес-успехи не спасли проект на массовом рынке, и Google окончательно закрыла проект в 2023 году.

На фоне фиаско Google Glass, современные игроки делают выводы — и действуют иначе. Ray-Ban Meta* (признана в России экстремистской организацией и запрещена) не обещают революцию — они интегрируют ИИ и камеру в повседневную форму очков. Не «будущее на лице», а стильный способ снять сторис и получить подсказки от ИИ. Apple Vision Pro, напротив, сознательно уходит в премиум и не обещает быть массовым — только для профессионалов, с чётким сценарием: дополнительный дисплей, работа с контентом и Facetime. А Android XR (например, от Samsung) с амбицией создать экосистему, куда подключаются другие производители.

Главные фейлы: почему хайп умер быстрее, чем мы успели надеть шлемы

• Переоценка трендов: компании хотели влететь в хайповый тренд. В итоге технологии оказывались сырыми или неудобными.
• Нет ценности для пользователя: эти продукты часто не решали реальных задач, а разработчики не объясняли, почему именно их стоит использовать.
• Сложность и неудобства: тяжёлые VR-шлемы, громоздкие или нелепые устройства.
• Непроработанные риски: проблемы с приватностью, мошенничеством и токсичностью подрывали репутацию и доверие.

В итоге большинство хайповых технологий проваливаются не из-за идеи, а из-за недостатка внимания к пользовательскому опыту, адекватности технических решений и реальным потребностям рынка. Технологии должны идти в ногу с ожиданиями и возможностями людей, а не только с фантазиями инвесторов и маркетологов. Будущее — за теми, кто сумеет не просто создать инновацию, а сделать её удобной, полезной и понятной.

Если ты когда-нибудь писал что-то под Web3 или просто интересовался, как всё это устроено, сейчас хороший момент снова посмотреть в сторону Ethereum. Дальше по пунктам — что именно стоит иметь в виду.

Сеть стала быстрее и дешевле — это уже не шутки

Ethereum 2.0 наконец начал работать не просто на бумаге. Транзакции идут быстрее, комиссии стабильнее, нагрузка меньше. Для нас это значит, что можно не закладывать в архитектуру кучу костылей, чтобы обойти медленный отклик или запредельные цены за газ.

Если раньше ты откладывал идею своего DeFi-продукта на потом — сейчас это самое потом.

Больше денег — больше пользователей — больше запросов

Когда эфир растёт, люди начинают активнее пользоваться протоколами. Кто-то хочет купить криптовалюту, кто-то — протестить очередной пул, а кто-то просто поиграться с токенами. В любом случае — у тебя на фронте или в бекенде прибавляется трафик.

И тут важно понимать, как себя поведёт твой код под нагрузкой. Если юзер решит купить Ethereum через твоё приложение, а у тебя всё повиснет — это минус карма и минус юзер.

Работать с данными стало важнее, чем когда-либо

Показывать актуальный курс, считать доходность, подсказывать пользователю, где выгоднее обменять — это уже не дополнительная фича, а базовая вещь.

Я для себя давно решил: проще пользоваться агрегаторами, чем пилить миллион обвязок под каждую биржу. Например, Exnode хорошо помогает — глянул в пару кликов, где норм курс, и встроил это в продукт. Не как основа логики, а как ориентир. Удобно и не надо городить огород.

DeFi снова жив, и это видно

Новые протоколы запускаются почти каждый день. Layer2-сети дышат полной грудью. zkSync, Arbitrum, Base — инструменты уже не просто экспериментальные, с ними можно работать без ощущения, что ты тратишь время впустую.

Если ты давно хотел сделать что-то на стыке frontend + блокчейн — сейчас тот момент, когда это будет востребовано. Вполне возможно, кто-то через твоё приложение завтра будет покупать криптовалюту, не выходя из Telegram-бота.

Вместо вывода

Ethereum растёт. Это хороший знак — не только потому, что цифра в CoinMarketCap красивая, а потому что это оживляет экосистему. А значит, оживляет и спрос на наши с тобой скиллы.

Если давно хотел попробовать себя в Web3 — сейчас, кажется, пора. Даже если начнёшь с чего-то простого: калькулятора доходности, обменника или трекера портфеля — это уже будет полезно.

Инструменты стали лучше, данные — доступнее, и пользователи опять интересуются. Дальше — дело за нами.

Исследователи из компании Phylum сообщили, что злоумышленники загрузили сотни вредоносных пакетов с именами, похожими на популярные библиотеки, такие как Puppeteer и Bignum.js, а также библиотеки для работы с криптовалютами.

Цель кампании — заразить устройства разработчиков, использующих эти пакеты.

Новый метод сокрытия IP-адресов

Уникальная особенность данной атаки заключается в том, что пакеты используют Ethereum-смарт-контракт для скрытия IP-адресов, к которым подключаются зараженные устройства.

Это необычный способ, поскольку вместо указания адресов прямо в коде, вредоносный пакет получает их через блокчейн-адрес на основной сети Ethereum.

Исследователи смогли отследить IP-адреса, используемые злоумышленниками, благодаря прозрачности данных на блокчейне, где хранится полная история значений:

• 2024-09-23: hxxp://localhost:3001
• 2024-09-24: hxxp://45.125.67[.]172:1228
• 2024-10-21: hxxp://45.125.67[.]172:1337
• 2024-10-22: hxxp://193.233[.]201.21:3001
• 2024-10-26: hxxp://194.53.54[.]188:3001

Действия вредоносных пакетов

После установки, вредоносный пакет работает в памяти, подключаясь к указанному IP-адресу и загружая дополнительные файлы JavaScript.

Он отправляет на сервер информацию о системе: данные о процессоре, видеокарте, объеме памяти, имени пользователя и версии операционной системы. Также он автоматически запускается при каждом перезагрузке устройства.

Техника тайпсквоттинга и советы разработчикам

Злоумышленники используют технику тайпсквоттинга — создание пакетов с именами, похожими на легитимные, но с незначительными изменениями, которые пользователи могут не заметить.

Тайпсквоттинг активно используется последние несколько лет для распространения вредоносных библиотек, что делает его излюбленным методом киберпреступников.

Рекомендации для разработчиков

Phylum советует разработчикам тщательно проверять имена пакетов перед установкой. В блоге компании указаны названия и IP-адреса вредоносных пакетов, чтобы пользователи могли избежать установки зараженных библиотек.

DeFi — это целая экосистема, которая упрощает банкинг, инвестирование, кредитование и другие финансовые операции. И для этого достаточно просто скачать приложение. Ниже разбираемся, как это работает и зачем это нужно.

Что такое DeFi

DeFi (Decentralized Finance) — это набор финансовых приложений и услуг, которые построены на блокчейнах, преимущественно на Ethereum. Эти приложения включают в себя всё от кредитования и займов до торговли и страхования.

Основная идея заключается в создании открытой, прозрачной и доступной финансовой системы. При этом не нужно обращаться в банки — сохраняется полная анонимность пользователя.

Представьте, что вам нужно занять деньги. В традиционной системе вы бы пошли в банк, заполнили кучу документов, прошли проверку кредитной истории, и если банк одобрит ваш запрос, вы получите займ. В децентрализованных финансах (DeFi) все происходит иначе:

1. Вы заходите на DeFi-платформу и вместо проверки кредитной истории вы размещаете свои криптовалюты в качестве залога (например, Ethereum или Bitcoin).
2. На основе залога вы получаете займ в другой криптовалюте или стабильной монете (например, DAI или USDC).

Стоимость операций в протоколах DeFi определяют пользователи: чем больше спрос на нужную криптовалюту, тем выше комиссия — с неё продавцы и получают доход. Однако юзеры могут сами занижать процент в отличие от традиционного банкинга, где он устанавливается свыше на все транзакции.

Технологии внутри DeFi

DeFi завязана на peer-to-peer операциях — все транзакции происходят без посредников (банков) между пользователями на открытом рынке. Децентрализованные финансы используют модель p2p-обмена, но с помощью приложений и смарт-контрактов на блокчейне.

Блокчейн

Блокчейн (или, если вас очень просят переводить термины на русский язык, «цеповяз») — это распределенная и защищённая база данных. В блокчейне транзакции записываются в блоки и проверяются с помощью автоматизированных процессов. Если транзакция подтверждена, блок шифруется, затем создается другой блок с информацией о предыдущем и новых транзакциях.

