Isang araw pa, isang crypto exploit 🚨 Sinasabing exploited si @taikoxyz para sa $1.7M Sa punto na ito, ang isang araw na walang hack ay parang hindi karaniwan Minsan, parang ang mga hacker lang ang nagkakakita sa cycle na ito #Taiko #Crypto #DeFi #Hack #CyberSecurity

Isang iba pang exploit sa Taiko. Bagaman walang naggamit ng kanilang produkto. Maaaring kailanganin ng team ang pera o maaaring gawa ng totoong exploiters ito. Sino ang alam? Patuloy na naging kakaibang espasyo ito araw-araw at patuloy na nawawalan ng pagtitiyaga ang mga proyekto. May pera sila sa kanilang protokolo, kaya madali lang na hackin nila ang sarili nila.

BREAKING: Nasira ang seguridad ng bridge ni Taiko. Nakaw na ang higit sa $1.7M pagkatapos gamitin ng mga attacker ang isang kamalian sa mekanismo ng pag-verify ng protocol. Ang tagapag-exploit ay nagsisimula nang ilipat ang mga pondo sa exchange, habang nananatili pa rin ang higit sa $1.5M sa $ETH. #Taiko ay nagbabala sa mga user na mag-withdraw agad mula sa lahat ng bridge at humiling sa exchange na itigil ang mga pag-deposit ng $TKO. @taikoxyz

Isang security incident sa mga IBC bridge ay nagresulta sa pagkakawala ng 467 milyong dolyar na halaga ng mga token mula sa Secret Network sa pamamagitan ng Axelar. Ang breach ay tila limitado sa Secret ICS-20 contract. Magiging sanhi ba ito ng mas mahigpit na cross-chain security? #Crypto #IBC #Security

Ang bawat paglabag na may kinalaman sa mga stolen credentials ay may parehong ugat: ang credential ay umiiral sa kahit anong anyo ng plaintext nang sapat na tagal upang mahanap. Sa isang database, sa isang environment variable, sa isang log file, sa isang memory dump. Ang exposure window ay maaaring miliyong segundo o buwan. Ang mahalaga ay ang string ay doon at may nahanap ito. Ang karaniwang tugon ay mas mabuting pagmamahalaga ng mga lihim: mga vault solutions, patakaran sa rotation, access na may least-privilege, encrypted storage. Lahat ng ito ay nagpapababa sa exposure window. Walan sa kanila ang nagtatanggal nito. Ang credential ay nananatili pa rin sa anyo na maaaring i-extract kung ang tamang sistema ay kompromitado sa tamang sandali. Ang Rialo’s REX model ay gumagamit ng iba’t ibang pagkakataon sa problema na ito. Ang mga authentication credentials ay encrypted bago isumite. Sa loob ng private execution environment, ikinakabawas lamang sila nang isang beses, ginagamit para sa partikular na call kung saan ito inilahad, at pagkatapos ay linisin mula sa memorya. Ang plaintext ay hindi lumalabas sa public ledger. Kahit ang mga validator ay hindi makakakuha ng laman ng execution environment habang ito ay nasa pagpapatakbo. Ito ay hindi isang maliit na pagpapabuti sa pagmamahalaga ng mga lihim. Ito ay isang iba’t ibang threat model. @RialoHQ ay hindi sumisikap na protektahan ang isang naka-store na credential mula sa pagkakawala. Ito ay nagtatanggal ng naka-store na credential nang buong-buo. Hindi mo maaaring makuha ang isang bagay na hindi nagpapatuloy. Ang use-once-and-destroy pattern para sa sensitibong authentication data ay isang bagay na sinubukan ng Web2 security na i-approximate nang ilang dekada gamit ang key management services at hardware security modules. Ang Rialo ay nagpapatupad nito nang native sa execution layer.