Я только что придумал новую модель безопасности, которая может предотвратить инциденты, подобные утечкам на других биржах — оставил записку для документации. Пока проверяю идею с помощью ИИ, и если всё выглядит нормально, возможно, я обращусь за консультацией к некоторым людям.

Предупреждение о безопасности BTCPay Server

Binance постепенно начинает выводы, и, судя по всему, они полагают, что внутри система безопасна и активы не могут быть похищены в результате дальнейших атак. Однако подробности атаки, причины и текущие меры безопасности еще не были объявлены.

Обновление #3 о инциденте с безопасностью Binance было выпущено, но в нем не указано, как именно произошло нападение, только информация о возврате средств и т.п.

Если средства выводятся с биржи, достаточно ли того, что средства пользователей будут полностью компенсированы? Деньги, украденные с Binance, могут превратиться в северокорейские ракеты. Поэтому этот инцидент с утечкой около 1 триллиона иен (около 6,3 млрд долларов США) имеет отношение даже к тем, кто не владеет ни копейкой криптовалюты. ФБР США однозначно приписывает это происшествие Северной Корее. Правительства Японии, США и Южной Кореи ранее уже указывали, что кражи криптовалют служат источником финансирования ядерной и ракетной программы Северной Кореи. Даже если Binance полностью компенсирует убытки, активы пользователей будут защищены. Однако деньги на компенсацию выделяет сама Binance. Деньги, украденные Северной Кореей, от этого не уменьшаются ни на копейку. Согласно заявлению Binance, на 30 октября удалось заморозить примерно половину украденной суммы. В то же время ФБР уже подтвердило, что преступники обменяли украденные активы на эфир (ETH), и запросило у операторов остановку соответствующих транзакций. Важно отслеживать не только то, сколько средств удалось компенсировать пользователям, но и сколько средств удалось остановить до того, как они попали в руки Северной Кореи, а также сколько из них реально удалось вернуть. Для Японии это вопрос национальной безопасности.

Бинанс внедрил что-то вроде движка политик Fireblocks? На данный момент кажется, что такого нет, но доказательств нет.

Кастодиальная служба Google Лично мне это кажется невероятным попутным ветром, я слишком рад

В крейте Rust для криптографических вычислений crypto-bigint обнаружена уязвимость (RUSTSEC-2026-0387), которая может привести к атакам по временным каналам (side-channel attacks). Вместо простого совета «обновитесь, и всё решится», стоит отметить, что данная уязвимость напрямую затрагивает продукты, использующие основные стеки Web3/EVM, такие как Alloy. Поэтому мы делимся анализом ситуации и предупреждением. 1. Обзор уязвимости Целевой крейт: crypto-bigint (библиотека для фиксированноразмерных операций с большими целыми числами) Проблема: Внутренние операции, такие как вычитание и умножение по Монтгомери, из-за оптимизаций компилятора могут приводить к условным ветвлениям, вызывающим зависимость времени выполнения от входных данных. Риск: Злоумышленник может точно измерять время выполнения с точностью до милли- или микросекунд и на этой основе восстанавливать или предсказывать конфиденциальные данные, такие как закрытые ключи (атака по временному каналу). 2. Почему нельзя сразу обновиться? Хотя для crypto-bigint уже выпущена исправленная версия (v0.7.6), многие проекты застревают из-за цепочек зависимостей в верхних уровнях. Популярный в среде EVM/Ethereum крейт alloy зависит от криптографического крейта k256 v0.13. Однако на данный момент k256 v0.13 ещё не обновлён для поддержки crypto-bigint v0.7.6 (или ожидает релиза). Следовательно, простое выполнение cargo update не решает проблему — из-за блокировки зависимостей остаются устаревшие версии. 3. Дальнейшие действия и проверки Визуализация влияния: Сначала выполните cargo tree -i crypto-bigint или cargo audit, чтобы определить, по каким путям (например, alloy -> k256) уязвимая зависимость попала в ваш проект. Мониторинг обновлений верхних уровней: Следите за PR-запросами на обновление k256 и alloy, направленными на поддержку новой версии crypto-bigint. Рассмотрение обходных решений: Если срочное реагирование необходимо, проверьте возможность принудительной замены зависимостей через [patch.crates-io] в Cargo.toml. Ожидается некоторая задержка до полного распространения исправлений по всей экосистеме Rust/Web3. Пользователям, эксплуатирующим указанные стеки, настоятельно рекомендуется отслеживать поведение своих деревьев зависимостей. ▼ RustSec Advisory: https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術

Многие, вероятно, задают ИИ вопросы о блокчейне, но вот моё текущее впечатление: • Объем знаний поразительный • Скорость исследования невероятная • По сравнению с результатами людей, которым я раньше поручал работу, уровень интеллекта, похоже, соответствует уровню аспиранта • Отличный собеседник для дискуссий Однако: • Нет профессиональных знаний • Естественно, нет знаний об отрасли, которых нет в интернете • Уровень интеллекта выше аспирантского отсутствует Поэтому при каждом вопросе возникают ошибки или упускаемые моменты — нужно постоянно их исправлять. Это мое текущее впечатление, полученное с использованием платной подписки и последней модели. Возможно, моя формулировка запросов или способ использования неидеальны.

Я предполагаю, что политики с трудом принимают политические решения, которые могут навредить другим политическим деятелям, но если это начнут делать многие, возможно, это изменится.