É realmente inusitado que escritórios de auditoria direcionem suas clientes privadas de auditoria com programas de recompensas por bugs. Na @cyfrin, fora dos contratos de auditoria privada, divulgamos bugs diretamente para nossos clientes de auditoria privada gratuitamente, sem expectativa de recompensa. Sempre fazendo o nosso melhor para proteger nossos clientes 🤝

Junho acabou de começar e já temos outro exploit 🤷‍♂️ • 99M $TSR foram supostamente cunhados e vendidos no mercado, fazendo o token cair 99%. • O atacante saiu com $2,5M, transferiu os fundos para o Ethereum e já começou a lavar $ETH por meio do Tornado Cash. Neste ponto, parece que os hackers estão tendo um mês melhor do que os traders.

🚨 Alerta de ataque à cadeia de suprimentos npm: pacotes do Red Hat Cloud Services foram massivamente envenenados A SlowMist detectou um ataque ativo à cadeia de suprimentos contra @redhat-cloud-services, afetando mais de 31 pacotes npm, com mais de 116 mil downloads semanais, e envolvendo vazamentos de credenciais de mais de 300 repositórios GitHub. A técnica de ataque é altamente semelhante à atividade anterior Shai-Hulud, propagando-se principalmente por roubo de credenciais, criação de repositórios maliciosos e vazamento automático de segredos. Desenvolvedores podem enfrentar riscos de roubo de tokens GitHub/npm, credenciais de nuvem AWS/GCP/Azure, chaves SSH e dados de carteiras. Recomenda-se imediatamente fazer downgrade ou remover as versões afetadas dos pacotes, realizar uma auditoria completa dos fluxos CI/CD, rotacionar todas as chaves relacionadas e reconstruir ambientes de desenvolvimento a partir de imagens limpas.

Os US$ 220 milhões roubados do Kelp DAO quase foram totalmente lavados; o rastreamento na cadeia é inútil diante do THORChain, Wasabi e Tornado Cash. Este não é um caso isolado — a Radiant Capital acabou de encerrar operações após um ataque de US$ 50 milhões, e a vulnerabilidade do Gnosis Pay ainda está se desenvolvendo. O livro-razão de confiança das pontes cross-chain está sendo reescrito repetidamente. Os hackers usaram o THORChain para transferir US$ 1,75 bilhão em ETH para o Bitcoin, depois misturaram e dividiram os fundos, elevando o volume diário do THORChain para US$ 394 milhões. Ferramentas de privacidade não são novidade, mas essa escala expõe um problema estrutural: quanto mais próspera a liquidez cross-chain, mais maduros se tornam os canais de lavagem de dinheiro dos hackers. Os US$ 71 milhões em ETH congelados estão agora envolvidos em uma controvérsia legal — familiares das vítimas da Coreia do Norte buscam apreendê-los como compensação. Sob uma ordem judicial, ainda é incerto se esses fundos poderão ser recuperados. A suposição de segurança no DeFi está deslizando de “código é lei” para “lei é a última linha de defesa”. Para o mercado, isso não é uma história de “má notícia já precificada”. Após cada ataque, os protocolos reforçam auditorias, mas os hackers também evoluem. O aumento do custo de confiança nas pontes cross-chain acabará se refletindo nas taxas de financiamento, no TVL e no comportamento dos usuários — você estaria disposto a colocar seus ativos em uma rede que pode ser perfurada por canais de lavagem de dinheiro? $btc #eth #defi #chaindata #ai

Nem todos os fracassos de DeFi começam com um hack. O Firelight cobrirá falhas técnicas e econômicas, incluindo dívidas ruins e impairments estruturais nas relações entre ativos de garantia e empréstimos. Cada reivindicação será respaldada por gatilhos claros e evidências verificáveis na blockchain.

O programa de bug bounty recebeu um alto volume de submissões desde o lançamento. Para dar a cada relatório a atenção que merece, estamos pausando novas submissões enquanto trabalhamos na fila. Compartilharemos uma atualização quando o programa for reaberto. Obrigado a todos que participaram até agora.