Tôi vừa nảy ra một mô hình bảo mật mới để ngăn chặn các sự cố rò rỉ giống như những vụ việc xảy ra trên các sàn giao dịch khác, nên ghi lại làm ghi chú. Trước tiên, tôi sẽ kiểm tra ý tưởng cùng với AI, và nếu không có vấn đề gì, có thể sẽ tìm kiếm ý kiến từ một số người liên quan.

Cảnh báo bảo mật BTCPay Server

Binance đang dần bắt đầu việc rút tiền, nhưng theo suy luận thông thường, họ có lẽ đã đánh giá rằng tính an toàn nội bộ đã được đảm bảo và không có khả năng tài sản bị đánh cắp do bị tấn công thêm. Tuy nhiên, vẫn chưa có thông báo nào về chi tiết cuộc tấn công, nguyên nhân hay các biện pháp an toàn hiện tại.

Binance đã phát hành bản cập nhật sự cố bảo mật #3, nhưng chủ yếu nói về việc hoàn tiền và không đề cập đến cách cuộc tấn công xảy ra.

Nếu tiền từ sàn giao dịch bị rút ra ngoài, liệu có phải vấn đề sẽ được giải quyết nếu người dùng được bồi thường đầy đủ? Tiền bị đánh cắp từ Binance có thể biến thành tên lửa của Bắc Triều Tiên. Vì vậy, sự cố mất mát 1 nghìn tỷ yên (khoảng 6,3 tỷ USD) này liên quan đến cả những người không sở hữu bất kỳ tài sản tiền mã hóa nào. FBI Hoa Kỳ đã xác định chắc chắn rằng sự kiện này do Bắc Triều Tiên thực hiện. Chính phủ Nhật Bản, Mỹ và Hàn Quốc từ lâu đã chỉ ra rằng việc đánh cắp tài sản tiền mã hóa là nguồn tài chính cho chương trình phát triển hạt nhân và tên lửa của Bắc Triều Tiên. Nếu Binance bồi thường đầy đủ, tài sản của người dùng sẽ được bảo vệ. Tuy nhiên, tiền dùng để bồi thường đến từ chính Binance. Số tiền mà Bắc Triều Tiên đánh cắp vẫn không hề giảm một xu nào. Theo thông báo của Binance, tính đến ngày 30 tháng 10, họ đã phong tỏa được khoảng một nửa số tiền bị rút ra. Trong khi đó, FBI đã xác nhận rằng kẻ phạm tội đã chuyển đổi tài sản bị đánh cắp sang Ethereum (ETH) và yêu cầu các nhà cung cấp dịch vụ ngừng các giao dịch liên quan. Chúng ta cần theo dõi không chỉ “đã bồi thường được bao nhiêu cho người dùng”, mà còn cả “đã ngăn chặn được bao nhiêu trước khi Bắc Triều Tiên sử dụng” và “đã thu hồi được bao nhiêu thực tế”. Đối với Nhật Bản, đây là một vấn đề an ninh quốc gia.

Liệu Binance có triển khai một hệ thống chính sách tương tự Fireblocks không? Hiện tại, dường như là không có, nhưng không có bằng chứng nào rõ ràng.

Dịch vụ lưu ký của Google Theo cá nhân tôi, đây là một luồng gió thuận cực kỳ mạnh mẽ, vui mừng quá mức