Изменить, кстати, блокчейн невозможно — тогда полетит вся система. В общем, безопасность с большой буквы.

Эта технология позволяет пользователям хранить персональные ключи к виртуальным токенам или крипте, которые работают как пароли. Собственность на токены передаётся другому юзеру через кошелек с таким же закрытым ключом, и за счет блокчейна обратная передача невозможна.

В DeFi блокчейн нужен, чтобы пользователи могли совершать транзакции, брать займы и торговать на бирже без какого-либо контроля со стороны финансовых институтов. Технология записывает все транзакции и данные смарт-контрактов по сети. И решающую роль здесь играют Etherium и Solana, способные поддерживать смарт-контракты.

Смарт-контракты

Это база DeFi. Смарт-контракты — аналог обычных контрактов, только цифровых и автоматизированных. Именно они обеспечивают прозрачные транзакции без посредников. Разработчики пишут и развёртывают их на блокчейне, поддерживающем умные-контракты — как мы уже выяснили, это Etherium, Solana и ещё Polka dot. По сути, это как 1С, только круче: с помощью смарт-контрактов можно запланировать ежемесячные платежи или даже запустить свою биржу.

Вообще, в разработке смарт-контрактов стоит отдать должное девелоперам Etherium. Сначала технология работала по принципу Proof-of-Work (как Биткоин), а потом, чтобы Эфир мог оперативнее обрабатывать огромное количество транзакций, создатели перевели её на Proof-of-Stake. Благодаря этому мы имеем DeFi в современном виде.

Децентрализованные приложения (dApps)

Их можно скачать на компьютер или телефон и получать финуслуги из любой точки мира (без пятидневного ожидания от европейского банка). Приложения построены на базовом блокчейне — внутри можно брать кредиты, торговать на бирже, дарить подарки и совершать покупки без участия третьих лиц. Только вы, приложение и man in finance (6’5, blue eyes), который успел купить крипту десять лет назад.

Например, если вам нужен кредит, вы выходите на p2p-рынок и ищете продавца с более выгодными условиями и процентами — он одолжит вам определённое количество криптовалюты.

Вот несколько таких платформ:

• CriptoKitties
• Uniswap
• Aave
• Alchemix
• Yearn
• MakerDAO
• ENS

Большинство из них построены на Etherium. Цены меняются в зависимости от спроса и предложения. Но помните: нужно оставаться аккуратными с p2p-кредитованием на DeFi-платформах, торговлей на криптобиржах и в целом с покупкой/продажей криптовалюты — это инвестиционный риск (про Патрики знаем, плавали).

Немного подробнее: где используется DeFi

Изначально это была история про кредитование и обмен, но сейчас с развитием индустрии количество направлений DeFi увеличилось. Вот некоторые из них:

• Провайдеры ликвидности. Ликвидность — это возможность быстро продавать активы. Провайдеры ликвидности, как правило, представляют собой пулы, в которых пользователи размещают средства, чтобы биржи могли предоставлять своим пользователям возможности для продажи.
• Децентрализованное страхование. Да, в какой-то момент разработчики поняли, что в смарт-контрактах могут быть ошибки, а криптокошелёк и вовсе могут украсть. Тогда придумали децентрализованное страхование: пользователи дают ликвидность на покрытие ущерба, и получают с этого процент.
• NFT. Да, рынок немного «подуспокоился», но энтузиастов, которые коллекционируют обезьян, всё ещё много.
• Рынки прогнозов. Можно делать ставки на исход любого события. История рискованная, поэтому всегда делайте ставку на себя.
• Стейблкоины. Если переводить на русский — стабильные монеты. Это валюты с фиксированной ценой — она обеспечивается фиатной и децентрализованной криптой (знакомые нам ETH и BTC).

Подводные камни есть

Несмотря на быстрое развитие DeFi-индустрии и все преимущества — анонимность, круглосуточный и легкий доступ к активам и займам и обход банков — система не выглядит идеальной. Вот несколько возможных проблем:

• Хакеры «хакерствуют», закон пока не «законится». Помним, что любая система уязвима (как говорили в фильме «Кто я»). И DeFi-платформы являются одними из самых взламываемых в мире криптовалюты. Кроме того, сфера до сих пор полностью не регулируется с правовой точки зрения (хотя инициативы со стороны американского правительства есть), поэтому вопросы с расследованиями и скандалами остаются открытыми. Это в определённой степени нормально, учитывая, насколько быстро растет сфера.
• Смарт-контракты могут рухнуть. Несмотря на то что они обеспечивают прозрачность и безопасность, они написаны не на бумаге, а в компьютере, и не ручкой, а кодом. А любой код может дать сбой в какой-то момент, что может привести к потере средств.
• Могут подняться комиссии. Если валюта нестабильна, пользователям придётся платить больший процент, чтобы быстро закрыть все транзакции — это может привести к резкому увеличению комиссий.
• Непостоянные убытки. Они связаны с обеспечением ликвидности в протоколах автоматизированных маркетмейкеров. Когда вы предоставляете ликвидность пулу на этих платформах, вы вносите вклад в оба криптоактива (обычно в соотношении 50/50), чтобы облегчить торговлю, а взамен зарабатываете на комиссии: получаете долю комиссионных за торговлю криптовалютой, генерируемых протоколом. Непостоянные убытки возникают, когда цены на два токена в пуле ликвидности значительно расходятся с течением времени.
• Rug Pull. Или «подтасовка». Это тип мошенничества, при котором создатели проекта DeFi намеренно обманывают инвесторов или пользователей, резко выводя ликвидность или средства из проекта, а пользователи остаются с «носом», точнее, с обесценившимися токенами.

Децентрализованные финансы — ещё один шаг на пути к миру «Киберпанка» и «Первому игроку приготовиться». Они позволяют совершать операции с криптой быстро, анонимно, прозрачно и без посредников за счет смарт-контрактов. Но всегда нужно помнить, что сфера только начинает зарождаться, а изъяны есть в любой системе.

Первая пара:

• Билл Гейтс, основатель Microsoft,
• Виталик Бутерин, основатель Ethereum.

Вторая пара:

• Никлаус Вирт, создатель языка Паскаль,
• Сатоши Накамото, создатель биткойна.

Выберите из них, кого вы лично считаете лучшим программистом в мире, но помните: не ориентируйтесь на их популярность, востребованность или устоявшиеся топы лучших программистов.

В этом турнире важны только народная любовь и ваша субъективная оценка.

Подробнее об условиях батла читайте в анонсе.

По итогам второго раунда Бьёрн Страуструп, создатель С++, обогнал Джеймса Гослинга, создателя Java.

Также Гвидо ван Россум, создатель Python, проиграл Андерсу Гейлсбергу, создателю Turbo Pascal, Delphi, C# и TypeScript.

Результаты прошлого раунда можно посмотреть здесь.

Подпишитесь на тег Лучший программист 2023 и следите за обновлениями в личной ленте, чтобы не пропустить финал битвы.

Турнирная таблица:

Голосование продлится до завтра, 28 июля 2023 года, до 11 часов по московскому времени.

Начитавшись новостей о противостоянии Илона Маска и Марка Цукерберга, которое перетекает из борьбы бизнесов в борьбу физическую и наоборот, мы решили провести новый летний батл за звание лучшего программиста мира.

Читатели Tproger смогут проголосовать за своего фаворита и выяснить, кто на самом деле самый крутой айтишник.

Правила батла просты:

1. В батле участвует 16 всемирно известных программистов.
2. Ежедневно соревнуются две пары.
3. За любимого программиста можно проголосовать в течение 24 часов.
4. Пары составляются рандомно, так что выбирайте программиста, который субъективно, лично вам нравится больше.
5. В финале мы определим тройку победителей.
6. Старт — 25 июля, финал — 1 августа.

Забирайте эту запись в закладки, ведь именно в неё будут добавляться ссылки на последующие этапы голосования.

Турнирная таблица:

Старт уже завтра — 25 июля в 11:00 МСК. Следите, участвуйте, голосуйте!

Зачем нужны смарт-контракты? Сфер применения у них много. Cмарт-контракт, исполняемый внутри блокчейна, гарантирует нам то, что у некоторого NFT-токена в настоящий момент только один владелец. DeFi — сегмент децентрализованных финансов — основан на смарт-контрактах целиком. Любое DeFi-приложение — это фактически набор смарт-контрактов, правил, по которым функционирует экономическая система.

