💧Seguridad de Sui Move: ¿Por qué los paquetes heredados aún pueden poner en riesgo los objetos compartidos tras una actualización?

🚨 Alerta de seguridad | Usuarios de Ledger informan robo sospechoso de monederos que supera los $86 millones 💸 El 9 de octubre, múltiples usuarios de monederos hardware Ledger en el sudeste asiático reportaron transferencias no autorizadas de activos relacionadas con dispositivos comprados a través de CryptoBilis, un revendedor de Ledger. Investigaciones públicas en la cadena estiman que más de $86 millones podrían haber sido robados en varias redes, incluyendo Bitcoin, Ethereum y TRON. Ledger ha confirmado una investigación en curso y solicitó a CryptoBilis que suspenda las ventas y envíos de dispositivos Ledger. El número exacto de usuarios afectados y las pérdidas totales aún no se han confirmado oficialmente. 🔍 Hallazgos clave de seguridad El análisis en la cadena identificó transferencias coordinadas de activos en múltiples cadenas de bloques. Varias billeteras TRON emitieron aprobaciones de tokens casi simultáneamente, seguidas por retiros rápidos. Este patrón sugiere que el atacante pudo haber obtenido control de firma sobre múltiples monederos. La vulnerabilidad inicial sigue sin estar clara. Los posibles vectores de ataque incluyen manipulación del dispositivo durante la distribución o entrega, y frases de recuperación comprometidas. Sin embargo, actualmente no hay evidencia confirmada de una vulnerabilidad explotable en los mecanismos de seguridad del firmware o hardware de Ledger. ⚠️ Recomendaciones de seguridad Ledger aconseja a los usuarios que compraron dispositivos a través de CryptoBilis en los últimos 90 días que tomen precauciones: Dispositivos sin usar: No los inicialice ni los utilice hasta nuevo aviso. Dispositivos inicializados: Considere generar una nueva frase de recuperación en un dispositivo confiable y transferir sus activos a un nuevo monedero lo antes posible. Seguridad de la frase de recuperación: Nunca restaure la frase de recuperación original en el nuevo dispositivo ni la comparta con nadie. ✍️ Recordatorio de seguridad de BitsLab: La seguridad del monedero hardware depende de todo el ciclo de vida, desde la generación de la clave privada y la distribución del dispositivo hasta el uso diario. Si la frase de recuperación pudo haberse visto comprometida, reemplazar el monedero hardware o reinstalar la aplicación del monedero no eliminará el riesgo. Los activos deben transferirse a un monedero protegido por una frase de recuperación recién generada. La investigación está en curso. El vector de ataque exacto y las pérdidas totales aún no se han confirmado. #SecurityAlert #Web3Security #Ledger

💸 La salida anormal de ~$320M de la Red Liquid probablemente no haya sido un incidente de compromiso de clave en absoluto. El 6 de septiembre, se retiraron casi 4,000 BTC del monedero de la Federación Liquid. Pero según Liquid y SideSwap, la Clave de Autorización de Peg-out (PAK) no fue comprometida, ni se robaron otras claves de firma. 🔋 Lo que hace más interesante este incidente es que la retirada aún pasó por el flujo normal de peg-out, con al menos 11/15 funcionarios firmando finalmente la transacción de Bitcoin. 🛡️ Esto sugiere que el fallo no pudo haber sido “el atacante robó una clave y firmó la retirada”, sino más bien que se aceptó como válida un estado que nunca debería haberse considerado válido, tras lo cual los componentes posteriores completaron la autorización y firma bajo reglas normales. 🖲️ SideSwap actualmente dice que el problema parece originarse en un error de Elements. Los llamados white hats se han comunicado con Blockstream mediante mensajes OP_RETURN y afirmaron que devolverán “la mayoría” de los BTC una vez que la corrección se haya implementado en todos los nodos. Clave: si cada firmante valida el mismo estado defectuoso, incluso claves perfectamente seguras pueden producir el resultado incorrecto. #Bitcoin #LiquidNetwork #Web3Security

