🚨 تحذير أمني | مستخدمو Ledger يبلغون عن سرقة مشتبه بها للمحفظة تتجاوز 86 مليون دولار 💸 في 9 أكتوبر، أبلغ مستخدمون متعددون لمحفظات Ledger المادية في جنوب شرق آسيا عن نقل غير مصرح به للأصول مرتبط بأجهزة تم شراؤها عبر CryptoBilis، وهو موزع معتمد لـ Ledger. تشير التحقيقات العامة على السلسلة إلى أن أكثر من 86 مليون دولار قد تكون سُرقت عبر شبكات متعددة، بما في ذلك البيتكوين والإيثيريوم وTRON. وقد أكّدت Ledger أن التحقيق جارٍ، وطلبت من CryptoBilis تعليق مبيعات وشحنات أجهزة Ledger. ولم يتم تأكيد العدد الدقيق للمستخدمين المتأثرين أو الخسائر الإجمالية بعد. 🔍 أهم النتائج الأمنية كشف التحليل على السلسلة عن عمليات نقل منسقة للأصول عبر عدة سلاسل كتل. قدمت عدة محفظات TRON موافقات رموز في وقت شبه متزامن، تلاها سحب سريع. يشير هذا النمط إلى أن المهاجم قد يحصل على سيطرة على التوقيع لمحفظات متعددة. لا يزال مصدر الاختراق الأولي غير واضح. وتشمل سيناريوهات الهجوم المحتملة التلاعب بالجهاز أثناء التوزيع أو التسليم، أو تسريب عبارة الاسترداد. ومع ذلك، لا يوجد حاليًا دليل مؤكد على وجود ثغرة قابلة للاستغلال في برنامج Ledger أو آليات الأمان المادية. ⚠️ توصيات أمنية تنصح Ledger المستخدمين الذين اشتروا أجهزة عبر CryptoBilis خلال الـ 90 يومًا الماضية باتخاذ احتياطات: الأجهزة غير المستخدمة: لا تقم بتهيئتها أو استخدامها حتى إشعار آخر. الأجهزة المهيأة: ضع في اعتبارك إنشاء عبارة استرداد جديدة على جهاز موثوق ونقل الأصول إلى محفظة جديدة في أسرع وقت ممكن. أمن عبارة الاسترداد: لا تعيد استعادة عبارة الاسترداد الأصلية على الجهاز الجديد أو شاركها مع أي شخص. ✍️ تذكير أمني من BitsLab: يعتمد أمان المحفظة المادية على دورة الحياة الكاملة، بدءًا من توليد المفتاح الخاص وتوزيع الجهاز وحتى الاستخدام اليومي. إذا كان من المحتمل أن تكون عبارة الاسترداد قد تعرضت للخطر، فإن استبدال المحفظة المادية أو إعادة تثبيت تطبيق المحفظة لن يزيل الخطر. يجب نقل الأصول إلى محفظة محمية بعبارة استرداد تم إنشاؤها حديثًا. التحقيق لا يزال جاريًا. لم يتم تأكيد متجه الهجوم الدقيق أو الخسائر الإجمالية. #SecurityAlert #Web3Security #Ledger
💸 قد لا يكون خروج غير طبيعي بقيمة حوالي 320 مليون دولار من شبكة Liquid ناتجًا عن اختراق مفتاح رئيسي على الإطلاق. في 6 سبتمبر، سُحِبَ ما يقارب 4,000 BTC من محفظة فيدرالية Liquid. لكن وفقًا لـ Liquid وSideSwap، لم يُختَرَق مفتاح تفويض الخروج (PAK)، ولم يُسرَق أي مفاتيح توقيع أخرى. 🔋 ما يجعل هذه الحادثة أكثر إثارة هو أن السحب ما زال مرّ عبر تدفق الخروج الطبيعي، حيث وقّع على معاملة البيتكوين ما لا يقل عن 11 من أصل 15 مسؤولًا. 🛡️ هذا يشير إلى أن الفشل ربما لم يكن "الهاكر سرق مفتاحًا ووقّع على السحب"، بل أن حالةً لم تكن ينبغي أبدًا اعتبارها صالحة تم قبولها على أنها صالحة، وبعد ذلك أكملت المكونات اللاحقة التفويض والتوقيع وفق القواعد العادية. 🖲️ تقول SideSwap حاليًا إن المشكلة تبدو ناتجة عن خطأ في Elements. وقد تواصل المُسمَّون "محترمي الأخلاق" منذ ذلك الحين مع Blockstream عبر رسائل OP_RETURN، وأفادوا أنهم سيُعيدون "معظم" البيتكوين بعد نشر الإصلاح على جميع العقد. الاستنتاج الرئيسي: إذا كان كل موقّع يُصحّح نفس الحالة المعيبة، فحتى المفاتيح الآمنة تمامًا يمكن أن تنتج نتيجة خاطئة. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 أدى حادث مؤخر في Reflexer GEB إلى سرقة 5.94 ETH من الضمانات بسبب مشكلة في التحكم في الوصول وخلط في سياق الاستدعاء. 💸 كانت الخسارة صغيرة نسبيًا، لكن العيب المعماري الذي كشفه ذو صلة كبيرة بأنظمة DeFi المبنية حول عقود وكيل مشتركة. 👇
