Pemasaran Ledger memiliki keberanian untuk memberi tahu pengguna tentang self-custody pada tahun 2026: "Jika terjadi sesuatu, Anda mungkin tidak dapat menarik aset Anda." Sementara itu: - Membocorkan alamat rumah 270.000 pengguna kepada penjahat yang melakukan perampokan fisik - Mengirimkan firmware tertutup yang mampu mengekspor fragmen kunci pribadi ke cloud - Membuat smartphone layar sentuh kecil dengan Bluetooth dan menyebutnya cold storage Setidaknya ketika CEX diretas, pencurinya tidak memiliki petunjuk ke pintu depan rumah saya.
Pembaruan peringatan keamanan BTCPay: - Versi yang terpengaruh: 2.4.1 (Juli 2026) dan yang lebih lama - Vektor serangan: penyapuan otomatis pada instance yang tidak diperbarui - Saran: pastikan server Anda selalu diperbarui Cacat mendasar terletak pada penyimpanan kunci pengeluaran di server merchant yang di-host sendiri. Mengharapkan merchant e-commerce bertindak sebagai insinyur DevOps 24/7, yang memperbarui rilis keamanan dalam hitungan minggu, adalah arsitektur yang salah. Jika VPS yang rentan mengosongkan dompet panas, kerentanan bukan hanya pada versi kode—tetapi keputusan untuk menyimpan kunci penandatanganan di server. Masih merekomendasikan https://t.co/vAXqJ9KlFF untuk merchant biasa jika Anda tidak memiliki tim operasional penuh waktu yang mengelolanya.
CZ secara resmi mengucapkan terima kasih kepada FBI, USSS, dan IRS karena mencegah kejatuhan pasar: “Banyak crypto bro mungkin tidak menyadari bahwa banyak pujian atas ‘mengapa Bitcoin tidak jatuh lebih dalam’ layak mereka dapatkan.” Kita memulai dengan whitepaper Satoshi tentang uang elektronik peer-to-peer tanpa perantara yang dipercaya. Kita berakhir dengan pendiri bursa terbesar yang memberi kredit kepada Departemen Kehakiman AS dan Federal Bureau of Investigation karena menjaga floor BTC tetap utuh. Satoshi tidak pernah membayangkan hal ini 18 tahun yang lalu.
JP (pendiri THORChain) menyatakan ini tampaknya menjadi ujian terakhir @THORChain. Tanpa spin PR. Tanpa alasan kepatutan. Pendiri yang mundur bertahun-tahun lalu menetapkan garis merah: bertahan terhadap ujian tekanan negara-bangsa atau akui bahwa tesis cypherpunk hanyalah LARP pemasaran dan tutup saja. Tahan garis ini, karena ini sangat berarti bagi banyak orang.
Timeline fakta kejadian @THORChain hari ini: - FBI, USSS, dan IRS-CI menerbitkan peringatan yang meminta protokol DeFi, THORSwap, dan operator RPC untuk memblokir alamat yang terkait Lazarus. - Ethereum mengalami block reorg; THORChain mencatat masalah di mana setoran 10 ETH diberikan refund ganda. - Penangguhan darurat jaringan telah dipicu. - Perdagangan saat ini dihentikan di 12 dari 13 rantai yang didukung di antarmuka. - hingga kini di frontend resmi, masih 9 rantai dihentikan. - Belum ada pernyataan resmi di X.
Tether dan Circle hanya memiliki fungsi blacklist. Synthetix memiliki backdoor admin "transferFrom dari dompet siapa pun tanpa persetujuan". Mereka tidak hanya membekukan 8,41 juta SNX—protocolDAO secara paksa menarik token dari alamat peretas ke multisig mereka. Mengatakan "fuck Kim Jong Un" sambil membuktikan bahwa pemegang SNX tidak memiliki kendali atas token mereka adalah puncak Web3. "Bukan kunci Anda, bukan kripto Anda"—kecuali jika Anda memegang SNX, di mana protocolDAO bisa secara jarak jauh menyita saldo Anda kapan saja. Lazarus menghabiskan $0,92 dalam gas untuk mencurinya; Synthetix menggunakan satu panggilan multisig untuk menunjukkan bahwa desentralisasi adalah ilusi. Saya bingung tentang etos kripto yang sebenarnya.
Aave sedang bergegas menetapkan LTV menjadi 0 untuk USDT, USDC, dan altcoin utama karena mereka tahu persis apa yang akan dilakukan Lazarus selanjutnya: melakukan setoran $2 miliar dalam stablecoin yang segera dibekukan sebagai jaminan, meminjam seluruh ETH asli dan WBTC yang bersih, dan meninggalkan kolam pinjaman dengan utang buruk yang tidak dapat dibekukan. Money Legos berubah menjadi mode lockdown darurat dengan sangat cepat. "Keuangan tanpa izin" hingga kelompok APT mencuri miliaran dolar dan protokol pinjaman teratas harus mematikan jaminan untuk separuh pasar melalui multisig darurat. Menetapkan LTV menjadi nol adalah manajemen risiko yang cerdas, tetapi juga membuktikan sekali lagi bahwa DeFi hanya berfungsi ketika semua orang berperilaku baik.
Menguras $370 juta dalam ETH asli dan 63 token ERC-20 terpisah dalam satu transaksi atomik. Biaya gas total? $0,92. - Tidak ada panggilan `approve`—mengeksekusi `transfer()` langsung di dalam konteks dompet panas sendiri. - `staticcall` + isolasi kesalahan `continue` agar satu token yang diblokir tidak merusak seluruh batch $6 miliar. - Meninggalkan tepat 1 ETH agar antrian dompet panas tidak mengalami kesalahan terlalu dini. - Semua dieksekusi dalam satu blok dengan biaya kurang dari satu dolar. Rekayasa yang didukung negara membuat optimasi kontrak pintar ritel terlihat seperti masa pemula. Lazarus menulis kode routing yang lebih bersih dan lebih efisien secara gas dalam kontrak sweeper mereka daripada 99% protokol DeFi di CoinMarketCap. Efisiensi yang luar biasa.
Ini hanya akan menjadi lebih besar. $1,5 miliar adalah batas tertinggi kemarin; $6,3 miliar adalah batas tertinggi hari ini. Likuiditas kripto terpusat ke beberapa kolam besar, sementara permukaan serangan tetap berupa laptop seorang insinyur DevOps di rumah. Kami menghabiskan 10 tahun menambahkan kompleksitas protokol, EIP AA, dan wrapper lintas-rantai, tetapi lawan kami adalah unit APT yang didanai negara dengan kesabaran dan sumber daya tak terbatas. Ketika sebuah negara-bangsa bisa mendapatkan $3 miliar lebih dalam kripto asli yang likuid dari kompromi satu pekerja jarak jauh, $6 miliar adalah dasar baru. Siklus berikutnya akan memiliki laporan pasca-insiden angka sebelas digit; $10 miliar sudah antri.