🚨 Попередження про безпеку | Користувачі Ledger повідомили про підозрюване викрадення гаманців на суму понад 86 млн $ 💸 9 жовтня кілька користувачів апаратних гаманців Ledger у Південно-Східній Азії повідомили про несанкціоновані перекази активів, що стосуються пристроїв, придбаних через CryptoBilis — резеллера Ledger. Публічні аналізи в блокчейні оцінюють, що понад 86 млн $ можуть бути викрадені на кількох мережах, включаючи bitcoin, ethereum та TRON. Ledger підтвердив, що розслідування триває, і попросив CryptoBilis призупинити продаж та відправлення пристроїв Ledger. Точна кількість постраждалих користувачів та загальний розмір збитків ще не підтверджено офіційно. 🔍 Основні результати безпеки Аналіз у блокчейні виявив координовані перекази активів через кілька блокчейнів. Кілька гаманців TRON майже одночасно надали дозволи на токени, після чого відбулися швидкі зняття коштів. Цей шаблон свідчить про те, що нападник, ймовірно, отримав контроль над підписом кількох гаманців. Початкова точка компрометації залишається невідомою. Можливі вектори атаки включають підміну пристроїв під час розподілу чи доставки, а також компрометацію відновлювальних фраз. Однак наразі немає підтверджених доказів наявності експлуатованої вразливості у прошивці чи апаратних механізмах безпеки Ledger. ⚠️ Рекомендації з безпеки Ledger рекомендує користувачам, які придбали пристрої через CryptoBilis протягом останніх 90 днів, вжити заходи: Невикористані пристрої: Не ініціалізуйте та не використовуйте їх до подальшого повідомлення. Вже ініціалізовані пристрої: Розгляньте можливість створення нової відновлювальної фрази на надійному пристрої та переказу активів до нового гаманця якомога швидше. Безпека відновлювальної фрази: Ніколи не відновлюйте оригінальну відновлювальну фразу на новому пристрої та не розголошуйте її нікому. ✍️ Нагадування від BitsLab Security: Безпека апаратного гаманця залежить від усього життєвого циклу — від генерації приватного ключа та розподілу пристрою до щоденного використання. Якщо відновлювальна фраза могла бути скомпрометована, заміна апаратного гаманця чи переустановка програми гаманця не усуне ризик. Активи слід перевести до гаманця, захищеного новоствореною відновлювальною фразою. Розслідування триває. Точний вектор атаки та загальний розмір збитків ще не підтвердженi. #SecurityAlert #Web3Security #Ledger
💸 Незвичайний вивід ~320 млн доларів із Liquid Network, ймовірно, взагалі не був інцидентом з компрометацією ключів. 6 вересня з гаманця Liquid Federation було виведено майже 4 000 BTC. Однак, за даними Liquid та SideSwap, ключ авторизації пег-аут (PAK) не був скомпрометований, і жодні інші підписуючі ключі не були вкрадені. 🔋 Що робить цей інцидент цікавішим, так це те, що вивід все одно пройшов через нормальний процес пег-ауту, з участию щонайменше 11 із 15 функціонарів, які підписали транзакцію bitcoin. 🛡️ Це свідчить про те, що проблема, ймовірно, не полягала в тому, що «зловмисник вкрав ключ і підписав вивід», а в тому, що стан, який ніколи не мав вважатися дійсним, був прийнятий як дійсний, після чого наступні компоненти завершили авторизацію та підпис за нормальними правилами. 🖲️ SideSwap зараз стверджує, що проблема, схоже, походить з багу в Elements. Самопроголошені «білі шапочки» вже зв’язалися з Blockstream через повідомлення OP_RETURN і заявили, що повернуть «більшість» BTC після розгортання виправлення на всіх нодах. Ключовий висновок: якщо кожен підписуючий елемент перевіряє той самий пошкоджений стан, навіть ідеально безпечні ключі можуть призвести до неправильного результату. #Bitcoin #LiquidNetwork #Web3Security
1/4 🚨 Недавній інцидент із Reflexer GEB призвів до вилучення 5,94 ETH забезпечення через проблему з контролем доступу та плутаниною у контексті виклику. 💸 Збитки були відносно невеликими, але архітектурний недолік, який він виявив, дуже важливий для DeFi-систем, побудованих на основі спільних проксі-контрактів. 👇
🚨 Попередження про безпеку: RCE у бекенді AI-агенту 🔍 Причина: Зловмисник — керований зовнішній контент потрапив у робочий процес роздрібного AI-агента, що дозволив ланцюжок атак: непряма ін’єкція промпту → розкриття промпту/інструменту → RCE бекенду. 📌 Мета: AI-помічник для покупок одного з топ-3 ритейлерів США 📌 Поверхня атаки: Публічний мобільний інтерфейс 📌 Дослідники: Нетанель Рубін та Дан Авраам, Rein Security 📌 Розкриття: Black Hat USA 2026 Вплив: Не було необхідно отримати привілейований доступ — експлойт можна було запустити через той самий інтерфейс, який використовують звичайні покупці. Безпека AI-агентів виходить за межі маніпуляції моделлю. Ін’єкція промпту тепер може стати шляхом до реального компрометування бекенду.
🛑BitsLab створює AI-драйвовану інфраструктуру безпеки для цифрових активів. Ми надаємо аудит смартконтрактів, пентестинг, формальну верифікацію та виявлення ризиків із використанням ШІ для команд, протоколів та підприємств Web3.✅ Що ви можете очікувати тут: 🟠Попередження про безпеку 🟢Аналіз експлойту 🟣Інсайти з аудиту 🟡Методологія безпеки Екосистема: @MoveBit_ | @scalebit_ | @tonbit_ 🛡️Веб-сайт: https://t.co/M56qRPzIf2 Є тема з безпеки Web3, яку ви хотіли б, щоб ми розглянули? Напишіть нам у коментарях.🙌
🚨 Дослідження BitsLab: Одного підробленого листа достатньо, щоб захопити агента наноробота. Без кліків. Без взаємодії користувача. Без попереднього доступу. Ми повідомили про CVE-2026-33654 — нульовий клік, непряме введення запиту, поєднане з обходом автентифікації через канал електронної пошти. Ось як це працює 🧵👇 https://t.co/3Fe6UxopCX
Balancer V2 розгорнув один контракт для зберігання всіх токенів у всіх пулах. Здається, це єдина точка відмови. Але саме через це крос-пул арбітраж не переміщує жодних токенів, і саме тому флаш-позика може отримати доступ до ліквідності всього протоколу. Тред про Vault 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 Новинки від BitsLab Research Balancer V2 розгорнув один контракт для зберігання всіх токенів у всіх пулах. На перший погляд — це єдина точка відмови. Але саме це й є причиною: → Крос-пул арбітраж не переміщує жодних токенів → Флеш-позики використовують ліквідність усього протоколу → Обмін двох токенів завершується лише за ОДИН SSTORE Ми провели тижні, розбираючи контракт Vault рядок за рядком. Перша частина нашого трьохчастинного глибокого аналізу Balancer V2 вже доступна — розкриваємо всі газові трюки, всі перевірки безпеки та компроміс, про який ніхто не говорить (інцидент із Boosted Pool у серпні 2023 року — не випадковий дефект архітектури). Якщо ви розробляєте DeFi-протокол, аудитуєте його або інвестуєте в нього — це варто 15 хвилин. 📖 Читайте частину 1 ↓ https://t.co/4ZHF2BoLUO Частини 2 (математика пулу) і 3 (постмортеми реальних вразливостей) — надходять далі.