Một lỗ hổng bảo mật (RUSTSEC-2026-0387) có thể dẫn đến tấn công thời gian (tấn công kênh phụ) đã được báo cáo trong crate tính toán mã hóa Rust crypto-bigint. Không chỉ đơn thuần là “cập nhật là xong”, mà do ảnh hưởng trực tiếp đến các sản phẩm sử dụng các stack Web3/EVM chính như Alloy, nên chúng tôi chia sẻ để làm rõ tình hình và cảnh báo. 1. Tổng quan về lỗ hổng Crates bị ảnh hưởng: crypto-bigint (thư viện tính toán số nguyên cố định kích thước lớn) Vấn đề: Trong các xử lý nội bộ như phép trừ và phép nhân Montgomery, do ảnh hưởng của tối ưu hóa trình biên dịch, các nhánh điều kiện có thể xuất hiện, gây ra sự khác biệt về thời gian xử lý phụ thuộc vào dữ liệu đầu vào. Rủi ro: Kẻ tấn công có thể đo lường chính xác thời gian thực thi ở mức mili/giây để suy luận hoặc khôi phục thông tin bí mật như khóa riêng (tấn công thời gian). 2. Tại sao hiện tại “không thể cập nhật ngay lập tức”? Mặc dù phiên bản sửa lỗi (v0.7.6) của crypto-bigint đã được phát hành, nhưng các dự án đang bị kẹt do phụ thuộc vào các thư viện cấp trên. Alloy – thư viện được sử dụng rộng rãi trong môi trường EVM/Ethereum – phụ thuộc vào crate mã hóa k256 v0.13. Tuy nhiên, hiện tại k256 v0.13 chưa hỗ trợ nâng cấp lên crypto-bigint v0.7.6 (hoặc đang chờ phát hành). Do đó, chỉ chạy cargo update không đủ để giải quyết vấn đề; cấu trúc phụ thuộc bị khóa khiến phiên bản cũ vẫn được giữ nguyên. 3. Các bước ứng phó và kiểm tra trong tương lai Hiển thị ảnh hưởng: Trước tiên, chạy cargo tree -i crypto-bigint hoặc cargo audit để xác định các tuyến đường phụ thuộc (ví dụ: alloy -> k256) trong dự án của bạn. Theo dõi và giám sát sự cập nhật từ cấp trên: Theo dõi các PR nâng cấp (patch release) từ phía k256 và alloy. Xem xét giải pháp thay thế: Nếu cần hành động ngay, hãy kiểm tra việc sử dụng [patch.crates-io] trong Cargo.toml để thay thế cưỡng chế các phụ thuộc. Dự kiến sẽ có độ trễ nhất định trước khi sửa lỗi lan tỏa toàn bộ hệ sinh thái Rust/Web3. Những người vận hành các stack liên quan được khuyến nghị mạnh mẽ theo dõi hành vi của cây phụ thuộc. ▼ Thông báo RustSec https://t.co/FJSYIOHwtH #Rust #RustLang #Web3 #Alloy #Ethereum #Security #暗号技術

Tôi nghĩ cũng có nhiều người hỏi AI về các vấn đề liên quan đến blockchain, nhưng ấn tượng hiện tại của tôi là: • Kiến thức rộng rãi thì cực kỳ ấn tượng • Tốc độ nghiên cứu thì cực kỳ nhanh • So với các kết quả đầu ra mà tôi từng nhờ người khác thực hiện, dường như có trình độ trí tuệ tương đương sinh viên sau đại học • Là đối tác tranh luận thì rất tuyệt vời Tuy nhiên, • Không có kiến thức chuyên sâu cấp chuyên gia • Tất nhiên không có kiến thức ngành không được ghi trên mạng • Không có trình độ trí tuệ vượt quá sinh viên sau đại học Vì vậy, mỗi khi đặt câu hỏi, luôn xuất hiện sai sót hoặc những điểm chưa được xem xét, nên tôi buộc phải chỉ ra và sửa chữa. Đây là cảm nhận của tôi ở thời điểm hiện tại, khi sử dụng mô hình mới nhất với gói trả phí. Có thể cách tôi viết prompt hoặc cách sử dụng chưa thật sự tốt.

Tôi cho rằng các chính trị gia khó đưa ra các quyết định chính trị có hại cho chính họ, nhưng nếu ngày càng nhiều người bắt đầu làm như vậy, có thể điều này sẽ được sửa đổi.