🚨 تحذير أمني: ثغرة تنفيذ كود عن بُعد في خلفية وكيل الذكاء الاصطناعي 🔍 السبب الجذري: دخل محتوى خارجي تحت سيطرة المهاجم سير عمل وكيل ذكاء اصطناعي للعملاء، مما مكن من سلسلة هجوم تبدأ من حقن تعليمات غير مباشر → كشف التعليمات/الأدوات → تنفيذ كود عن بُعد في الخلفية. 📌 الهدف: مساعد التسوق الذكي لواحد من أكبر ثلاث متاجر بالتجزئة في الولايات المتحدة 📌 السطح المستهدف: واجهة الجوال العامة 📌 الباحثون: ناتانيل روبين ودان أبراهام، شركة Rein Security 📌 الإفصاح: Black Hat USA 2026 التأثير: لم يكن مطلوبًا أي وصول مميز — يمكن تفعيل الاستغلال من خلال نفس الواجهة التي يستخدمها المتسوقون العاديون. أصبح أمان وكلاء الذكاء الاصطناعي يتجاوز مجرد التلاعب بالنماذج. يمكن الآن أن يصبح حقن التعليمات مسارًا للإضرار الحقيقي بالخلفية.
🛑BitsLab تبني بنية تحتية أمنية مدعومة بالذكاء الاصطناعي للأصول الرقمية. نقدم مراجعات العقود الذكية، واختبارات الاختراق، والتحقق الرسمي، وكشف المخاطر المدعوم بالذكاء الاصطناعي لفرق وبروتوكولات وشركات الويب 3. ✅ ما الذي يمكن توقعه هنا: 🟠تنبيه أمني 🟢تحليل الاستغلال 🟣نظرة على المراجعة 🟡منهجية الأمان النظام البيئي: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️الموقع الإلكتروني: https://t.co/M56qRPzIf2 هل لديك موضوع أمان ويب 3 ترغب في أن نغطيه؟ أخبرنا في التعليقات. 🙌
🚨 بحث BitsLab: بريد إلكتروني مزور واحد كافٍ للاستيلاء على عامل نانوي. لا نقرات. لا تفاعل من المستخدم. لا وصول مسبق. لقد أبلغنا عن CVE-2026-33654 — حقنة تحفيز غير مباشرة بدون نقر مرتبطة بتجاوز المصادقة عبر قناة البريد الإلكتروني. إليك كيف تعمل 🧵👇 https://t.co/3Fe6UxopCX
تم نشر عقد واحد من Balancer V2 لاحتواء جميع الرموز عبر جميع الحيازات. يبدو وكأنه نقطة فشل واحدة. لكنه في الواقع السبب في أن التحكيم بين الحيازات لا ينقل أي رموز، والسبب في أن القرض الفوري يمكنه الوصول إلى سيولة البروتوكول بأكمله. سلسلة حول Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 جديد من بيتسلاب ريسيرتش تم نشر عقد واحد من Balancer V2 للاحتفاظ بجميع الرموز عبر جميع الحيازات. يبدو وكأنه نقطة فشل واحدة. لكنه في الواقع السبب في: → تحركات التحكيم بين الحيازات لا تنقل أي رموز → قروض الفلاش تستفيد من سيولة البروتوكول بأكمله → تبديل رمزين يكتمل في SSTORE واحد فقط قضينا أسابيع في تحليل عقد Vault سطرًا بسطر. الجزء الأول من تحليلنا المعمق المكون من 3 أجزاء عن Balancer V2 متاح الآن — ويغطي كل حيلة غاز، وكل فحص أمان، والتنازل الذي لا يتحدث عنه أحد (حادثة حيازة Aug 2023 المعززة لم تكن حادثة هندسية). إذا كنت تبني بروتوكول DeFi، أو تقوم بمراجعته، أو تستثمر فيه — فهذا المقال يستحق 15 دقيقة. 📖 اقرأ الجزء الأول ↓ https://t.co/4ZHF2BoLUO سيتبع الجزء الثاني (رياضيات الحيازة) والجزء الثالث (تحليلات ما بعد الحوادث الفعلية).