Talagang kakaiba na ang mga firme ng audit ay mag-target sa kanilang mga private audit client gamit ang bug bounties. Sa @cyfrin, sa labas ng mga private audit engagement, ipinapahayag namin ang mga bug nang direkta sa aming mga private audit client nang libre at walang inaasahang bounty. Laging ginagawa namin ang aming pinakamahusay para protektahan ang aming mga client 🤝

Kasimulan lang ng Hunyo at mayroon nang ibang exploit 🤷‍♂️ • Ipinamint ang 99M $TSR at inilabas sa merkado, na nagdulot ng pagbaba ng 99% sa token. • Ang attacker ay umalis na may $2.5M, isinilbi ang pera sa Ethereum, at nagsimula na mag-launder ng $ETH sa pamamagitan ng Tornado Cash. Sa punto na ito, parang mas magandang buwan ang mga hacker kaysa sa mga trader.

🚨 Babala sa pag-atake sa npm supply chain: Malawakang pagtotox sa mga package ng Red Hat Cloud Services Nakikita ng SlowMist ang aktibong pag-atake sa @redhat-cloud-services, na nakaaapekto sa 31+ npm packages, na may higit sa 116,000 na download kada linggo, at nagdulot ng pagkawala ng 300+ na credentials sa GitHub repositories. Ang paraan ng pag-atake ay napakapareho sa nakaraang Shai-Hulud activity, na pangunahing nagpapalaganap sa pamamagitan ng pagkukunwari ng credentials, paglikha ng masasamang repository, at awtomatikong paglabas ng mga lihim. Maaaring mag-anta ang mga developer sa pagkawala ng GitHub/npm Tokens, AWS/GCP/Azure cloud credentials, SSH keys, at wallet data. Iminumungkahi na agad na i-downgrade o tanggalin ang mga napektadong bersyon ng package, suriin nang buo ang CI/CD process, palitan ang lahat ng kaugnay na keys, at muling bumuo ng development environment mula sa malinis na image.

Ang $220 milyon na nasira sa Kelp DAO ay halos buo nang linisin, at ang chain tracking ay walang epekto sa harap ng THORChain, Wasabi, at Tornado Cash. Ito ay hindi isang isoladong kaso—tulad ng nangyari sa Radiant Capital na nag-endorso ng paghinto dahil sa $50 milyong pag-atake, at ang vulnerability sa Gnosis Pay ay patuloy na umuunlad. Ang talaan ng tiwala sa mga cross-chain bridge ay paulit-ulit na sinusulat muli. Ang mga hacker ay ginamit ang THORChain upang i-transfer ang $1.75 bilyong ETH sa Bitcoin, pagkatapos ay i-mix at i-split, at sa isang araw ay itinaas ang volume ng THORChain hanggang sa $394 milyon. Ang mga privacy tool ay hindi bagong bagay, ngunit ang laki ng aksyon na ito ay nagpapakita ng isang structural na problema: habang mas malaki ang cross-chain liquidity, mas matatag din ang mga channel para sa money laundering. Ang $71 milyon na ETH na natigil ay nasa gitna ng isang legal na digmaan—ang pamilya ng biktima mula sa Korea ng Hilaga ay nangangailangan ng pagkuha nito bilang kompensasyon. Sa ilalim ng court injunction, ang pagbabalik ng pera ay nananatiling hindi tiyak. Ang seguridad assumptions sa DeFi ay nagmumula sa “code is law” patungo sa “law is the last line of defense.” Para sa merkado, ito ay hindi isang kuwento ng “bad news already priced in.” Pagkatapos ng bawat pag-atake, ang mga protocol ay nagpapalakas ng audit, ngunit ang mga hacker ay umuunlad din. Ang pagtaas ng gastos sa tiwala sa cross-chain ay hahantong sa pagbabago sa funding rates, TVL, at user behavior—gusto mo bang ilagay ang iyong assets sa isang network na maaaring temasan ng mga channel para sa money laundering? $btc #eth #defi #chaindata #ai

Hindi lahat ng pagkabigo sa DeFi ay nagsisimula sa isang hack. Ang Firelight ay tatatalakayin ang parehong teknikal at ekonomikong pagkabigo, kabilang ang masamang utang at struktural na pagkasira sa mga ugnayan ng collateral at loan asset. Ang bawat klaim ay suportado ng malinaw na mga trigger at veripikableng on-chain na ebidensya.

Kumakalat ang malaking bilang ng mga pagsubmit sa programang bug bounty mula nang i-launch ito. Upang bigyan ng sapat na pansin bawat ulat, kami ay nagpapahinga sa mga bagong pagsubmit habang kami ay nagtatrabaho sa queue. Magkakaroon kami ng update kapag muling buksan ang program. Salamat sa lahat ng nagsali hanggang sa ngayon.