Keystone, sebuah syarikat penghasil dompet sejuk, mengesahkan bahawa data pelanggan bocor daripada kedai dalam talian Shopify, termasuk nama penuh, maklumat hubungan, alamat penghantaran, dan butiran pesanan. Keystone mengesan insiden tersebut pada 20/10 dan mengesahkan bahawa data telah diakses secara tidak sah pada 23/10. Semasa ini, syarikat telah menghalang akses, membaiki lubang keamanan, dan menghubungi pelanggan yang terkesan, tetapi belum mengumumkan bilangan individu yang terkesan. Beberapa pelanggan melaporkan bahawa data daripada pesanan yang berlaku lebih daripada 180 hari lalu, bahkan sejak tahun 2024, masih bocor, walaupun Keystone sebelum ini menjanjikan untuk memadamkan maklumat penghantaran selepas maksimum 180 hari. Syarikat belum mengumumkan penjelasan mengenai isu ini.

11 patah kata ingatan, 179 direktori peranti, DarkSword hanya memerlukan anda membuka satu laman web untuk mencuri koin anda Syarikat pemetaan aset maya Censys mengeluarkan laporan pada 7 Oktober, mengesahkan bahawa kit eksploitasi kelemahan iOS, DarkSword, masih menyerang dompet kripto. Mangsa tidak perlu memuat turun apa-apa, hanya perlu membuka laman web yang telah dipersiapkan. Rantaian serangan bermula dengan mendapatkan eksekusi kod melalui WebKit dan JavaScriptCore, melarikan diri dari kotak pasir browser, menaikkan kuasa ke kernel, dan akhirnya menyuntik SpringBoard—proses sistem yang menguruskan pelancaran aplikasi dan skrin utama. Selepas penyuntikan, 18 modul dompet bertindak—satu modul untuk setiap dompet—dan akan disuntik segera apabila aplikasi sasaran dilancarkan, menargetkan MetaMask, Phantom, Trust Wallet, imToken dan sebagainya. Alat ini beroperasi seperti perniagaan. Panel kawalan menyimpan senarai 75 akaun, setiap akaun dilengkapi dengan kadar komisen dan kuota peranti, dengan agen masing-masing mempunyai saluran pengedaran sendiri, serta senarai putih perintah melebihi 60 perintah, dengan setiap perintah memerlukan pengesahan dua kali.

Dompet peranti keras boleh melindungi kunci anda, tetapi bukan data peribadi yang berkaitan dengan pembeliannya. Nama dan alamat boleh memicu serangan phising yang meyakinkan. Peminyakan data juga penting. @Pegasusswap membawa mindset utama privasi kepada pertukaran kripto tanpa pengurusan tanpa KYC.

SITUASI TERDETEKSI: Selepas serangan siber besar-besaran terhadap GMO Internet Group Jepun, yang menyebabkan perdagangan penipuan melintasi 70+ broker dan platform FX, CEO Masatoshi Kumagai memperingatkan bahawa internet itu sendiri berada di ambang kegagalan.

Pelanggan Foundation, pembuat dompet keras Passport, melaporkan e-mel penipuan pada 26 Oktober yang mengandungi nama, alamat, dan nombor telefon mereka. Satu daripadanya adalah notis tarikan balik palsu yang mendesak. Sebuah balasan sokongan yang dibahagikan oleh seorang pelanggan menyalahkan kekunci API Cloudflare yang telah disusupi, yang kini telah dicabut. Namun, data yang telah disalin masih berguna kepada penipu. Pencurian memerlukan pengguna untuk mengungkapkan kata-kata benih atau mengesahkan transaksi yang buruk. Sumber data dan bilangan pembeli yang terjejas tidak disahkan.

Sejak postingan @zachxbt ini: • Coldcard - dompet keras Bitcoin, telah diretas sebanyak $40 juta. • Trezor - salah satu dompet dingin terbesar, mengalami kebocoran data besar-besaran. • SafePal - salah satu dompet dingin terbesar, mengalami kebocoran data besar-besaran. • Ledger - dompet dingin terbesar, dieksploitasi sebanyak $86 juta melalui penjual reseller pihak ketiga. • Keystone - salah satu dompet dingin terbesar, mengalami kebocoran data besar-besaran. Ini sudah selesai.

Fishing passport yang dilacak kembali kepada kekunci API Cloudflare yang telah disusupi. Belum ada angka kerugian yang dikaitkan dengannya, jadi persepsi pasaran masih lemah. Apa yang berlaku: permukaan serangan pada lapisan identiti dan kredensial masih terbuka luas, dan Cloudflare berada di bawah sebahagian besar infrastruktur depan kripto. Jika kekunci API di sana disusupi, anda bukan mengeksploitasi kontrak, tetapi masuk melalui pintu yang dibiarkan terbuka oleh pasukan. Dari segi penempatan, ini hampir tidak memberi kesan pada harga. Gitcoin Passport bukan aset cair yang boleh anda ambil posisi, jadi tiada perdagangan di sini. Satu-satunya perkara yang saya benar-benar perhatikan ialah sama ada data pengguna yang telah disahkan disentuh atau tidak, kerana ia akan mengalihkan cerita ini dari kebersihan infrastruktur ke wilayah pematuhan bagi projek-projek yang bergantung pada Passport untuk menangkis sybil. Sehingga nombor kerugian atau pelanggaran peringkat protokol muncul, anggap ia sebagai cerita operasi. Ia sama ada terkawal atau masih dalam proses pengiraan.