В смарт-контрактах рассчитывается, сколько каких токенов мы можем взять под какой залог, рассчитываются, например, правила ликвидации, когда стоимость нашего залога в результате колебаний рынка упала. Или, например, в децентрализованных автономных организациях (DAO) — все управление работает через смарт-контракты. Держатели токенов организации проводят голосование. Его результат регистрируется в смарт-контракте, и он обеспечивает необратимость принятого решения. В принципе, весь существующий сегодня публичный блокчейн работает на смарт-контрактах.

Внутри смарт-контрактов: уязвимости Solidity

Давайте заглянем внутрь смарт-контрактов. Для них по крайней мере в популярнейшем Ethereum используется язык Solidity. Пример функции из одного реального контракта в сети:

Что у нас здесь? Видим метод withdraw balance() — этот кусок кода отвечает за то, чтобы забирать какое-то количество эфира из контракта. Вроде бы всё просто и понятно. Но даже эти несколько строк уже содержат критическую уязвимость, которую, скорее всего, не знакомый с Solidity человек не заметит.

Уязвимость эта связана с re-entrancy. Смотрим на третью строчку кода: здесь мы используем метод msg.sender.call.value и добавляем то количество денег, которое хотим забрать. Что же не так?

В Ethereum широко поддерживается композиция^. Пользователями смарт-контракта могут быть не только владельцы закрытого ключа, но и другие контракты. В sender’е может оказаться контракт, который после передачи ему управления методом call снова вызовет метод withdraw balance() и заберёт деньги. За счёт того, что вызов userBalances[msg.sender] = 0 находится после вызова другого контракта, данный метод оказывается уязвим.

Одна из самых знаменитых атак DAO — на Ethereum в 2016 году — была сделана через схожую уязвимость. С контракта вывели несколько миллионов долларов, Ethereum форкнулся, сеть развалилась на две.

Прошло пять лет, но в контрактах до сих пор попадаются уязвимости, связанные с re-entrancy. Да, контракты, оперирующие протоколами с большими суммами денег, подвергаются аудиту. Как говорится, рано или поздно любой контракт проходит аудит: вы заплатите за него либо аудиторам, либо хакерам.

Но контракты, которые разрабатываются на скорую руку — часто это форки известных проектов, сделанные, например, для новых токенов — сохраняют возможность для таких re-entrancy или более сложных атак, которые могут привести ко взлому протокола. Поэтому Solidity — не самый надежный язык для написания смарт-контрактов. Вот ещё один пример:

Перед нами ассемблерная вставка. Их можно размещать в Solidity, поскольку это достаточно низкоуровневый язык, где стоит думать об аллокации переменных в памяти, чтобы уменьшить стоимость газа. Для этих целей или, например, для того, чтобы использовать хранилище на другом адресе, мы можем использовать inline assembly.

Я как разработчик смарт-контрактов скептически отношусь к использованию парадигмы настолько низкого уровня — потому что так мы больше думаем про техническую реализацию, а не про бизнес. Но что поделать, ведь Solidity был разработан семь лет назад, стал первопроходцем в создании смарт-контрактов на блокчейне. И по сей день сохранил оригинальное низкоуровневое «видение».

Другие минусы экосистемы

Разберёмся теперь, что в принципе происходит в процессе выполнения смарт-контракта. У нас есть майнер блока, и он выполняет смарт-контракты, которые находятся в блоке. После выполнения смарт-контрактов начинается процесс PoW (proof of work) — подбор хеша определенной сложности. Процесс PoW-майнинга гораздо более ресурсоёмок, чем процесс обработки самого контракта. На исполнение контракта тратится очень малая часть машинного времени по сравнению с подбором PoW-хеша. Это довольно обидно, потому что разработчикам приходится тратить уйму времени на написание оптимального по газу кода: раскладывать переменные, оптимизировать записи и так далее. Хотя по сути это избыточная работа, которая на сам смарт-контракт не влияет.

Как мы уже сказали, Solidity небезопасен по своей природе. С ним можно легко выстрелить себе в ногу из-за неправильной последовательности вызовов. А использование кода, который позволяет напрямую работать с виртуальной машиной эфира, только усугубляет потенциальную опасность.

Эти две причины привели к возникновению целого направления — аудит смарт-контрактов. В последнее время это очень востребовано: энтузиасты форкают Uniswap и пишут свои смарт-контракты. Аудиторские конторы не отстают и задирают цены — десятки долларов за строчку кода. Так саморегулируется рынок, но, как мне кажется, это очень дорого.

Если свести особенности Solidity вместе, перед нами предстанет весьма непростая система. Оптимизация по газу, оптимизация переменных, написание кода на достаточно низкоуровневом языке, где нет большого количества примитивов — например, даже встроенной библиотеки для работы со строками (хотя для кого-то это некритично, ведь некоторые протоколы вполне себе обходятся без строк).

За счёт такой сложности разработчики на блокчейне стоят сравнительно дорого. Но сейчас разработка на блокчейне становится мейнстримом. Люди делают свои De-Fi протоколы, деген-фармы, NFT и всё прочее, не разбираясь с Solidity. Поэтому растёт потребность в более высокоуровневом инструменте, который позволит сразу уменьшить количество ошибок в разработке и снизить порог входа как для новичков в программировании, так и для специалистов по другим языкам.

Даже комьюнити Ethereum в некоторой степени разделяет подобные взгляды. Виталик Бутерин, создатель Ethereum, в качестве более простой и безопасной альтернативы Solidity предложил Vyper. Этот язык похож на Python, имеет ряд ограничений, которых нет в Solidity, но благодаря которым разработка контрактов становится проще.

Дело не только в смарт-контрактах

Мы рассмотрели проблему со смарт-контрактами, и она не последняя. Для работы DeFi требуются внешние источники данных и инструменты работы с ними — оракулы. Когда мы закладываем эфир под залог, необходимо, чтобы система знала текущую стоимость эфира — иначе она не будет понимать, когда нужно ликвидировать залог. Вопрос оракулов решается с помощью популярного протокола ChainLink, который фактически поставляет данные из реального мира в блокчейн.

Роль дополнительных инструментов в блокчейне настолько важна, что без них он превращается в  дорогую, медленную и в целом ужасную по своим характеристикам key-value базу данных. Всё может быть прекрасно с записью, с поддержанием консенсуса… но ответить на простые вопросы вроде «какие топ-10 аккаунтов имеют больше всего эфира» нода сама по себе не в состоянии: у нее нет таких средств, нет даже языка запросов.

Для полноты картины стоит упомянуть, что кое-какая стандартизированная логика в смарт-контрактах типа ERC-20/ERC-721 или в NFC-токенах всё-таки присутствует, но работает она исключительно для простых запросов в узкой предметной области. Чтобы проследить, например, историю владения NFT на эфире, нужно разматывать весь контракт до основания, искать в транзакциях события. Это очень сложно и неудобно. Поэтому возникают инструменты, которые позволяют индексировать данные блокчейна и предоставлять их в простом, доступном виде. Сегодня наиболее известным из таких инструментов является The Graph.

The Graph — протокол, который позволяет нам писать собственные так называемые индексаторы. Они нужны, чтобы прочитать данные с какого-либо контракта — события, вызовы — и построить удобно читаемую через API модель данных в реляционной базе данных.

Зачем это надо? Простой пример: Uniswap — известная децентрализованная биржа, которая позволяет нам в любой момент покупать/продавать токены. У Uniswap есть потребность — отрисовать стандартный биржевой график. Делается это сейчас с помощью The Graph. На AssemblyScript — это подвид TypeScript, нацеленный на логику и скорость исполнения — пишут индексатор. Начиная с указанного блока он проходит по блокчейну и для каждого блока запоминает результат: какова была стоимость разных пар токенов в событиях покупок/продаж. Эти данные он складывает в обычную базу с доступом через GraphQL API в виде привычных нам «свечек», которые потом рисует интерфейс Uniswap.

Сырые данные блокчейна скрыты глубоко от наших глаз, и это приводит к серьёзным задержкам в синхронизации данных — как случилось, например, с эфир-совместимым протоколом Binance Smart Chain. Новые данные появляются так быстро, что индексаторы не успевают их выводить. Из-за этого пользователи могут отправить транзакции и не увидеть их результат в веб-сервисах. Но это не «блокчейн сломался» и не «токены украли» — это просто индексатор отстал от блокчейна.

