💧Sécurité Sui Move : pourquoi les packages hérités peuvent toujours mettre en danger les objets partagés après une mise à jour ?

🚨 Alerte sécurité | Des utilisateurs de Ledger signalent un vol présumé de portefeuilles dépassant 86 M$ 💸 Le 9 octobre, plusieurs utilisateurs de portefeuilles matériels Ledger en Asie du Sud-Est ont signalé des transferts d’actifs non autorisés impliquant des appareils achetés via CryptoBilis, un revendeur Ledger. Des investigations publiques sur la blockchain estiment que plus de 86 millions de dollars pourraient avoir été volés sur plusieurs réseaux, notamment Bitcoin, Ethereum et TRON. Ledger a confirmé une enquête en cours et demandé à CryptoBilis de suspendre les ventes et les expéditions de ses appareils Ledger. Le nombre exact d’utilisateurs concernés et le montant total des pertes n’ont pas encore été officiellement confirmés. 🔍 Principales découvertes de sécurité L’analyse sur la blockchain a identifié des transferts d’actifs coordonnés sur plusieurs blockchains. Plusieurs portefeuilles TRON ont soumis des autorisations de jetons presque simultanément, suivies de retraits rapides. Ce schéma suggère que l’attaquant pourrait avoir pris le contrôle de la signature de plusieurs portefeuilles. La cause initiale de la compromission reste incertaine. Les vecteurs d’attaque potentiels incluent une altération des appareils pendant la distribution ou la livraison, ainsi que des phrases de récupération compromises. Toutefois, aucune preuve confirmée d’une vulnérabilité exploitable dans le firmware ou les mécanismes de sécurité matérielle de Ledger n’a pour l’instant été établie. ⚠️ Recommandations de sécurité Ledger conseille aux utilisateurs ayant acheté des appareils via CryptoBilis au cours des 90 derniers jours de prendre les précautions suivantes : Appareils non initialisés : Ne les initialisez ni ne les utilisez pas jusqu’à nouvel ordre. Appareils initialisés : Pensez à générer une nouvelle phrase de récupération sur un appareil de confiance et à transférer vos actifs vers un nouveau portefeuille dès que possible. Sécurité de la phrase de récupération : Ne restaurez jamais la phrase de récupération d’origine sur le nouvel appareil et ne la partagez avec personne. ✍️ Rappel de sécurité de BitsLab : La sécurité des portefeuilles matériels dépend de l’ensemble du cycle de vie, depuis la génération de la clé privée et la distribution des appareils jusqu’à l’utilisation quotidienne. Si la phrase de récupération a pu être compromise, remplacer le portefeuille matériel ou réinstaller l’application portefeuille ne supprimera pas le risque. Les actifs doivent être transférés vers un portefeuille protégé par une phrase de récupération nouvellement générée. L’enquête est en cours. Le vecteur d’attaque exact et le montant total des pertes restent non confirmés. #SecurityAlert #Web3Security #Ledger

💸 Le retrait anormal de 320 millions de dollars du réseau Liquid n’a peut-être pas été un incident de compromission de clé du tout. Le 6 septembre, près de 4 000 BTC ont été retirés du wallet de la Fédération Liquid. Toutefois, selon Liquid et SideSwap, la clé d’autorisation de peg-out (PAK) n’a pas été compromise, et aucune autre clé de signature n’a été volée. 🔋 Ce qui rend cet incident plus intéressant, c’est que le retrait a tout de même suivi le flux normal de peg-out, avec au moins 11/15 fonctionnaires ayant finalement signé la transaction Bitcoin. 🛡️ Cela suggère que l’erreur n’a peut-être pas été « l’attaquant a volé une clé et a signé le retrait », mais plutôt qu’un état qui ne devait jamais être considéré comme valide a été accepté comme valide, après quoi les composants en aval ont complété l’autorisation et la signature selon les règles normales. 🖲️ SideSwap affirme actuellement que le problème semble provenir d’un bogue dans Elements. Les white hats se sont depuis communiqués avec Blockstream via des messages OP_RETURN et ont déclaré qu’ils retourneront « la plupart » des BTC une fois la correction déployée sur tous les nœuds. Prise principale : si chaque signataire valide le même état défectueux, même des clés parfaitement sécurisées peuvent produire un résultat incorrect. #Bitcoin #LiquidNetwork #Web3Security

