🚨 Awas Keselamatan | Pengguna Ledger Melaporkan Pencurian Dompet Diduga Melebihi $86J 💸 Pada 9 Oktober, beberapa pengguna dompet keras Ledger di Asia Tenggara melaporkan pindah aset tanpa kebenaran yang melibatkan peranti yang dibeli melalui CryptoBilis, seorang perantara Ledger. Penyelidikan awam di atas blok rantai menganggarkan bahawa lebih daripada $86 juta mungkin telah dicuri merentas pelbagai rangkaian, termasuk bitcoin, ethereum, dan TRON. Ledger telah mengesahkan penyelidikan sedang berlangsung dan meminta CryptoBilis menghentikan jualan dan penghantaran peranti Ledger. Jumlah tepat pengguna yang terjejas dan jumlah kerugian belum disahkan rasmi. 🔍 Temuan Keselamatan Utama Analisis di atas blok rantai mengenal pasti pindah aset yang diselaraskan merentas pelbagai blok rantai. Beberapa dompet TRON menghantar persetujuan token hampir serentak, diikuti oleh penarikan pantas. Pola ini menunjukkan bahawa penyerang mungkin telah mendapat kawalan penandatanganan atas pelbagai dompet. Pencemaran awal masih tidak jelas. Vektor serangan yang berpotensi termasuk pengubahsuaian peranti semasa pengagihan atau penghantaran, serta frasa pemulihan yang terjejas. Namun, pada masa ini tiada bukti sah mengenai kelemahan yang boleh dieksploitasi dalam firmware atau mekanisme keselamatan peranti Ledger. ⚠️ Cadangan Keselamatan Ledger menasihatkan pengguna yang membeli peranti melalui CryptoBilis dalam tempoh 90 hari terakhir untuk mengambil langkah berjaga-jaga: Peranti belum digunakan: Jangan inisialisasi atau gunakan sehingga notis lanjut. Peranti sudah diinisialisasi: Pertimbangkan untuk menghasilkan frasa pemulihan baru pada peranti tepercaya dan memindahkan aset ke dompet baru secepat mungkin. Keselamatan frasa pemulihan: Jangan pernah memulihkan frasa pemulihan asal pada peranti baru atau berkongsi ia dengan sesiapa. ✍️ Ingatan Keselamatan BitsLab: Keselamatan dompet keras bergantung kepada keseluruhan kitaran hidup, dari penghasilan kunci persendirian dan pengagihan peranti hingga penggunaan harian. Jika frasa pemulihan mungkin telah terjejas, menggantikan dompet keras atau memasang semula aplikasi dompet tidak akan menghilangkan risiko. Aset harus dipindahkan ke dompet yang dilindungi oleh frasa pemulihan yang dihasilkan semula. Penyelidikan masih berterusan. Vektor serangan tepat dan jumlah kerugian masih tidak disahkan. #SecurityAlert #Web3Security #Ledger
💸 Peg-out tidak normal sebanyak ~$320 juta dari Jaringan Liquid mungkin sama sekali bukan kesalahan kompromi kunci. Pada 6 Sep, hampir 4,000 BTC ditarik dari dompet Liquid Federation. Namun, menurut Liquid dan SideSwap, Kunci Otorisasi Peg-out (PAK) tidak dikompromikan, dan tiada kunci penandatanganan lain yang dicuri. 🔋 Apa yang membuat insiden ini lebih menarik ialah penarikan tersebut tetap melalui aliran peg-out biasa, dengan sekurang-kurangnya 11/15 fungionari yang akhirnya menandatangani transaksi Bitcoin. 🛡️ Ini menunjukkan kegagalan mungkin bukan “penyerang mencuri kunci dan menandatangani penarikan”, tetapi sebaliknya, suatu keadaan yang sepatutnya tidak pernah dianggap sah diterima sebagai sah, setelah itu komponen seterusnya menyelesaikan otorisasi dan penandatanganan mengikut peraturan biasa. 🖲️ SideSwap kini menyatakan isu ini kelihatannya berasal daripada ralat dalam Elements. Para penjaga putih yang menggambarkan diri mereka sendiri telah berkomunikasi dengan Blockstream melalui mesej OP_RETURN dan mengatakan mereka akan mengembalikan “sebahagian besar” BTC selepas pembaikan dilaksanakan di semua nod. Kesimpulan Utama: jika setiap penandatangan mengesahkan keadaan yang cacat yang sama, kunci yang selamat sepenuhnya masih boleh menghasilkan hasil yang salah. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Insiden GEB Reflexer baru-baru ini menyebabkan 5.94 ETH jaminan dicuri akibat masalah kekeliruan kawalan akses dan konteks panggilan. 💸 Kerugian tersebut relatif kecil, tetapi kelemahan reka bentuk yang terdedah sangat relevan kepada sistem DeFi yang dibina berdasarkan kontrak proxy bersama. 👇
🚨 Awas Keselamatan: RCE Latar Belakang Agen AI 🔍 Punca Utama: Kandungan luaran yang dikawal penyerang memasuki alur kerja agen AI eceran, membolehkan rantai serangan daripada suntikan arahan tidak langsung → pengungkapan arahan/alat → RCE latar belakang. 📌 Sasaran: Asisten Belian AI pengecer teratas AS 📌 Permukaan: Antaramuka mudah alih awam 📌 Penyelidik: Netanel Rubin & Dan Avraham, Rein Security 📌 Pengungkapan: Black Hat USA 2026 Kesan: Tiada akses istimewa diperlukan — eksploit boleh dipicu melalui antaramuka yang sama yang digunakan oleh pembeli biasa. Keselamatan agen AI bergerak melampaui manipulasi model. Suntikan arahan kini boleh menjadi jalan kepada kompromi latar belakang sebenar.
🛑BitsLab membina infrastruktur keselamatan berasaskan AI untuk aset digital. Kami menyediakan audit kontrak pintar, pengujian penetrasi, pengesahan formal, dan pengesanan risiko berasaskan AI untuk pasukan Web3, protokol, dan perusahaan.✅ Apa yang anda harapkan di sini: 🟠Amaran Keselamatan 🟢Analisis Eksploit 🟣Wawasan Audit 🟡Metodologi Keselamatan Ekosistem: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Laman web: https://t.co/M56qRPzIf2 Ada topik keselamatan Web3 yang ingin anda lihat kami kupas? Beritahu kami di ruangan komen.🙌
🚨 Penyelidikan BitsLab: Satu e-mel palsu sahaja cukup untuk mengambil alih agen nanobot. Tiada klik. Tiada interaksi pengguna. Tiada akses sebelumnya. Kami telah mengungkap CVE-2026-33654 — Injeksi Prompt Tak Langsung tanpa klik yang dihubungkan dengan Langkah Pengecualian Autentikasi dalam Saluran E-mel. Begini cara ia berfungsi 🧵👇 https://t.co/3Fe6UxopCX
Balancer V2 telah melancarkan satu kontrak untuk menyimpan setiap token di setiap kolam. Kelihatan seperti titik kegagalan tunggal. Sebenarnya, inilah sebabnya mengapa arbitrage antar-kolam tidak menggerakkan token apa pun, dan mengapa pinjaman kilat boleh mengakses likuiditi keseluruhan protokol. Talian tentang Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 Baru dari BitsLab Research Balancer V2 telah melancarkan satu kontrak tunggal untuk menyimpan setiap token di setiap kolam. Kelihatan seperti titik kegagalan tunggal. Namun, inilah sebabnya: → Arbitrasi antar-kolam tidak memindahkan token apa pun → Pinjaman kilat mengakses likuiditi keseluruhan protokol → Pertukaran 2-token selesai dalam hanya SATU SSTORE Kami menghabiskan berminggu-minggu mengkaji kontrak Vault baris demi baris. Bahagian 1 daripada analisis mendalam 3-bahagian Balancer V2 kami kini telah tersedia — merangkumi semua trik gas, semua semakan keselamatan, dan kompromi yang tiada siapa bincangkan (insiden Boosted Pool Ogos 2023 bukanlah kecelakaan reka bentuk). Jika anda membina protokol DeFi, mengauditnya, atau berinvestasi di dalamnya — ini patut diambil 15 minit. 📖 Baca Bahagian 1 ↓ https://t.co/4ZHF2BoLUO Bahagian 2 (matematik kolam) dan Bahagian 3 (ulasan pasca-kelemahan sebenar) akan datang seterusnya.