The Graph — это обратный оракул с механизмом обеспечения доверия. Он включает индексаторы, которые по итогам процесса индексирования и достижения консенсуса получают токены вознаграждения. Если консенсус не достигнут, токены слешатся. Таким образом реализуется механизм доверия к этим данным.

Причём здесь энтерпрайз?

На протяжении нескольких лет эволюция разработки на публичных блокчейнах пришла к разрозненному набору инструментов, которые создаются разными командами. Выше мы разобрали лишь часть этого набора. При этом без всех инструментов — Vyper, Etherscan, The Graph и так далее — полноценного приложения не построишь.

Такой зоопарк инструментов неудобен для компаний. Очень мало разработчиков знают одновременно Solidity и Vyper, да ещё и AssemblyScript владеют. Поднять сразу все нужные компетенции для корпоративного блокчейна тяжело. Но необходимо, чтобы пройти одну из самых проблемных стадий для блокчейна — adoption, принятие решения как основного. Ведь если на блокчейн возложить лишь вспомогательные функции, его польза сводится к минимуму.

Публичные блокчейны столкнулись с этим во время «криптозимы» — периода активного поиска новых сценариев использования, который длился вплоть до распространения DeFi, начала «оттепели» летом 2020-го. Но это всего лишь оттепель — корпоративный блокчейн по-прежнему развивается медленно. Даже когда находится бизнес-применение технологии, все процессы спотыкаются о требования к разработчикам.

Waves Enterprise SDK

Мы в Waves Enterprise решили собрать в одной коробке набор инструментов, который бы инкапсулировал все лучшие практики разработки публичных блокчейнов. Мы занимаемся именно энтерпрайз-блокчейном и понимаем основные требования заказчиков к инструментам:

• использование распространённого технологического стека;
• отсутствие нескольких языков в рамках одного проекта;
• предсказуемая, гарантированная поддержка от вендора.

Их мы учли при создании Waves Enterprise SDK. Он инкапсулирует лучшие паттерны из мира блокчейн-разработки, использует стандартные корпоративные языки программирования (Java, Kotlin) и единый набор инструментов как для смарт-контрактов, так и для приложений, которые берут из них данные.

Рассмотрим пример смарт-контракта в нашем SDK — это порт ERC-20 токена:

Это код на Kotlin, который использует невысокоуровневые функции, чтобы проверить, кто кому сколько дал прав на перевод токенов, отследить баланс, по которому дали разрешение. В чём преимущество этого кода по сравнению с Solidity?

• нет скрытых уязвимостей: невозможны re-entrancy атаки.
• не нужно думать об оптимизации по газу — комиссия фиксирована.
• пишется на более распространенном языке — после нашего обучения за один день Java-разработчики уже начинали писать свои контракты.

Но, как мы обсуждали, смарт-контракты — это ещё не всё. Нужно получить данные, информацию по обновлению контракта. У нас в SDK для этого есть библиотека, которая заменяет The Graph, и в этой библиотеке тоже всё пишется на Kotlin. Достаточно создать ротацию BlockListener, уточнить, какие ключи в блокчейне мы слушаем, — и можно писать произвольный код, который разложит данные транзакции в объектную модель для дальнейшей работы.

В классическом Ethereum, чтобы вызвать контракт, нужно использовать библиотеку Web3j на JS. Нужен отдельный код, чтобы вызвать контракт, собрать транзакцию. У нас это уже реализовано в рамках единого языка стандартными инструментами. То есть наш SDK реализует полный жизненный цикл программной разработки на блокчейне в одной коробке.

Делаем ещё проще: lowcode-разработка

Итак, у нас есть единая парадигма разработки на основе кодинга. Но что если разрабатывать программное обеспечение без него? В публичных чейнах есть такая возможность.

Есть такой стартап — Furucombo — визуальный конструктор, который даёт возможность складывать DeFi-протоколы как кубики и получать готовую DeFi-стратегию. Раньше для стратегии нужно было писать код смарт-контракта, в котором в рамках одной транзакции вызывались бы разные протоколы. Сейчас мы складываем кубики, нажимаем Run — и всё готово. Так реализуется low-code подход к разработке — с помощью drag’n’drop и графического интерфейса. По большому счету, такой подход требует лишь знаний предметной области: в случае с Furucombo это DeFi, а в корпоративном мире — это бизнес-процессы компании, знание того, что мы хотим оптимизировать и зачем применять блокчейн.

Low-code разработка становится все более и более популярной. Вот выжимка из отчета Gartner по теме:

Почти четверть пользователей, пришедших к low-code, вообще никогда не занимались программированием! И 70% из них освоили low-code менее чем за месяц. Тогда как самый простой курс программирования с нуля на питоне — это минимум полгода. Почти две трети абсолютных новичков разработали своё приложение менее чем за три месяца. Low-code позволяет быстро и просто автоматизировать типовые бизнес-процессы и снижать TTM, быстрее релизить приложение на рынке, что сегодня критически важно.

В экосистеме Waves Enterprise существует партнерский продукт EasyChain, который позволяет собирать приложения на основе нашего блокчейна аналогичным low-code способом.

С помощью визуального конструктора пользователь рисует в EasyChain Studio свой бизнес-процесс, через API он публикуется и попадает в блокчейн. Дальше со смарт-контрактом можно работать через API, через Studio или через эксплорер бизнес-процессов. Для любого бизнес-процесса можно сделать собственный интерфейс пользователя — через веб- или мобильное приложение.

Code и low-code: разрабатываем смарт-контракт

Сравним обычную и low-code разработку лоб в лоб на примере простого смарт-контракта уровня hello world. Вот, собственно, code-версия:

В Waves Enterprise все смарт-контракты представляют собой docker-образы, которые хранятся в docker registry. Кто-то скажет, что это небезопасно и «не тру». Но на самом деле это безопасно, поскольку в блокчейне хранится хеш от образа контракта, и этого достаточно для защиты неизменности кода.

Теперь попробуем сделать то же самое через no-code инструмент — вышеупомянутую Easy Chain Studio. Создаём стартовую точку, начальное состояние контракта, добавляем состояние SayHello и финишное состояние. Затем соединяем кубики стрелочками.

Набросок логики есть, осталось научить контракт говорить Hello. Для этого добавим переменную процесса result: она будет хранить в себе выводимый результат. Теперь необходимо определить входные данные. Нажмем на стрелку перехода к SayHello. Указываем, что пользователю нужно ввести данные и что переход совершается извне. Добавляем свойство name. Теперь необходимо собрать строчку SayHello. Для этого переменной result мы присвоим значение ‘Hello’ + signal.name.

На этом всё, идти в API и делать вызовы не надо — можно уже тестировать процесс. Мы выбираем среду, нажимаем Deploy и Run.

После запуска система даёт подсказку, что мы можем сделать на первом шаге. Единственное, что мы можем сделать — это прописать значение параметра, например «Blockchain Low Code Life». Вводим, отправляем и идём в эксплорер блокчейна посмотреть, как всё прошло:

Перед нами информация о вызове смарт-контракта. Видим, что в качестве параметра мы, как и предполагалось, отправили «Blockchain Low Code Life» и в переменной Result получили «Hello Blockchain Low Code Life». Для обычного пользователя второй, low-code способ создания выглядит гораздо дружелюбней.

Подведём итог. От зоопарка разномастных решений в начале статьи мы пришли к единому SDK на одном языке программирования, да ещё и с поддержкой low-code. Таким образом мы снижаем порог входа в блокчейн-разработку и максимально упрощаем самый важный шаг для технологии — adoption. И наш блокчейн оказывается удобоварим не только для программистов широкого профиля, но и для всех, кто способен структурированно описать бизнес-процессы на уровне шаблонов и переменных — например, для аналитиков.

В сети появилось фото, на котором новейшая видеокарта компании демонстрирует эффективность в районе 45 Мх/сек при майнинге. Для сравнения, алгоритмы NVIDIA ранее опускали это значение до 20-25 Мх/сек в случае обнаружения фарминга электронной валюты.

Правда, Wccftech пишет, что на RTX 3060 майнят не Ethereum (против которого и настроены алгоритмы «зелёных»), а Octopus. С другой стороны, так ли это важно? В любом случае, грядущий ажиотаж вокруг видеоадаптера приведёт к его длительному дефициту.