1/4 🚨 Un incident récent sur Reflexer GEB a entraîné le retrait de 5,94 ETH de garantie en raison d’un problème de confusion entre le contrôle d’accès et le contexte d’appel. 💸 La perte a été relativement faible, mais la faille architecturale qu’il a révélée est hautement pertinente pour les systèmes DeFi construits autour de contrats proxy partagés. 👇

🚨 Alerte sécurité : RCE du backend d’un agent IA 🔍 Cause racine : Un contenu externe contrôlé par un attaquant a été introduit dans le flux de travail d’un agent IA grand public, permettant une chaîne d’attaque depuis l’injection de prompt indirecte → divulgation de prompt/outils → RCE du backend. 📌 Cible : Assistant d’achat IA d’un des trois principaux détaillants américains 📌 Surface : Interface mobile publique 📌 Rechercheurs : Netanel Rubin et Dan Avraham, Rein Security 📌 Divulgation : Black Hat USA 2026 Impact : Aucun accès privilégié n’était requis — l’exploit pouvait être déclenché via la même interface utilisée par les clients réguliers. La sécurité des agents IA dépasse désormais la simple manipulation des modèles. L’injection de prompt peut désormais devenir une voie vers une compromission réelle du backend.

🛑BitsLab construit une infrastructure de sécurité pilotée par l’IA pour les actifs numériques. Nous proposons des audits de contrats intelligents, des tests d’intrusion, une vérification formelle et une détection de risques assistée par l’IA pour les équipes, protocoles et entreprises Web3.✅ Ce que vous pouvez attendre ici : 🟠Alerte sécurité 🟢Analyse d’exploit 🟣Perspective d’audit 🟡Méthodologie de sécurité Écosystème : @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Site web : https://t.co/M56qRPzIf2 Vous avez un sujet de sécurité Web3 que vous souhaitez voir abordé ? Faites-le nous savoir dans les commentaires.🙌

🚨 BitsLab Research : Un seul e-mail falsifié suffit pour prendre le contrôle d’un agent nanobot. Aucun clic. Aucune interaction utilisateur. Aucun accès préalable. Nous avons divulgué CVE-2026-33654 — une injection indirecte de prompt sans clic, associée à une contournement d’authentification sur le canal e-mail. Voici comment cela fonctionne 🧵👇 https://t.co/3Fe6UxopCX

Balancer V2 a déployé un seul contrat pour détenir tous les tokens de chaque pool. Cela semble être un point de défaillance unique. C’est en réalité la raison pour laquelle l’arbitrage entre pools ne déplace aucun token, et pour laquelle un prêt flash peut accéder à toute la liquidité du protocole. Un fil sur le Vault 🧵👇 https://t.co/Vj4Dn7mmbQ

🔬 Nouveauté de BitsLab Research Balancer V2 a déployé un seul contrat pour détenir tous les tokens de toutes les piscines. Cela semble être un point de défaillance unique. C’est en réalité la raison pour laquelle : → L’arbitrage entre piscines ne déplace aucun token → Les prêts flash puisent dans la liquidité de l’ensemble du protocole → Un échange de deux tokens s’effectue en un seul SSTORE Nous avons passé des semaines à analyser ligne par ligne le contrat Vault. La première partie de notre étude approfondie en trois volets sur Balancer V2 est en ligne — elle couvre chaque astuce de gaz, chaque vérification de sécurité et le compromis dont personne ne parle (l’incident des Boosted Pools d’août 2023 n’était pas un accident d’architecture). Si vous développez un protocole DeFi, l’auditiez ou y investissez — cela vaut 15 minutes. 📖 Lisez la Partie 1 ↓ https://t.co/4ZHF2BoLUO La Partie 2 (mathématiques des piscines) et la Partie 3 (post-mortems de vulnérabilités réelles) suivront prochainement.