💧Безопасность Sui Move: почему устаревшие пакеты всё ещё могут подвергать риску общие объекты после обновления?

🚨 Предупреждение о безопасности | Пользователи Ledger сообщили о подозреваемом краже кошельков на сумму более 86 млн долларов 💸 9 октября несколько пользователей аппаратных кошельков Ledger в Юго-Восточной Азии сообщили о несанкционированных переводах активов, связанных с устройствами, приобретенными через CryptoBilis — реселлера Ledger. Публичные анализы в блокчейне оценивают, что более 86 млн долларов могли быть украдены на нескольких сетях, включая bitcoin, ethereum и TRON. Ledger подтвердил, что расследование продолжается, и запросил у CryptoBilis приостановить продажи и отправки устройств Ledger. Точное количество пострадавших пользователей и общая сумма потерь пока официально не подтверждены. 🔍 Основные результаты расследования Анализ в блокчейне выявил скоординированные переводы активов через несколько блокчейнов. Несколько кошельков TRON почти одновременно предоставили разрешения на токены, после чего последовали быстрые выводы. Этот паттерн указывает на то, что злоумышленник, возможно, получил контроль над подписью нескольких кошельков. Источник первоначального компрометирования остается неясным. Возможные векторы атаки включают вмешательство в устройство во время доставки или распределения, а также компрометацию восстановительной фразы. Однако на данный момент нет подтвержденных доказательств уязвимости в прошивке или механизмах аппаратной безопасности Ledger. ⚠️ Рекомендации по безопасности Ledger рекомендует пользователям, приобретшим устройства через CryptoBilis за последние 90 дней, принять меры предосторожности: Незадействованные устройства: Не инициализируйте и не используйте их до дальнейшего уведомления. Уже настроенные устройства: Рассмотрите возможность создания новой восстановительной фразы на надежном устройстве и перевода активов в новый кошелек как можно скорее. Безопасность восстановительной фразы: Никогда не восстанавливайте исходную восстановительную фразу на новом устройстве и не передавайте ее никому. ✍️ Напоминание от BitsLab Security: Безопасность аппаратного кошелька зависит от всего жизненного цикла — от генерации закрытого ключа и распределения устройства до повседневного использования. Если восстановительная фраза могла быть скомпрометирована, замена аппаратного кошелька или переустановка приложения кошелька не устранят риск. Активы следует перевести в кошелек, защищенный новой восстановительной фразой. Расследование продолжается. Точный вектор атаки и общая сумма потерь пока не подтверждены. #SecurityAlert #Web3Security #Ledger

💸 Аномальный вывод ~320 млн долларов США из Liquid Network, возможно, вовсе не был инцидентом компрометации ключей. 6 сентября из кошелька Liquid Federation было выведено почти 4 000 BTC. Однако, согласно данным Liquid и SideSwap, ключ авторизации вывода (PAK) не был скомпрометирован, и другие ключи подписи не были украдены. 🔋 Что делает этот инцидент еще более интересным, так это то, что вывод прошел через стандартный процесс вывода, причем как минимум 11 из 15 функционеров в итоге подписали транзакцию bitcoin. 🛡️ Это предполагает, что сбой мог заключаться не в том, что «злоумышленник украл ключ и подписал вывод», а в том, что состояние, которое никогда не должно было считаться действительным, было принято как действительное, после чего последующие компоненты завершили авторизацию и подпись в соответствии с обычными правилами. 🖲️ SideSwap в настоящее время утверждает, что проблема, по всей видимости, возникла из-за бага в Elements. Самопровозглашенные «белые шляпы» уже связались с Blockstream через сообщения OP_RETURN и заявили, что вернут «большинство» BTC после развертывания исправления на всех нодах. Главный вывод: если каждый участник проверяет один и тот же дефектный статус, даже абсолютно безопасные ключи могут привести к неправильному результату. #Bitcoin #LiquidNetwork #Web3Security

1/4 🚨 Недавний инцидент с Reflexer GEB привёл к выводу 5,94 ETH в качестве залога из-за проблемы с контролем доступа и путаницей в контексте вызова. 💸 Потери были относительно небольшими, но выявленный архитектурный недостаток имеет большое значение для DeFi-систем, построенных на основе общих прокси-контрактов. 👇

🚨 Предупреждение о безопасности: Удаленное выполнение кода на бэкенде AI-агента 🔍 Причина: Злоумышленником контролируемый внешний контент был введен в рабочий процесс розничного AI-агента, что позволило реализовать цепочку атаки: косвенная инъекция промпта → раскрытие промпта/инструмента → удаленное выполнение кода на бэкенде. 📌 Цель: AI-помощник по покупкам одного из топ-3 ритейлеров США 📌 Поверхность атаки: Публичный мобильный интерфейс 📌 Исследователи: Нетанэль Рубин и Дан Авраам, Rein Security 📌 Раскрытие: Black Hat USA 2026 Влияние: Для эксплуатации не требовалось привилегированного доступа — атака могла быть запущена через тот же интерфейс, который используют обычные покупатели. Безопасность AI-агентов выходит за рамки манипуляций с моделью. Инъекция промпта теперь может стать путем к реальной компрометации бэкенда.

🛑BitsLab создает инфраструктуру безопасности на основе ИИ для цифровых активов. Мы предоставляем аудит смарт-контрактов, пентестинг, формальную верификацию и обнаружение рисков на основе ИИ для команд, протоколов и предприятий Web3.✅ Что вас ждет здесь: 🟠Предупреждение о безопасности 🟢Разбор уязвимости 🟣Инсайт из аудита 🟡Методология безопасности Экосистема: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Сайт: https://t.co/M56qRPzIf2 Есть тема безопасности Web3, которую вы хотели бы, чтобы мы рассмотрели? Напишите нам в комментариях.🙌

🚨 Исследование BitsLab: Одной поддельной электронной почты достаточно, чтобы захватить агента нанобота. Нет кликов. Нет взаимодействия с пользователем. Нет предварительного доступа. Мы раскрыли CVE-2026-33654 — нулевой клик косвенной инъекции запроса, связанной с обходом аутентификации в канале электронной почты. Вот как это работает 🧵👇 https://t.co/3Fe6UxopCX

Balancer V2 развернул один контракт для хранения всех токенов во всех пулах. Выглядит как единственная точка отказа. На самом деле, именно поэтому кросс-пуловый арбитраж не перемещает токены и почему флеш-займ может получить доступ ко всей ликвидности протокола. Тред о Vault 🧵👇 https://t.co/Vj4Dn7mmbQ

🔬 Новое от BitsLab Research Balancer V2 развернул один контракт для хранения всех токенов во всех пулах. Выглядит как единственная точка отказа. На самом деле, именно поэтому: → Кросс-пуловый арбитраж перемещает ноль токенов → Флеш-кредиты используют ликвидность всего протокола → Обмен двух токенов завершается всего за ОДИН SSTORE Мы потратили недели на разбор контракта Vault построчно. Первая часть нашей трехчастной глубокой аналитики Balancer V2 уже доступна — охватывает все газовые трюки, все проверки безопасности и компромисс, о котором никто не говорит (инцидент с Boosted Pool в августе 2023 года не был случайностью архитектуры). Если вы создаете DeFi-протокол, проводите аудит или инвестируете в него — это стоит 15 минут вашего времени. 📖 Читайте Часть 1 ↓ https://t.co/4ZHF2BoLUO Часть 2 (математика пулов) и Часть 3 (постмортемы реальных уязвимостей) — следуют вскоре.