🚨 Peringatan Keamanan | Pengguna Ledger Melaporkan Dugaan Pencurian Dompet Melebihi $86 Juta 💸 Pada 9 Oktober, sejumlah pengguna perangkat keras Ledger di Asia Tenggara melaporkan transfer aset tidak sah yang melibatkan perangkat yang dibeli melalui CryptoBilis, sebuah pengecer Ledger. Investigasi publik di blockchain memperkirakan lebih dari $86 juta mungkin telah dicuri di berbagai jaringan, termasuk bitcoin, ethereum, dan TRON. Ledger telah mengonfirmasi sedang melakukan investigasi dan meminta CryptoBilis untuk menghentikan penjualan serta pengiriman perangkat Ledger. Jumlah pasti pengguna yang terdampak dan total kerugian belum dikonfirmasi secara resmi. 🔍 Temuan Keamanan Utama Analisis di blockchain mengidentifikasi transfer aset terkoordinasi di berbagai blockchain. Beberapa dompet TRON mengirimkan persetujuan token hampir secara bersamaan, diikuti oleh penarikan cepat. Pola ini menunjukkan bahwa penyerang mungkin telah memperoleh kendali atas tanda tangan dari beberapa dompet. Titik awal kompromi masih belum jelas. Vektor serangan potensial termasuk manipulasi perangkat selama distribusi atau pengiriman, serta frasa pemulihan yang terkompromi. Namun, hingga kini tidak ada bukti konfirmasi adanya kerentanan yang dapat dieksploitasi pada firmware atau mekanisme keamanan perangkat keras Ledger. ⚠️ Rekomendasi Keamanan Ledger menyarankan pengguna yang membeli perangkat melalui CryptoBilis dalam 90 hari terakhir untuk mengambil tindakan pencegahan: Perangkat belum digunakan: Jangan inisialisasi atau gunakan hingga ada pemberitahuan lebih lanjut. Perangkat sudah diinisialisasi: Pertimbangkan untuk membuat frasa pemulihan baru di perangkat tepercaya dan mentransfer aset ke dompet baru sesegera mungkin. Keamanan frasa pemulihan: Jangan pernah memulihkan frasa pemulihan asli di perangkat baru atau membagikannya kepada siapa pun. ✍️ Pengingat Keamanan BitsLab: Keamanan hardware wallet bergantung pada seluruh siklus hidup, mulai dari generasi kunci pribadi, distribusi perangkat, hingga penggunaan sehari-hari. Jika frasa pemulihan kemungkinan telah terkompromi, mengganti hardware wallet atau menginstal ulang aplikasi dompet tidak akan menghilangkan risiko tersebut. Aset harus ditransfer ke dompet yang diamankan oleh frasa pemulihan yang baru dibuat. Investigasi sedang berlangsung. Vektor serangan yang tepat dan total kerugian masih belum dikonfirmasi. #SecurityAlert #Web3Security #Ledger
💸 Peg-out abnormal sebesar ~$320 juta dari Liquid Network mungkin sama sekali bukan insiden kompromi kunci utama. Pada 6 September, hampir 4.000 BTC ditarik dari dompet Liquid Federation. Namun menurut Liquid dan SideSwap, Kunci Otorisasi Peg-out (PAK) tidak dikompromikan, dan tidak ada kunci penandatanganan lain yang dicuri. 🔋 Yang membuat insiden ini lebih menarik adalah penarikan tetap melewati alur peg-out normal, dengan setidaknya 11/15 fungsionaris yang akhirnya menandatangani transaksi Bitcoin. 🛡️ Ini menunjukkan kegagalan mungkin bukan “penyerang mencuri kunci dan menandatangani penarikan,” tetapi lebih kepada suatu keadaan yang seharusnya tidak pernah dianggap valid diterima sebagai valid, setelah itu komponen-komponen selanjutnya menyelesaikan otorisasi dan penandatanganan sesuai aturan normal. 