1/4 🚨 Un incidente reciente de Reflexer GEB provocó que se drenaran 5.94 ETH de garantía debido a un problema de confusión en el control de acceso y el contexto de llamada. 💸 La pérdida fue relativamente pequeña, pero la falla arquitectónica que expuso es altamente relevante para los sistemas DeFi construidos alrededor de contratos proxy compartidos. 👇

🚨 Alerta de seguridad: RCE en el backend del agente de IA 🔍 Causa raíz: El contenido externo controlado por el atacante ingresó al flujo de trabajo de un agente de IA minorista, permitiendo una cadena de ataque desde inyección indirecta de indicaciones → revelación de indicaciones/herramientas → RCE en el backend. 📌 Objetivo: Asistente de compras por IA de un minorista estadounidense top 3 📌 Superficie: Interfaz móvil pública 📌 Investigadores: Netanel Rubin y Dan Avraham, Rein Security 📌 Divulgación: Black Hat USA 2026 Impacto: No se requirió acceso privilegiado; la explotación pudo activarse a través de la misma interfaz utilizada por los compradores regulares. La seguridad de los agentes de IA está evolucionando más allá de la manipulación del modelo. La inyección de indicaciones ahora puede convertirse en una vía hacia una compromisión real del backend.

🛑BitsLab construye infraestructura de seguridad impulsada por IA para Activos digitales. Ofrecemos auditorías de contratos inteligentes, pruebas de penetración, verificación formal y detección de riesgos impulsada por IA para equipos, protocolos y empresas de Web3.✅ Lo que puedes esperar aquí: 🟠Alerta de Seguridad 🟢Análisis de Explotación 🟣Insight de Auditoría 🟡Metodología de Seguridad Ecosistema: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Sitio web: https://t.co/M56qRPzIf2 ¿Tienes un tema de seguridad Web3 que te gustaría que abordáramos? ¡Haznoslo saber en los comentarios!🙌

🚨 BitsLab Research: Un solo correo electrónico falsificado es suficiente para secuestrar un agente de nanobot. Sin clics. Sin interacción del usuario. Sin acceso previo. Hemos divulgado CVE-2026-33654: una Inyección Indirecta de Prompt sin clics combinada con eludir la autenticación en el canal de correo electrónico. Así funciona 🧵👇 https://t.co/3Fe6UxopCX

Balancer V2 desplegó un solo contrato para contener todos los tokens en todas las piscinas. Parece un punto único de fallo. Pero es precisamente por eso que el arbitraje entre piscinas mueve cero tokens y por qué un préstamo flash puede acceder a toda la liquidez del protocolo. Hilo sobre el Vault 🧵👇 https://t.co/Vj4Dn7mmbQ

🔬 Nuevos hallazgos de BitsLab Research Balancer V2 desplegó un solo contrato para almacenar todos los tokens en todas las piscinas. Parece un punto único de fallo. Pero en realidad es la razón por la que: → El arbitraje entre piscinas no mueve ningún token → Los préstamos flash acceden a toda la liquidez del protocolo → Un intercambio de 2 tokens se completa en solo UN SSTORE Pasamos semanas desglosando el contrato Vault línea por línea. La Parte 1 de nuestra serie en 3 partes sobre Balancer V2 ya está disponible: cubre cada truco de gas, cada verificación de seguridad y el compromiso que nadie menciona (el incidente de la Pool Boosted de agosto de 2023 no fue un accidente arquitectónico). Si estás construyendo un protocolo DeFi, auditando uno o invirtiendo en uno: esto vale 15 minutos. 📖 Lee la Parte 1 ↓ https://t.co/4ZHF2BoLUO La Parte 2 (matemáticas de las piscinas) y la Parte 3 (post-mortems de vulnerabilidades reales) llegarán próximamente.