Thật sự kỳ lạ khi các công ty kiểm toán nhắm đến các khách hàng kiểm toán riêng của họ bằng các chương trình phần thưởng lỗi. Tại @cyfrin, ngoài các đợt kiểm toán riêng, chúng tôi tiết lộ các lỗ hổng trực tiếp cho khách hàng kiểm toán riêng của mình miễn phí mà không kỳ vọng bất kỳ phần thưởng nào. Luôn nỗ lực hết sức để bảo vệ khách hàng của chúng tôi 🤝

Tháng Sáu vừa mới bắt đầu và chúng ta đã có thêm một vụ khai thác lỗ hổng 🤷‍♂️ • 99M $TSR được cho là đã được đúc và bán tháo trên thị trường, khiến đồng token giảm 99%. • Kẻ tấn công đã mang đi 2,5 triệu USD, chuyển khoản sang ethereum và đã bắt đầu rửa tiền $ETH thông qua Tornado Cash. Hiện tại, cảm giác như các hacker đang có tháng tốt hơn cả các nhà giao dịch.

🚨 Cảnh báo tấn công chuỗi cung ứng npm: Gói Red Hat Cloud Services bị đầu độc quy mô lớn SlowMist phát hiện hoạt động tấn công chuỗi cung ứng đang diễn ra nhắm vào @redhat-cloud-services, đã ảnh hưởng đến hơn 31 gói npm, với hơn 116.000 lượt tải xuống mỗi tuần, dẫn đến rò rỉ thông tin xác thực của hơn 300 kho GitHub. Phương thức tấn công tương tự mạnh mẽ với chiến dịch Shai-Hulud trước đây, chủ yếu lan truyền qua việc đánh cắp thông tin xác thực, tạo kho độc hại và rò rỉ tự động các khóa bí mật. Nhà phát triển có thể đối mặt với nguy cơ bị đánh cắp Token GitHub/npm, thông tin xác thực đám mây AWS/GCP/Azure, khóa SSH và dữ liệu ví. Khuyến nghị ngay lập tức hạ cấp hoặc gỡ bỏ các phiên bản gói bị ảnh hưởng, tiến hành kiểm toán toàn bộ quy trình CI/CD, thay đổi tất cả các khóa liên quan và tái tạo môi trường phát triển từ hình ảnh sạch.

Hơn 220 triệu USD bị đánh cắp từ Kelp DAO đã gần như được rửa sạch hoàn toàn, việc theo dõi trên chuỗi trở nên vô nghĩa trước THORChain, Wasabi và Tornado Cash. Đây không phải là trường hợp đơn lẻ—Radiant Capital vừa phải đóng cửa sau vụ tấn công 50 triệu USD, lỗ hổng của Gnosis Pay vẫn đang tiếp tục lan rộng. Sổ kế toán niềm tin của các cầu liên chuỗi đang bị ghi lại liên tục. Hacker sử dụng THORChain để chuyển 175 triệu ETH liên chuỗi sang Bitcoin, sau đó trộn và chia nhỏ, khiến khối lượng giao dịch của THORChain tăng lên 394 triệu USD chỉ trong một ngày. Các công cụ bảo mật riêng tư không phải là điều mới mẻ, nhưng quy mô lần này phơi bày một vấn đề mang tính cấu trúc: càng nhiều thanh khoản liên chuỗi phát triển, thì các kênh rửa tiền của hacker càng trở nên tinh vi. Số ETH 71 triệu USD duy nhất bị phong tỏa hiện đang vướng vào tranh chấp pháp lý—gia đình nạn nhân từ Triều Tiên yêu cầu tịch thu để bồi thường. Dưới lệnh cấm của tòa án, việc thu hồi số tiền này vẫn còn là một ẩn số. Giả định an toàn của DeFi đang trượt từ “mã hóa là luật pháp” sang “luật pháp là hàng phòng thủ cuối cùng”. Đối với thị trường, đây không phải là câu chuyện “tin xấu đã được phản ánh”. Sau mỗi cuộc tấn công, các giao thức sẽ tăng cường kiểm toán, nhưng hacker cũng đang tiến hóa. Chi phí niềm tin liên chuỗi ngày càng tăng sẽ cuối cùng thể hiện qua phí vốn, TVL và hành vi người dùng—bạn có sẵn sàng đặt tài sản của mình vào một mạng lưới có thể bị xuyên thủng bởi các kênh rửa tiền không? $btc #eth #defi #链上数据 #ai

Không phải mọi thất bại trong DeFi đều bắt đầu bằng một vụ tấn công. Firelight sẽ phân tích cả các thất bại về mặt kỹ thuật và kinh tế, bao gồm nợ xấu và các tổn thất cấu trúc trong mối quan hệ giữa tài sản thế chấp và tài sản vay. Mỗi yêu cầu sẽ được hỗ trợ bởi các tín hiệu rõ ràng và bằng chứng có thể xác minh trên chuỗi.

Chương trình bounty lỗi đã nhận được lượng lớn báo cáo kể từ khi ra mắt. Để đảm bảo mỗi báo cáo đều được quan tâm đúng mức, chúng tôi đang tạm dừng các báo cáo mới trong khi xử lý danh sách chờ. Chúng tôi sẽ cập nhật khi chương trình mở lại. Cảm ơn tất cả mọi người đã tham gia cho đến nay.