C’est vraiment étrange que les cabinets d’audit ciblent leurs clients privés en audit avec des programmes de bug bounty. Chez @cyfrin, hors des missions d’audit privées, nous divulguons directement et gratuitement les bugs à nos clients en audit, sans attendre de récompense. Nous faisons toujours de notre mieux pour protéger nos clients 🤝

Juin vient à peine de commencer et nous avons déjà un autre exploit 🤷‍♂️ • 99M $TSR auraient été créés et vendus sur le marché, faisant chuter le token de 99 %. • L’attaquant s’est enfui avec 2,5 M $, a transféré les fonds vers Ethereum et a déjà commencé à blanchir de l’$ETH via Tornado Cash. À ce stade, on a l’impression que les pirates ont eu un meilleur mois que les traders.

🚨 Alerte sur une attaque de la chaîne d'approvisionnement npm : des paquets Red Hat Cloud Services massivement empoisonnés SlowMist a détecté une attaque active ciblant @redhat-cloud-services, ayant affecté plus de 31 paquets npm avec plus de 116 000 téléchargements hebdomadaires, entraînant la fuite de crédentiels de plus de 300 dépôts GitHub. Les techniques d'attaque sont fortement similaires à celles utilisées dans l'activité précédente Shai-Hulud, se propageant principalement par le vol de crédentiels, la création de dépôts malveillants et l'exfiltration automatique de secrets. Les développeurs risquent de voir leurs jetons GitHub/npm, leurs crédentiels cloud AWS/GCP/Azure, leurs clés SSH et leurs données de portefeuille volées. Il est recommandé de rétrograder ou de supprimer immédiatement les versions affectées, d'auditer en profondeur vos processus CI/CD, de renouveler tous les secrets associés et de reconstruire vos environnements de développement à partir d'images propres.

Les 220 millions de dollars volés à Kelp DAO sont presque entièrement blanchis ; la traçabilité chainée s'avère inefficace face à THORChain, Wasabi et Tornado Cash. Ce n'est pas un cas isolé — Radiant Capital vient de fermer après une attaque de 50 millions de dollars, et la vulnérabilité de Gnosis Pay continue de se développer. Le livre de confiance des ponts cross-chain est constamment réécrit. Les pirates ont utilisé THORChain pour transférer 175 millions d'ETH d'une chaîne à une autre, puis les ont mélangés et fractionnés, faisant grimper le volume quotidien de THORChain à 394 millions de dollars en une seule journée. Les outils de confidentialité ne sont pas nouveaux, mais cette échelle révèle un problème structurel : plus la liquidité cross-chain prospère, plus les canaux de blanchiment des pirates deviennent matures. Les 71 millions de dollars d'ETH gelés sont désormais au cœur d'un litige juridique — les familles des victimes nord-coréennes réclament leur saisie à titre de compensation. Sous une ordonnance judiciaire, il reste inconnu si ces fonds pourront être récupérés. L'hypothèse de sécurité du DeFi glisse progressivement de « le code est la loi » vers « la loi est la dernière ligne de défense ». Pour le marché, ce n'est pas une histoire de « mauvaises nouvelles déjà pricing ». Après chaque attaque, les protocoles renforcent leurs audits, mais les pirates évoluent également. L'augmentation du coût de la confiance cross-chain se reflétera finalement dans les frais de financement, le TVL et le comportement des utilisateurs — seriez-vous prêt à placer vos actifs sur un réseau pouvant être traversé par un canal de blanchiment ? $btc #eth #defi #chainagedonnées #ai

Tous les échecs DeFi ne commencent pas par un piratage. Firelight couvrira les défaillances techniques et économiques, y compris les dettes impayées et les atteintes structurelles aux relations entre actifs collatéraux et actifs de prêt. Chaque réclamation sera appuyée par des déclencheurs clairs et des preuves vérifiables sur la chaîne.

Le programme de bug bounty a reçu un grand nombre de soumissions depuis son lancement. Pour accorder à chaque rapport l'attention qu'il mérite, nous suspendons les nouvelles soumissions tout en traitant la file d'attente. Nous vous informerons dès que le programme rouvrira. Merci à tous ceux qui ont participé jusqu'à présent.