🚨 Alerta sa Seguridad | Mga Gumagamit ng Ledger ang Nagsalaysay ng Ipinagkakait na Pag-transfer ng Wallet na Hihigit sa $86M 💸 Noong Oktubre 9, maraming gumagamit ng Ledger hardware wallet sa Timog-Silangang Asya ang nagsalaysay ng hindi pinahihintulutang pag-transfer ng mga ari-arian na may kinalaman sa mga device na binili sa pamamagitan ng CryptoBilis, isang reseller ng Ledger. Ang mga pampublikong pag-aaral sa blockchain ay nagtataya na higit sa $86 milyon ang maaaring makuha sa iba’t ibang network, kabilang ang bitcoin, ethereum, at TRON. Napatunayan ng Ledger ang patuloy na imbestigasyon at hiningi na ipaghinto ang pagbebenta at pagpapadala ng mga device ng Ledger ng CryptoBilis. Ang eksaktong bilang ng mga naapektuhandong gumagamit at kabuuang pagkawala ay hindi pa opisyally na kumpirmado. 🔍 Mga Mahahalagang Hanapin sa Seguridad Ang pag-aaral sa blockchain ay nakatukoy sa mga pinagsasamang pag-transfer ng ari-arian sa iba’t ibang blockchain. Maraming TRON wallet ang nagsumite ng token approvals nang sabay-sabay, sumunod ng mabilis na pag-deduct. Ang pattern na ito ay nagmumungkahi na maaaring makakuha ang attacker ng kontrol sa pag-sign sa maraming wallet. Ang orihinal na kompromiso ay hindi pa malinaw. Maaaring mga posibleng daan ng pag-atake ang pagpapabago sa device habang dinala o ipinadala, at ang kompromisong recovery phrase. Gayunpaman, wala pang kumpirmadong ebidensya ng exploitable na vulnerability sa firmware o hardware security mechanisms ng Ledger. ⚠️ Mga Rekomendasyon sa Seguridad Inirerekomenda ng Ledger ang mga gumagamit na bumili ng device sa pamamagitan ng CryptoBilis sa loob ng nakaraang 90 araw na mag-ingat: Mga di pa ginagamit na device: Huwag i-initialize o gamitin hanggang sa karagdagang paalala. Mga nai-initialize na device: Isaisip na gumawa ng bagong recovery phrase sa isang tiwalaan na device at mag-transfer ng ari-arian sa bagong wallet agad. Seguridad ng recovery phrase: Huwag kailanman i-restore ang orihinal na recovery phrase sa bagong device o ibahagi ito kahit kanino. ✍️ BitsLab Security Reminder: Ang seguridad ng hardware wallet ay nakasalalay sa buong buhay cycle, mula sa paggawa ng private key at pagdistribusyon ng device hanggang sa pang-araw-araw na paggamit. Kung maaaring nakompromiso ang recovery phrase, ang pagpalit ng hardware wallet o pag-reinstall ng wallet application ay hindi magtatanggal ng panganib. Dapat i-transfer ang ari-arian sa isang wallet na pinoprotektahan ng bagong nagawa na recovery phrase. Patuloy pa ang imbestigasyon. Ang eksaktong daan ng pag-atake at kabuuang pagkawala ay hindi pa kumpirmado. #SecurityAlert #Web3Security #Ledger
💸 Ang hindi karaniwang peg-out na halos $320M mula sa Liquid Network ay maaaring hindi talaga isang insidente ng pagkakasira ng key. Noong Sep. 6, isinagawa ang pag-withdraw ng halos 4,000 BTC mula sa wallet ng Liquid Federation. Ngunit ayon sa Liquid at SideSwap, ang Peg-out Authorization Key (PAK) ay hindi na-compromise, at walang iba pang signing keys ang nasakop. 🔋 Ang nagiging mas interesante sa insidente na ito ay ang pag-withdraw ay patuloy na sumunod sa normal na peg-out flow, na may kahit anong 11/15 na mga functionary na nag-sign ng Bitcoin transaction. 🛡️ Ito ay nagpapahiwatig na ang pagkabigo ay maaaring hindi “sinakop ng attacker ang key at sinignan ang pag-withdraw,” kundi mas maraming nangyari ang isang estado na dapat ay hindi dapat ituring na valid ay tinanggap bilang valid, at pagkatapos ay natapos ng mga downstream component ang authorization at signing sa ilalim ng normal na patakaran. 