Источник: Wccftech

Цель сбора данных

API блокчейна Ethereum содержит набор часто используемых функций: проверку баланса кошелька, статус транзакции и других. Однако отсутствовали конечные точки интерфейса, которые бы учитывали все данные, содержащиеся в блокчейне. Для их сбора BigQuery использует проект Ethereum ETL и по задумке компании станет платформой как для анализа криптовалют, так и для других операций. В пример приведена возможность выводить количество транзакций и их стоимость за день:

Специалисты из Google утверждают, что это поможет в принятии бизнес-решений, например, улучшить архитектуру Ethereum и корректировать балансовые отчёты. По их словам, BigQuery использует технологию OLAP, подходящую для общих и частных случаев анализа, без использования стороннего API. Созданное на платформе Google Cloud ПО умеет:

• синхронизировать блокчейн Ethereum c компьютерами, на которых запущен Parity;
• предоставлять ежедневную выборку данных из блокчейна, включая результаты транзакций смарт-контрактов, например, перевода токенов;
• денормализовать и сохранять данные в BigQuery для дальнейшего использования.

Пример использования

Собранная информация доступна на Kaggle. В качестве одного из примеров специалисты использовали информацию об OmiseGO Token Airdrop. В середине сентября 2017 года количество адресатов существенно возросло, в то время, как количество отправителей осталось прежним.

На графике ниже отображены первые 50 тыс. транзакций с участием минимум двух партнёров. Точками показаны адреса, линиями — передача токенов между ними. Чем больше токенов передавалось между адресами, тем ближе точки находятся друг к другу. Группы часто обменивающихся адресов выделили цветами для большей наглядности. График построили, используя Gephi, а расчёт групп произвели с помощью алгоритма Modularity.

Google запустила бета-тест BigQuery ML в конце июля 2018 года, чтобы предоставить пользователям инструмент для работы с моделями машинного обучения. Создавать и запускать модели стало возможным на структурированных и полуструктурированных наборах данных внутри BigQuery, используя стандартные SQL-запросы.

Кому доступно?

Сервис ориентирован на людей, не обладающих глубокими познаниями в сфере облачных вычислений или блокчейна. Упрощённый интерфейс позволяет разворачивать бизнес-сценарии в один клик и поддерживает одновременную работу нескольких пользователей.

Система также позволяет кастомизировать процесс отслеживания состояния приложения: участники сети могут настраивать отображение показателей нагрузки на процессор, память и диск узлов для майнинга и транзакций.

С особенностями подключения и создания собственного блокчейн-приложения можно ознакомиться в проектной документации.

Разобраться с дремучей технологией цепочек блоков поможет наш небольшой гайд с примером реализации на JavaScript.

Особенности китайской версии CryptoKitties

Для избежания перегрузки сети Ethereum число первых игроков ограничено 5 000 пользователями. Чтобы войти в их число, нужно перейти на официальную страницу игры в мессенджере WeChat и ввести адрес электронной почты.

В честь запуска мобильной версии на аукционе «котиков» появилась «Золотая Кошка-дракон» (Golden Dragon Cat) со стартовой стоимостью 888 эфиров (около 500 000 $):

Также в игре появилась новая коллекция котиков «Artist Series». В нее будут добавляться питомцы, нарисованные известными художниками и дизайнерами. Первой знаменитостью, которая нарисует котиков для новой коллекции, станет художница Момо Ванг (Momo Wang). Она известна как автор персонажа Тузки (Tuzki) — популярного в Китае зайца, активно использующегося в рекламе и в качестве стикеров в мессенджерах. В 2007 году Момо Ванг заняла 46 место в списке самых влиятельных людей Китая.

Эксперты предполагают, что «котики» от художников станут популярными и увеличат число транзакций в блокчейне Ethereum. Напомним, в начале декабря 2017 года CryptoKitties нарушила стабильность сети Ethereum, увеличив количество ожидающих транзакций в 10 раз.

CryptoKitties — браузерная, а теперь уже и мобильная игра, на основе блокчейна Ethereum. Игрокам предлагается коллекционировать, продавать и скрещивать виртуальных кошек.

Вычислительное «затмение»

Так называемые атаки типа Eclipse предотвращают подключение пользователя к легальным узлам сети peer-to-peer, перенаправляя их в скомпрометированную версию блокчейна. В рамках этой платформы злоумышленники могут запускать на целевых машинах мошеннические алгоритмы. Например, дважды проводить одни и те же денежные транзакции или подключать вычислительную мощность чужого устройства к своей зловредной кампании.

Этот вопрос был проработан несколькими независимыми группами исследователей. Экспертам удалось реализовать три варианта Eclipse-атак.

Первый эксплуатирует «лазейку» Ethereum, назначающую пир по криптографическому ключу. Он основан на генерации большого числа таких ключей двумя сетевыми узлами с разными IP-адресами. Если злоумышленнику удаётся спровоцировать отказ в обслуживании в атакуемом устройстве, он может оперативно переподключить перезагрузившийся компьютер к собственной копии сети. Для этого необходимо забросать узел «жертвы» входящими пирами до того, как он успеет установить исходящее соединение.

Второй вариант Eclipse по принципу схож с первым, но в нём участвует большее число атакующих узлов. Отправляя «жертве» множество пакетов и тем самым засоряя целевую базу данных, мошенник может успеть подсоединить временно изолированный узел к зловредной сети.

Третий способ заключается в перестановке времени на атакуемом узле на 20 или более секунд вперёд относительно других узлов в этой же сети P2P. Для защиты от повторной отправки старых аутентификационных данных протокол Ethereum автоматически блокирует сообщения, отстающие от текущего времени больше чем на 20 секунд. Таким образом, переведя подчинённые узлы на одно время с «жертвой», злоумышленник отрезает целевое устройство от других легитимных узлов и заставляет его принимать сообщения только от собственных.

Есть решение?

Все три варианта атак Eclipse были обнаружены около трёх лет назад, однако обезопасить от них сеть разработчикам удалось только сейчас. При этом «заплатки» пока изобретены только для первых двух методов.

От первого варианта атаки удалось защититься введением обязательного создания исходящих соединений к другим пирам. Реализацию второго типа атаки удалось усложнить заданием строгого ограничения на число исходящих соединений в рамках одной подсети до 10. Также в сеть внедрена система отслеживания нелегитимных версий блокчейна, автоматически высылающая предупреждения об ошибках.

Правда, эти способы защиты работают только для классических вычислительных машин. По оценкам исследователей, мощности нескольких квантовых компьютеров среднего звена хватит, чтобы снести всю сеть Bitcoin (и любой другой криптовалюты).

Ход исследования

Чтобы обнаружить уязвимости, исследователи скачали копию блокчейна Ethereum и выполняли разнообразные действия с находящимися в ней смарт-контрактами. Это было похоже на взлом торгового автомата со сладостями: они кинули в приемник несколько монет и нажимали на случайные кнопки, ожидая «конфетки».

Из миллиона смарт-контрактов уязвимыми оказались 34 200. Из этого числа исследователи взяли 3000 и успешно взломали 89 %. Если бы это был настоящий блокчейн, а не копия, они смогли бы украсть 6 млн долларов.

Относительная безопасность

Исследователи не раскрыли список уязвимых смарт-контрактов, поэтому содержащиеся в них активы находятся в условной безопасности. Сотрудник Университетского колледжа Лондона Илья Сергей (Ilya Sergey) объявил, что если кто-то захочет найти уязвимые контракты, им придется выполнить тот же объем работы.

Смарт-контракты — это самоисполняемые программы блокчейна Ethereum. С их помощью можно передавать деньги, а также устраивать аукционы и финансовые пирамиды.

В ноябре 2017 года пользователь DevOps199 нашел уязвимость в кошельке Parity, через которую заморозил Ethereum-активы на 285 млн долларов.

Изменения

В мобильной версии обещаны разные «плюшки»: например, новые коты «Gen 0», которые добавляются в игру каждые 15 минут, а ещё «модные котики» в уникальных костюмах.

Особенности

Новый проект, созданный на основе блокчейна Ethereum, позиционирует свои монеты — CryptoCelebrity — как коллекционные объекты, существующие в единственном экземпляре и подлежащие специальной процедуре верификации. В один клик можно стать «владельцем» любой популярной персоны.

Каждая «звёздная» карточка представляет собой отдельный токен смарт-контракта. Они продаются за Ethereum по системе повышающих коэффициентов: как только кто-то приобретает CryptoCelebrity, её цена моментально увеличивается вдвое. Так продолжается до тех пор, пока стоимость карточки не превысит 0,05 ETH. Далее цены растут в следующем порядке:

• x1,2 от 0,05 ETH до 0,5 ETH;
• х1,15 от 0,5 ETH.