🖲️ SideSwap saat ini mengatakan masalah ini tampaknya berasal dari bug di Elements. Para white hat yang mengklaim dirinya sendiri telah berkomunikasi dengan Blockstream melalui pesan OP_RETURN dan mengatakan mereka akan mengembalikan “sebagian besar” BTC setelah perbaikan diterapkan di seluruh node. Poin Utama: jika setiap penandatangan memvalidasi keadaan cacat yang sama, bahkan kunci yang aman sempurna pun masih dapat menghasilkan hasil yang salah. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Insiden GEB Reflexer terbaru menyebabkan 5,94 ETH kolateral disedot akibat masalah kebingungan akses-kontrol dan konteks-pemanggilan. 💸 Kerugian tersebut relatif kecil, tetapi kelemahan arsitektural yang terungkap sangat relevan untuk sistem DeFi yang dibangun di sekitar kontrak proxy bersama. 👇
🚨 Peringatan Keamanan: RCE Backend Agen AI 🔍 Penyebab Utama: Konten eksternal yang dikendalikan penyerang memasuki alur kerja agen AI ritel, memungkinkan rantai serangan dari prompt injection tidak langsung → pengungkapan prompt/alat → RCE backend. 📌 Target: Asisten Belanja AI dari retailer teratas ketiga di AS 📌 Permukaan: Antarmuka seluler publik 📌 Peneliti: Netanel Rubin & Dan Avraham, Rein Security 📌 Pengungkapan: Black Hat USA 2026 Dampak: Tidak diperlukan akses istimewa — eksploit dapat dipicu melalui antarmuka yang sama yang digunakan oleh pembeli biasa. Keamanan agen AI kini melampaui manipulasi model. Prompt injection kini dapat menjadi jalur menuju kompromi backend nyata.
🛑BitsLab membangun infrastruktur keamanan berbasis AI untuk aset digital. Kami menyediakan audit kontrak pintar, pengujian penetrasi, verifikasi formal, dan deteksi risiko berbasis AI untuk tim Web3, protokol, dan perusahaan. ✅ Apa yang dapat Anda harapkan di sini: 🟠Peringatan Keamanan 🟢Analisis Eksploitasi 🟣Wawasan Audit 🟡Metodologi Keamanan Ekosistem: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Situs web: https://t.co/M56qRPzIf2 Ada topik keamanan Web3 yang ingin Anda lihat bahas? Beri tahu kami di komentar.🙌
🚨 Penelitian BitsLab: Satu email palsu cukup untuk merebut kendali agen nanobot. Tidak perlu klik. Tidak ada interaksi pengguna. Tidak ada akses sebelumnya. Kami telah mengungkap CVE-2026-33654 — Injeksi Prompt Tidak Langsung tanpa klik yang dihubungkan dengan Bypass Otentikasi di Saluran Email. Berikut cara kerjanya 🧵👇 https://t.co/3Fe6UxopCX
Balancer V2 telah menerapkan satu kontrak untuk menyimpan setiap token di setiap kolam. Sepertinya titik kegagalan tunggal. Namun, justru itulah alasan mengapa arbitrase lintas-kolam tidak memindahkan token apa pun, dan mengapa pinjaman kilat dapat mengakses seluruh likuiditas protokol. Thread tentang Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 Baru dari BitsLab Research Balancer V2 telah menerapkan satu kontrak untuk menyimpan setiap token di setiap kolam. Sepertinya ini titik kegagalan tunggal. Ternyata inilah alasannya: → Arbitrase lintas-kolam tidak memindahkan token sama sekali → Pinjaman kilat memanfaatkan likuiditas seluruh protokol → Pertukaran 2-token selesai dalam hanya SATU SSTORE Kami menghabiskan berminggu-minggu menganalisis kontrak Vault baris demi baris. Bagian 1 dari tinjauan mendalam 3-bagian Balancer V2 kami sudah tersedia — mencakup setiap trik gas, setiap pemeriksaan keamanan, dan kompromi yang tidak dibahas siapa pun (insiden Boosted Pool Agustus 2023 bukanlah kecelakaan arsitektur). Jika Anda sedang membangun protokol DeFi, melakukan audit, atau berinvestasi di dalamnya — ini layak 15 menit Anda. 📖 Baca Bagian 1 ↓ https://t.co/4ZHF2BoLUO Bagian 2 (matematika kolam) dan Bagian 3 (analisis pasca-kerentanan nyata) akan segera menyusul.