Чтобы разбавить череду не самых удачных историй, решил поделиться кейсом с нормальным финалом. 🏆 Позавчера вечером решил поверхностно потыкать одного крипто-бота — просто ради интереса, вдруг что-то всплывёт. Сразу заметил лидерборд с заданиями: выполняешь — поднимаешься в топе и получаешь поинты, которые в конце сезона будут конвертированы в токен. Перехватил запрос на выполнение задания и проверил на race condition. Думал, что там гонка, а оказалось проще — на бэкенде просто не было проверки, что задание уже выполнено. Можно было спокойно спамить запросом и получать очки. В тот же вечер сообщил владельцу. На следующий день подтвердили уязвимость, и владелец отправил неплохой бонус за такой баг. 👓 Изначально идея была проверить метод «Помодоро», но увлекся так, что вместо коротких интервалов получился целый вечер за ноутом.