Торговаться не получится: строгий алгоритм ценообразования позволяет приобретать токены только по фиксированной цене. При этом коллекционеры вообще не могут договариваться: карточку получает тот, кто заплатил выставленную цену. После подтверждения покупки CryptoCelebrity переходит к новому владельцу, а предыдущему на кошелек переводится её увеличенная стоимость за вычетом комиссии сервиса и 3 % выплаты самой звезде, чей облик запечатлён на коллекционном токене.

Это не первый развлекательный смарт-контракт, выстроенный на платформе Ethereum. Напомним, что в начале декабря была запущена игра CryptoKitties, которая приобрела такую популярность, что на некоторое время затормозила работу всей сети «эфира».

Крик о помощи

Пользователи популярной криптовалюты обращаются к разработчикам игры с просьбой приостановить работу сайта с криптокотиками, чтобы сеть успела нагнать большой разрыв между сделками и транзакциями. Как сообщили держатели Ethereum, эта сеть не может обрабатывать более 8TX/s и не успевает подстраиваться под быстрорастущий объем сделок. Все операции с Эфириумом проходят крайне медленно, и обмен «милыми зверушками» также сильно тормозит.

Следует отметить, что многие держатели валюты Ethereum крайне негативно отзываются о новой вирусной игре. Они считают, что этот смарт-контракт был создан специально для обрушения «газа», и требуют разработчиков «стерилизовать котов и остановить эту болезнь, пока она не заразила всю сеть».

По заявлениям разработчиков, они не ожидали такого стремительного роста популярности их приложения. К сожалению, у этой медали есть и обратная сторона. Работа сети Ethereum почти встала. Всё благодаря увеличившемуся числу ожидающих транзакций — с начала декабря оно возросло в 20 раз. Единственным решением сложившейся проблемы является увеличение цены газа, необходимого для проведения транзакций. Таким образом разработчики хотят добиться замедления процесса разведения котов.

Предложения по решению проблемы

Первым делом разработчики предложили установить цену газа для проведения транзакций на отметке в 25 гвей. Но возможность переопределения цены осталась. Разработчики настоятельно не рекомендуют этого делать, иначе все попытки вернуть сеть в стабильное состояние будут напрасны, поскольку даже одна сделка с низкой ценой может привести в действие эффект домино.

Во-вторых, плата за появление нового котёнка на свет, которую необходимо отдать после вязки двух кошек, теперь составляет 0,015 ETH вместо 0,002 ETH. Отметим, что подобный налог на рождаемость повышается уже второй раз. Изначально он составлял 0,001 ETH.

В своём официальном пресс-релизе представители студии AxiomZen подробно объяснили повышение платы за рождение нового котёнка, а также выразили свои соболезнования по поводу необходимого увеличения платы на газ:

Мы знаем, что подобное повышение цен замедлит процесс разведения котиков, тем самым ухудшив ваше ощущение от игры. И мы невероятно разочарованы этим. Мы всё прекрасно понимаем и хотели бы найти другое решение сложившейся проблемы, но не в силах этого сделать.

Люди тратят безумные суммы реальных денег на игру. На момент публикации материала объём транзакций превысил 2,5 миллиона долларов, при этом самый первый котик (с ID, равным 1) был продан за рекордные 247 монет эфира (около 118 тысяч долларов, или почти 7 миллионов рублей). При этом самого дешёвого котёнка можно купить за 30 рублей, что наглядно показывает разброс цен.

Как устроена игра?

Но если отбросить абсурдность затеи в экономическом смысле, CryptoKitties — это действительно хороший способ познакомиться с Ethereum-блокчейном. Игра работает на пяти смарт-контрактах Ethereum, а пользователи взаимодействуют с ней через свой Ethereum-адрес. Сейчас проще всего делать это через Chrome-расширение MetaMask, позволяющее обмениваться эфириумом прямо в браузере. Затем нужно перейти на сайт CryptoKitties, который по сути является интерфейсом для взаимодействия со смарт-контрактами для продажи и разведения котят.

Сейчас игра является самым популярным смарт-контрактом в сети, генерируя от 10 до 15 процентов транзакций. Для сравнения, чуть меньше 9 процентов приходится на EtherDelta, популярную децентрализованную биржу криптовалют.

Такой объём трафика существенно замедляет проведение транзакций купли/продажи в игре, да и сам прецедент является своеобразным вызовом для всей сети Ethereum. Компания даже повысила «налог на рождаемость» котиков, чтобы удержать трафик блокчейна в рамках.

Но вернёмся к игре.

Как играть в CryptoKitties?

Игра началась со ста «котят-основателей» (Founder Kitties). До декабря каждые 15 минут появлялся 1 котёнок нулевого поколения (Gen 0), который продавался по цене, равной умноженному на 1,5 среднему арифметическому последних пяти проданных котят — но в течение 24 часов цена падала, пока кто-нибудь не купил бы его. Сейчас же новых котят можно получить только размножением.

Каждый может продать своего котёнка на аукционе, указав стартовую и конечную цены. Например, если выставить котёнка на 24-часовой аукцион со стартовой ценой 1 ETH и конечной 0 ETH и кто-то купит его через 12 часов после начала, то он заплатит 0,5 ETH.

Котят также можно разводить. В игре этот процесс называется Siring (осеменение). Владелец «кота» предлагает свои услуги «осеменителя» хозяину «кошки» за эфир. Таким образом, у одного игрока появляется заработанный эфириум, а у другого — новый котёнок.

У каждого котика есть кулдаун на повторное размножение, длящийся от часа до недели. Разумеется, что чем меньше этот промежуток, тем ценнее котёнок на рынке.

Каждый котёнок обладает 256-битным геномом, в котором хранится генетическая последовательность его характеристик: цвет фона, длительность кулдауна, усы, полосы и т.д. Некоторые из генов могут быть рецессивными: например, у котёнка без полос может родиться полосатый.

Важно отметить, что в игре нет «шкалы редкости» характеристик. Она независимо определяется сообществом, которое «голосует эфиром». Например, котята с золотым фоном продаются дороже других.

Изменять в котятах пользователи могут только имя, в котором они зачастую рекламируют ценные характеристики:

Прямо сейчас на сайте игры нельзя увидеть геном каждого котёнка, но поскольку исходные коды игры открыты, кто-нибудь наверняка найдёт способ настроить систему рекомендаций при «вязке». Тем не менее, в процессе есть некоторая доля случайности, которая позволяет получить более ценного котёнка.

Котята ранних поколений обычно стоят дороже, как в силу «редкости», так и потому, что у них обычно короче промежутки между вязками.

Разработчики зарабатывают, получая 3,75 % от всех транзакций купли/продажи и вязки. Отметим, что если продать котёнка напрямую через смарт-контракт, а не через сайт, то комиссия не спишется.

Каковы планы разработчиков?

В отличие от многих проектов, создатели CryptoKitties планировали развивать его вне зависимости от популярности. Мак Флавелль, руководитель проекта, рассказал TechCrunch, что команда распланировала улучшения игры на год вперёд. Основными целями являются улучшение интерфейса на всех платформах и упрощение знакомства с игрой.

Больше информации об игре можно найти в объёмном FAQ на её сайте.

Были выделены 4 проблемные области, требующие доработки:

• конфиденциальность;
• безопасность консенсуса;
• безопасность смарт-контрактов;
• масштабируемость.

Команда Ethereum активно работает над каждым из первых трех пунктов. Так, хардфорк Byzantium позволяет решить проблему конфиденциальности при помощи zk-SNARK, криптографических инструментов, лежащих в основе Zcash. Протокол Casper разрабатывается для обеспечения безопасности консенсуса. Новый язык программирования Viper и процедура формальной верификации может обеспечить надежность и безопасность смарт-контрактов.

Однако вопрос масштабируемости стоит весьма остро. Виталик считает достаточно сложным создание системы, совмещающей все три компонента — децентрализацию, масштабируемость и безопасность. Любые две части могут быть совмещены без проблем, полагает он.

По словам Бутерина, цель Ethereum — достичь тысячи транзакций в секунду без использования мастер-нод. Это станет возможным с внедрением шардинга, впервые представленного в рамках Ethereum. Идея шардинга заключается в том, чтобы разделить структуру на основную цепочку и подцепочки, в которые можно будет вносить изменения, не затрагивая основной блокчейн.