🖲️ Kasalukuyang sinasabi ng SideSwap na ang problema ay nagmumula sa isang bug sa Elements. Ang sariling ipinapakilalang white hats ay nakipag-ugnayan na sa Blockstream sa pamamagitan ng OP_RETURN messages at sinabi nilang babalikin ang “karamihan” ng BTC pagkatapos ma-deploy ang fix sa lahat ng node. Key Takeaway: kung ang bawat signer ay nag-validate ng parehong may-bug na estado, kahit pa ang mga key ay perpektong ligtas, maaari pa ring magresulta ito sa maling outcome. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Ang isang panibagong insidente sa Reflexer GEB ay nagresulta sa pagkawala ng 5.94 ETH na collateral dahil sa isang problema sa access-control at call-context confusion. 💸 Ang pagkawala ay relatibong maliit, ngunit ang arkitektural na kahinaan na ito ay malaking kahalagahan sa mga DeFi systems na batay sa shared proxy contracts. 👇
🚨 Alerta sa Seguridad: RCE ng Backend ng AI Agent 🔍 Dahilan: Ang isang mananakop na may kontrol sa panlabas na nilalaman ay pumasok sa isang workflow ng AI agent para sa mga mamimili, na nagpapahintulot sa isang serye ng pag-atake mula sa indirektong prompt injection → pagkakabukas ng prompt/tool → backend RCE. 📌 Layunin: AI Shopping Assistant ng isang Top 3 na retailer sa Amerika 📌 Surface: Pampublikong mobile interface 📌 Mga Mananaliksik: Netanel Rubin at Dan Avraham, Rein Security 📌 Pagpapahayag: Black Hat USA 2026 Epekto: Walang kinakailangang privileged access — maaaring i-trigger ang exploit sa pamamagitan ng parehong interface na ginagamit ng mga karaniwang mamimili. Ang seguridad ng AI agent ay umiiwas sa pagpapabago ng model. Ang prompt injection ay maaari na ngayong maging daan patungo sa tunay na pagkakasira ng backend.
🛑Ginagawa ng BitsLab ang AI-driven na imprastruktura para sa seguridad ng mga digital asset. Nag-aalok kami ng smart contract audit, penetration testing, formal verification, at AI-powered na pagkilala sa panganib para sa mga team, protokolo, at korporasyon sa Web3.✅ Ano ang inaasahan dito: 🟠Security Alert 🟢Exploit Breakdown 🟣Audit Insight 🟡Security Methodology Ecosystem: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Website: https://t.co/M56qRPzIf2 May Web3 security topic ba kayo na gustong ipakilala namin? Sabihin ninyo sa mga komento.🙌
🚨 BitsLab Research: Sapat ang isang pinagmaliwanag na email upang kunin ang kontrol ng isang nanobot agent. Walang pag-click. Walang interaksyon ng gumagamit. Walang nakaraang akses. Iminungkahi namin ang CVE-2026-33654 — isang zero-click Indirect Prompt Injection na pinagsama sa Authentication Bypass sa Email Channel. Narito kung paano ito gumagana 🧵👇 https://t.co/3Fe6UxopCX
Ipinatupad ng Balancer V2 ang isang kontrata upang panatilihin ang bawat token sa bawat pool. Mukhang isang puntos ng pagkabigo. Ngunit ito ang dahilan kung bakit ang cross-pool arbitrage ay hindi gumagalaw ng anumang token, at bakit ang flash loan ay maaaring makakuha ng buong likwididad ng protokolo. Isang thread tungkol sa Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 Bago mula sa BitsLab Research Ipinadeploy ng Balancer V2 ang isang kontrata upang panatilihin ang lahat ng token sa bawat pool. Mukhang isang single point of failure. Ngunit ito ang dahilan kung bakit: → Ang cross-pool arbitrage ay hindi gumagalaw ng anumang token → Ang flash loans ay gumagamit ng buong liquidity ng protocol → Ang isang 2-token swap ay natatapos sa isang SSTORE lamang Nagpassa kami ng ilang linggo sa pag-aaral ng Vault contract, linya sa linya. Ang Part 1 ng aming 3-part deep dive sa Balancer V2 ay nasa live na—nakapokus sa lahat ng gas trick, bawat safety check, at ang trade-off na walang sinasabi (ang Aug 2023 Boosted Pool incident ay hindi isang aksidente ng arkitektura). Kung ikaw ay nagbuo ng isang DeFi protocol, nag-audit nito, o nag-invest dito—worth it ang 15 minuto na ito. 📖 Basahin ang Part 1 ↓ https://t.co/4ZHF2BoLUO Darating ang Part 2 (Pool math) at Part 3 (real vulnerability post-mortems) susunod.