🚨 Alerta de Segurança | Usuários do Ledger relatam suspeita de roubo de carteira superior a US$ 86 milhões 💸 Em 9 de outubro, vários usuários de carteiras hardware Ledger na Sudeste Asiática relataram transferências não autorizadas de ativos envolvendo dispositivos adquiridos por meio da CryptoBilis, um revendedor da Ledger. Investigações públicas na blockchain estimam que mais de US$ 86 milhões podem ter sido roubados em múltiplas redes, incluindo Bitcoin, Ethereum e TRON. A Ledger confirmou uma investigação em andamento e solicitou que a CryptoBilis suspenda as vendas e envios de dispositivos Ledger. O número exato de usuários afetados e os prejuízos totais ainda não foram oficialmente confirmados. 🔍 Principais Descobertas de Segurança A análise na blockchain identificou transferências coordenadas de ativos em múltiplas blockchains. Várias carteiras TRON enviaram aprovações de tokens quase simultaneamente, seguidas por retiradas rápidas. Esse padrão sugere que o atacante pode ter obtido controle de assinatura sobre múltiplas carteiras. A origem da violação permanece incerta. Possíveis vetores de ataque incluem manipulação do dispositivo durante a distribuição ou entrega e frases de recuperação comprometidas. No entanto, atualmente não há evidência confirmada de vulnerabilidade explorável nos mecanismos de segurança de firmware ou hardware da Ledger. ⚠️ Recomendações de Segurança A Ledger aconselha os usuários que compraram dispositivos pela CryptoBilis nos últimos 90 dias a tomar precauções: Dispositivos não utilizados: Não inicialize nem os use até novo aviso. Dispositivos inicializados: Considere gerar uma nova frase de recuperação em um dispositivo confiável e transferir os ativos para uma nova carteira o mais rápido possível. Segurança da frase de recuperação: Nunca restaure a frase de recuperação original no novo dispositivo nem compartilhe-a com ninguém. ✍️ Lembrete de Segurança da BitsLab: A segurança da carteira hardware depende de todo o ciclo de vida, desde a geração da chave privada e a distribuição do dispositivo até o uso cotidiano. Se a frase de recuperação puder ter sido comprometida, substituir a carteira hardware ou reinstalar o aplicativo da carteira não eliminará o risco. Os ativos devem ser transferidos para uma carteira protegida por uma frase de recuperação recém-gerada. A investigação está em andamento. O vetor exato do ataque e os prejuízos totais permanecem não confirmados. #SecurityAlert #Web3Security #Ledger
💸 A saída anormal de cerca de US$ 320 milhões da Liquid Network pode não ter sido, de fato, um incidente de comprometimento de chave. Em 6 de setembro, quase 4.000 BTC foram retirados da carteira da Liquid Federation. Mas, segundo a Liquid e a SideSwap, a Chave de Autorização de Peg-out (PAK) não foi comprometida, e nenhuma outra chave de assinatura foi roubada. 🔋 O que torna esse incidente mais interessante é que a retirada ainda passou pelo fluxo normal de peg-out, com pelo menos 11/15 funcionários assinando finalmente a transação em Bitcoin. 🛡️ Isso sugere que a falha pode não ter sido “o atacante roubou uma chave e assinou a retirada”, mas sim que um estado que nunca deveria ter sido considerado válido foi aceito como válido, após o que componentes downstream completaram a autorização e assinatura conforme regras normais. 🖲️ A SideSwap atualmente afirma que o problema parece originar-se de um bug no Elements. Os chamados “white hats” comunicaram-se posteriormente com a Blockstream por meio de mensagens OP_RETURN e disseram que devolverão “a maioria” dos BTC após a correção ser implantada em todos os nodes. Conclusão principal: se todos os signatários estiverem validando o mesmo estado falho, mesmo chaves perfeitamente seguras podem produzir o resultado errado. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Um incidente recente do Reflexer GEB resultou na retirada de 5,94 ETH de garantia devido a um problema de confusão de controle de acesso e contexto de chamada. 💸 O prejuízo foi relativamente pequeno, mas a falha arquitetural exposta é altamente relevante para sistemas DeFi construídos em torno de contratos proxy compartilhados. 👇
🚨 Alerta de Segurança: RCE no Backend do Agente de IA 🔍 Causa Raiz: Conteúdo externo controlado pelo atacante entrou no fluxo de trabalho de um agente de IA varejista, permitindo uma cadeia de ataque desde injeção indireta de prompt → divulgação de prompt/ferramenta → RCE no backend. 📌 Alvo: Assistente de Compras de IA de um dos 3 principais varejistas dos EUA 📌 Superfície: Interface móvel pública 📌 Pesquisadores: Netanel Rubin & Dan Avraham, Rein Security 📌 Divulgação: Black Hat USA 2026 Impacto: Nenhum acesso privilegiado foi necessário — a exploração poderia ser acionada através da mesma interface usada por compradores comuns. A segurança de agentes de IA está indo além da manipulação do modelo. A injeção de prompt agora pode se tornar um caminho para comprometimento real do backend.
🛑BitsLab constrói infraestrutura de segurança impulsionada por IA para ativos digitais. Oferecemos auditorias de contratos inteligentes, testes de penetração, verificação formal e detecção de riscos com IA para equipes, protocolos e empresas do Web3.✅ O que esperar aqui: 🟠Alerta de Segurança 🟢Análise de Exploração 🟣Insight de Auditoria 🟡Metodologia de Segurança Ecossistema: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Site: https://t.co/M56qRPzIf2 Tem um tema de segurança Web3 que gostaria que abordássemos? Nos avise nos comentários.🙌
🚨 Pesquisa BitsLab: Um único e-mail falsificado é suficiente para sequestrar um agente de nanobots. Sem cliques. Sem interação do usuário. Sem acesso prévio. Divulgamos o CVE-2026-33654 — uma Injeção Indireta de Prompt sem clique, encadeada com Bypass de Autenticação no Canal de E-mail. Aqui está como funciona 🧵👇 https://t.co/3Fe6UxopCX
Balancer V2 implantou um único contrato para armazenar todos os tokens em todos os pools. Parece um único ponto de falha. Na verdade, é por isso que o arbitragem entre pools não move nenhum token e por que um empréstimo flash pode acessar toda a liquidez do protocolo. Uma thread sobre o Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 Novidade da BitsLab Research Balancer V2 implantou um único contrato para armazenar todos os tokens em todos os pools. Parece um único ponto de falha. Na verdade, é exatamente por isso que: → O arbitragem entre pools não move nenhum token → Empréstimos flash acessam toda a liquidez do protocolo → Uma troca de 2 tokens é concluída em apenas UM SSTORE Passamos semanas analisando linha a linha o contrato Vault. A Parte 1 da nossa série de 3 partes sobre o Balancer V2 já está disponível — cobrindo todos os truques de gás, todas as verificações de segurança e o trade-off que ninguém menciona (o incidente do Boosted Pool de agosto de 2023 não foi um acidente de arquitetura). Se você está construindo um protocolo DeFi, auditando um ou investindo em um — este conteúdo vale 15 minutos. 📖 Leia a Parte 1 ↓ https://t.co/4ZHF2BoLUO A Parte 2 (matemática dos pools) e a Parte 3 (pós-mortem de vulnerabilidades reais) virão em seguida.