По предварительным оценкам, срок реализации всех этапов дорожной карты составит от 3 до 5 лет.

В ответ на это «Лаборатория Касперского» представила свой экспериментальный проект Polys — новое коммерческое решение, способное обеспечить пользователей возможностью проводить безопасные, анонимные и масштабируемые онлайн-голосования, результаты которых никем не могут быть изменены.

Новые возможности

Polys, основанный на смарт-контрактах технологии Ethereum (иногда ее еще называют Blockchain 2.0), оснащен децентрализованной системой проверки бюллетеней и подсчета голосов. По словам представителей «Лаборатории Касперского», преимущества безопасности блокчейн открывают новые горизонты в реализации платформы для онлайн-голосования. Новая система гарантирует:

• анонимность,
• минимизацию риска взлома и фальсификации голосов,
• возможность проверки корректности внесения данных,
• защиту от досрочного раскрытия результатов голосования.

Разработчики уверены, что успешный запуск подобного проекта поможет проводить честные и равные голосования, а также поднимет уровень доверия к децентрализованным системам на основе блокчейн.

В настоящее время код экспериментальной системы находится в открытом доступе на GitHub. Также можно бесплатно попробовать провести голосование в новом формате на функционирующей тестовой версии.

Группа риска

Данная уязвимость затрагивает только созданные после 20 июля 2017 года кошельки с мультиподписями, в которых для осуществления перевода необходимо предоставить подписи нескольких человек. Другими словами, большинство проведённых с того времени ICO (initial coin offerings, первичное размещение криптовалюты) попадают в группу риска.

Баг в исправлении другого бага

В заявлении компании отмечается, что баг находился в предыдущем патче от 20 июля, который, в свою очередь, исправлял ошибку в системе безопасности. С её помощью злоумышленникам удалось украсть со счетов многих пользователей порядка 30 миллионов долларов. Также представители Parity Technologies добавили:

Обновление кошелька от 20 июля содержало баг, позволявший превращать библиотеку смарт-контракта кошелька Parity в кошелёк с мультиподписями и становиться его владельцем, вызывая функцию initWallet. Оказалось, что некий пользователь воспользовался этим багом, превратив библиотеку контрактов в кошелёк, при этом сделав контракты с мультиподписями непригодными, поскольку вся их логика содержалась в коде библиотеки.

Проблема, по всей видимости, связана с тем, что кошелёк Parity подчиняется принципам работы смарт-контрактов.

Ущерб на миллионы долларов

Поскольку кошельки с мультиподписями популярны в крупных компаниях, в которых ответственность за бухгалтерию несут несколько людей, можно сделать вывод, что найденный баг существенным образом нарушил работу именно такого вида коммерческих кошельков.

Список кошельков содержит более 70 счетов, на которых содержится порядка 900 тысяч монет Ethereum. В денежном эквиваленте эта сумма равна 285 миллионам долларов. Точное количество замороженных кошельков и фактический ущерб могут быть на порядок выше. Представители Polkadot уже подтвердили заморозку одного из своих кошельков с суммой в 90 миллионов долларов.

Решение проблемы

Остаётся неясным, как именно Parity Technologies будут размораживать счета пользователей. Одним из предлагаемых решением является hard-fork, при котором разработчики в одностороннем порядке создают новую версию сети, часть правил которой отличается от оригинальной. Однако, данный способ до сих пор не получил поддержки у большинства пользователей.

Цена Ethereum после новости об обнаружении уязвимости упала с 305 $ до 291 $, тем самым достигнув минимума за две недели торгов.

Как заявили представители регулятора, все новые проекты на базе ICO будут заморожены, а на существующих платформах пройдут финансовые проверки. Все лица, которые получили прибыль на размещении ICO, обязуются вернуть всю прибыль. Две крупнейшие в Китае криптовалютные площадки ICOage и ICO.info, согласно официальным представителям, добровольно приостановили работу.

По оценкам многих аналитиков, ICO уязвимы для рисков отмывания денег и могут быть источником финансирования международного терроризма из-за анонимного характера транзакций и лёгкости, с которой крупные суммы денег могут быть получены в короткий промежуток времени.

Общая сумма, полученная от продажи токенов, превзошла инвестиционные расходы из традиционных венчурных капиталов в первой половине 2017 года и составила по некоторым данным порядка $1,6 миллиарда. Китай же являлся самым активным игроком рынка ICO, участники которого за первые шесть месяцев года смогли привлечь почти $400 миллионов.

Рынок уже отреагировал падением курса основных криптовалют. За последние 24 часа курса эфира упал на 10%, биткойна — на 4%. Однако подобный обвал уже случался в 2013 году, когда Китай запретил покупку криптовалюты за китайский юань. Однако, цена на биткойн за период в 4 года успела отыграть потерянные позиции и установить невероятный курс в $5000 за единицу.

Ethereum — это криптовалюта, где код может исполняться посредством блокчейна. Эта возможность позволяет создавать «умные контракты», которые будут выполняться автоматически. Давайте разберемся, как работают «умные контракты» и протокол Ethereum в целом.

Предполагается, что у читателя есть базовое понимание Python, Git и сетевых концепций, таких как TCP и UDP.

Концепция криптовалюты

Под криптовалютой подразумевается механизм, который использует децентрализованное хранение и передачу информации. В централизованных системах всегда есть доверенная третья сторона, которая отслеживает все учетные данные и занимается обработкой транзакций. Без посредника сторонам может быть трудно доказать, что то, о чем они говорят, действительно принадлежит им. Такую систему использует большинство банков мира.

Криптовалюты решают проблему децентрализованного регулирования, так как каждый элемент сети ведет учет всех проходящих в ней транзакций. Для поддержания консенсуса после проведения транзакции данные о ней передаются в сеть вместе с математической задачей, которую решают узлы сети и распространяют далее. Это обновление, протекающее по сети, и является доказательством того, что транзакция была проведена успешно и имеет место быть.

Настройка среды разработки

Все нижеприведенные действия производились на Amazon Linux и должны быть осуществимы на OS X и большинстве дистрибудивов Linux.

Давайте создадим виртуальную среду для этого проекта:

Виртуальная среда не позволит произойти конфликту модулей Python.

Для активации виртуального окружения запустите команду:

Это приведет к изменению некоторых переменных среды. Теперь Python будет использовать пакеты только из виртуальной среды, pip будет ставить пакеты только туда.

Вы можете убедиться, что все сработало, проверив путь к среде:

Для того, чтобы не запускать виртуальную среду каждый раз при входе в систему, можете добавить следующие строки в ~/.bashrc:

Это довольно удобно использовать при работе над проектом.

Примечание Используемая версия Python 2.7.12 не гарантирует, что все будет работать с другим версиями.

Версию можно проверить командой:

Последнее, что нужно сделать — создать пакетный скелет с библиотекой pipiecutter:

Будем использовать minimal skeleton, который позволяет производить публикацию в pip и выполнять тестирование:

Вам потребуется ответить на некоторые вопросы для настройки проекта. Назовем проект pyethtutorial. После этого вы можете настроить Git для его отслеживания.

Также давайте установим пакет nose. Он понадобится для тестирования:

Теперь давайте проверим, что все работает. В pyethtutorial/tests есть один тест, который поможет нам в этом убедиться:

Для запуска всех тестов используйте команду nosetests в каталоге проекта:

Все работает. Идем дальше.

Реализация

Нам нужно выяснить, как общаться с другими узлами сети.
Вот отрывок из документации по протоколу Ethereum:

Одноранговая связь между узлами, на которых запущенны клиенты Ethereum, выполняется с использованием протокола devp2p.

Что приводит нас к протоколу devp2p:

Узлы devp2p обмениваются сообщениями с использованием RLPx — транспортного протокола, использующего шифрование. Одноранговые узлы могут предлагать и принимать соединения на любых TCP-портах, однако по умолчанию порт, на котором может быть установлено соединение, будет 30303.Узлы devp2p находят соседние узлы с помощью протокола обнаружения DHT.

Таким образом по умолчанию мы отправляем пакеты через порт 30303, используя протокол RLPx. Протокол devp2p имеет два разных режима: основной, который использует TCP, и режим обнаружения, который использует UDP. UDP работает таким образом: вы подключаетесь к определенным серверам, называемыми «узлами начальной загрузки» (для BitTorrent это router.bittorrent.com и router.utorrent.com), которые предоставляют вам небольшой список одноранговых узлов для подключения. После получения списка узлов вы можете подключиться к ним. Сервера в свою очередь будут делиться своими списками узлов с вами. Это будет продолжаться до тех пор, пока у вас не будет полного списка узлов в сети.

Звучит достаточно просто, но давайте сделаем это еще проще. В спецификации RLPx есть раздел «Обнаружение узла». В нем описано, как сообщения отправляются через UPD порт 30303, задавая следующую структуру пакетов:

И различные типы пакетов:

Типы сообщений представлены C-подобными структурами данных. Самое простое, что мы можем сделать сейчас — это реализовать пакет PingNode, который состоит из объекта version, двух объектов EndPoint и timestamp. Объекты EndPoint состоят из IP-адреса и двух целых чисел, представляющих порты UDP и TCP соответственно.

Чтобы отправить пакеты на аппаратный интерфейс, они кодируются по стандарту RLP. В документации говорится:

Функция кодирования RLP принимает элемент. Элемент определяется следующим образом:
Строка (то есть массив байтов) является элементом.
Список элементов – это элемент.Кодирование RLP определяется следующим образом:
Для одного байта, значение которого находится в диапазоне [0x00, 0x7f], этот байт является его собственной RLP-кодировкой.
В противном случае, если длина строки составляет 0-55 байт, кодировка RLP состоит из одного байта со значением 0x80 плюс длина строки, за которой следует строка. Таким образом, диапазон первого байта [0x80, 0xb7].
Если длина строки больше 55 байтов, то RLP-кодировка состоит из одного байта со значением 0xb7 плюс длина в строки в двоичной форме, за которой следует длина строки, за которой следует строка. Например, строка длиной 1024 будет кодироваться как \ xb9 \ x04 \ x00, за которой следует строка. Таким образом, диапазон первого байта равен [0xb8, 0xbf].
Если общая полезная нагрузка списка (т. е. длина всех элементов) составляет 0-55 байт, то RLP-кодирование состоит из одного байта со значением 0xc0 плюс длина списка, за которым следует последовательность RLP-кодировок каждого элемента. Таким образом, диапазон первого байта [0xc0, 0xf7].
Если общая полезная нагрузка списка составляет более 55 байтов, то RLP-кодирование состоит из одного байта со значением 0xf7 плюс длина полезной нагрузки в двоичной форме, за которой следует длина полезной нагрузки, за которой следует последовательность RLP-кодировок объектов. Таким образом, диапазон первого байта [0xf8, 0xff].

Прежде чем что-либо можно будет закодировать в RLP, нужно преобразовать структуру в «элемент»: либо строку, либо список элементов (определение является рекурсивным). Как сказано в документации, RLP просто кодирует «структуру» и оставляет интерпретацию байтов содержимого протоколу более высокого порядка.

Начнем реализацию самого протокола. Будем использовать библиотеку rlp для RLP-кодирования и декодирования. Для установки используем pip install rlp.

У нас есть все необходимое для отправки пакета PingNode. Далее мы создадим PingNode, упакуем его и отправим. Чтобы упаковать данные, мы начнем с RLP-кодирования структуры, потом добавим байт, чтобы обозначить тип структуры, добавим криптографическую подпись и, наконец, добавим хеш для проверки целостности пакета. Приступим.

pyethtutorial/discovery.py:

Первый класс — это класс EndPoint. Ожидается, что порты будут целыми числами и адрес будет находиться в формате 127.0.0.1. Адрес передается в библиотеку ipaddress, поэтому мы можем использовать его служебные функции, например, преобразование представления с точками в двоичный формат, что и происходит в методе pack. Для установки этого пакета используйте pip install ipaddress. Метод pack подготавливает объект, который будет использоваться rlp.encode, преобразуя его в список строк. Для портов на странице спецификации RLP сказано: «Целые числа Ethereum должны быть представлены в бинарной форме», а спецификация Endpoint перечисляет их типы данных как uint16_t или беззнаковые 16-битные целые числа. Таким образом, используется метод struck.pack с строкой формата >H, что означает «big-endian unsigned 16-bit integer».

Следующий класс — это PingNode. Вместо того, чтобы задавать значения позже, введем исходные байтовые значения для packet_type и version. Для метода pack мы можем использовать исходное значение версии, так как оно уже находится в байтах. Для адресов будем использовать struct.pack со строкой формата >I. Также добавим 60 к отметке времени, чтобы дать дополнительные 60 секунд и пакет успел прибыть в пункт назначения. (В документации сказано, что пакеты с устаревшей временной меткой не обрабатываются.)

Последний класс — PingServer. Этот класс открывает сокеты, подписывает, хеширует сообщения и отправляет их на другие серверы. Конструктор принимает объект EndPoint. Далее при создании сервера загружается секретный ключ, который мы должны инициализировать.

Ethreum использует систему асимметричного шифрования, основанную на эллиптических кривых secp256k1. Для реализации понадобится библиотека secp256k1-py. Установим pip install secp256k1.

Чтобы сгенерировать ключ, вызовем конструктор Private Key с None в качестве аргумента, а затем запишем вывод функции serialized() в файл:

Помещаем файл в каталог с проектом. Не забудьте добавить его в .gitignore, если вы используете Git, чтобы случайно его не опубликовать.

Метод wrap_packet кодирует пакет: hash || signature || packet-type || packet-data

Первое, что нужно сделать, — добавить тип пакета в RLP-код пакетных данных. Затем хэшированная полезная нагрузка подписывается с помощью функции ecdsa_sign_recoverable и ключа. Параметр raw установлен в значение True, потому что мы сами сделали хеширование (иначе функция использовала бы собственную хеш-функцию). Затем мы обрабатываем подпись и добавляем ее перед полезной нагрузкой. Наконец, вся полезная нагрузка хэшируется, и этот хэш добавляется в пакет. Теперь пакет готов к отправке.

Возможно, вы заметили, что мы еще не определили функцию keccak256. Ethereum использует нестандартный алгоритм sha3, называемый keccak-256. Библиотека pysha3 реализует ее. Используйте pip install pysha3 для установки.

В pyethtutorial/crypto.py мы определяем keccak256:

Вернемся к PingServer. Следующая функция udp_listen обрабатывает входящие передачи. Она создает объект сокета, который привязывается к UDP-порту сервера. Затем определяется функция receive_ping, которая принимает входящие данные, выводит их и возвращает объект Thread, который будет запускать get_ping, поэтому мы можем отправлять пинги одновременно с приемом входящих данных.

Последний метод ping создает объект PingNode, формирует сообщение с помощью wrap_packet и отправляет его с использованием UDP.

Теперь мы можем настроить скрипт, который будет отправлять некоторые пакеты.

send_ping.py:

Запустим код и получим следующий вывод:

Мы успешно запинговали самих себя.

Пытаемся пинговать соседний узел

Хорошими кандидатами для приема наших сообщений будут те самые узлы начальной загрузки. В документации сказано:

Чтобы начать работу, geth использует узлы начальной загрузки, адреса которых записаны в исходном коде.

Geth — это Ethereum-клиент, реализованный на Go. В этом репозитории файл /bootnodes.go содержит списки узлов начальной загрузки в специальном формате:

public_key_hex@ip_address:port

Ниже перечислены основные узлы сети:

Для примера используется узел US-WEST, но вы можете использовать любой из этого списка. Например, ближайший к вам.

Сейчас send_ping.py выглядит так:

Давайте проверим, что выйдет:

Ждет ответа, но его нет. Разберемся, что пошло не так.

Решение

Оказывается, что Ethereum использует адрес возврата из заголовка UPD, а не тот, который мы ему передаем в PingNode.

53042 – это порт из заголовка UDP. Сокет отправляет пакет с этим заголовком, потому что он не привязан к какому-либо порту заранее. Ниже в комментариях отмечены проблемы с PingServer:

Проблема в том, что udp_listen и ping используют разные сокеты (созданные на строках 3 и 15), а тот, который используется ping, не привязан к порту 30303, поэтому он использует произвольный порт.

Чтобы исправить это, нужно переопределить порт в методе __init__ на сервере. Окончательный результат выглядит примерно так:

Сокет инициализирован в __init__ и указан в udp_listen и ping.

Теперь попробуем запустить send_ping.py:

Мы получили сообщение от узла начальной загрузки! Отлично.