Monad-Mitbegründer Keone Hon hat Krypto-Teams eindringlich dazu aufgerufen, Sicherheit zu ihrer obersten Priorität zu machen, und dabei Leitlinien zur operationalen Sicherheit geteilt sowie das Open-Source-Tool Ultrafuzz der Stiftung beworben, da Angreifer Zugang zu immer leistungsfähigerer KI erhalten.
Zusammenfassung
- Hon hat Entwickler ermutigt, Ultrafuzz auf ihren Verträgen auszuführen und ihre operationale Sicherheit zu stärken.
- Der OpSec-Leitfaden von Monad behandelt Phishing, Credential-Management, Mitarbeitergeräte und Berechtigungen für Drittanbieterkonten.
- Ultrafuzz wurde im September als Open Source veröffentlicht, bevor Hon seinen jüngsten Appell an Teams richtete, es zu nutzen.
- Zu den im Leitfaden zitierten Verlusten durch Kontrollübernahme gehören geleakte Schlüssel und Supply-Chain-Angriffe neben Social Engineering.
Die Ressourcen der Monad Foundation decken sowohl die Software ab, die Teams einsetzen, als auch die Konten, Geräte und Signaturvereinbarungen, mit denen sie verwaltet wird. In seinen Beiträgen verwies Hon die Leser auf die Crypto OpSec Bible, Leitlinien zu Administratorkonten und Forschung zur Identifizierung von Schwachstellen mit KI.
„In diesem Zeitalter KI-gestützter Angreifer ist der einzige Weg nach vorn für unsere Branche, weiter zu härten“, schrieb er. „Sicherheit sollte für jedes Team oberste Priorität haben.“
Monads OpSec-Leitfaden zielt auf alltägliche Sicherheitsversäumnisse ab
Die von Omar verfasste Crypto OpSec Bible beginnt mit Frustration über wiederkehrende Kompromittierungen im Zusammenhang mit unbekanntem Code, Phishing, offengelegten Credentials und schlechtem Gerätemanagement.
Der Leitfaden zitiert ChainLights Lumos-Tracker, der bei den von Januar 2023 bis zum Berichtsstichtag des Leitfadens erfassten Vorfällen einen ausgebeuteten Wert von 3,31 Milliarden US-Dollar durch Kontrollübernahme verzeichnete, verglichen mit 983 Millionen US-Dollar durch Schwachstellen in Smart Contracts.
Seine Kategorie der Kontrollübernahme umfasst Social Engineering, die Offenlegung privater Schlüssel, unbefugten Zugriff, Supply-Chain-Angriffe und andere konventionelle Sicherheitsversäumnisse. Der Vergleich bezieht sich auf die vom Tracker erfassten Vorfälle und wird als historische Momentaufnahme dargestellt.
Omar argumentiert, dass Krypto-Organisationen der operationalen Sicherheit unzureichende Aufmerksamkeit gewidmet haben. Zu seinen Empfehlungen gehören die Trennung persönlicher Aktivitäten von Arbeitsgeräten, die Pflege eines sauberen Computers oder Browsers für Krypto-Aktivitäten und die Prüfung von Transaktionsdetails vor der Signierung.
Hon drängt Entwickler, Administratorzugriffe zu überprüfen
Für Smart-Contract-Entwickler hob Hon Leitlinien hervor, die davon abraten, sich für Administratorrollen auf extern verwaltete Konten zu verlassen, und machte auf die Verwendung eines dedizierten Laptops beim Signieren administrativer Funktionen aufmerksam.
Seine Ressourcenliste umfasst Arbeiten zur formalen Verifikation und zur Bedrohungssuche mit großen Sprachmodellen. In einem separaten Beitrag ermutigte er Entwickler, Ultrafuzz auf ihren Verträgen auszuführen, würdigte die Erfahrung von Antonio Viggiano und bat um Feedback.
„Smart-Contract-Entwickler, bitte führt Ultrafuzz auf euren Verträgen aus!! Es ist Open Source und für jeden verfügbar“, schrieb Hon.
Die Open-Source-Ankündigung des Tools wurde am 10. September veröffentlicht. Hons jüngste Beiträge lenken die Aufmerksamkeit erneut auf eine bereits bestehende Veröffentlichung, zusammen mit den Ressourcen der Stiftung zur operationalen Sicherheit.
Ultrafuzz kombiniert KI-Untersuchung mit Vertragstests
Ultrafuzz, verfügbar über ein öffentliches GitHub-Repository, koordiniert spezialisierte KI-Agenten, um Verträge zu untersuchen, Nutzerverhalten zu kartieren, Sicherheitseigenschaften zu erforschen, Teststrategien auszuführen und Ergebnisse zur Überprüfung vorzubereiten.
Monad gibt an, dass mehr als 20 Durchläufe auf Ökosystemprojekten dazu beigetragen haben, die Veröffentlichung zu gestalten, die Solidity und Vyper unterstützt.
In seiner technischen Durchführung beschrieb Viggiano die Entwicklung des Tools, während er einem Team bei der Vorbereitung auf eine externe Sicherheitsüberprüfung half. Dem Projekt fehlten Fuzz-Tests, was Arbeiten an einem KI-gestützten Workflow zu deren Erstellung auslöste.
Seine Erklärung beschreibt Agenten, die Bedingungen identifizieren, die ein Protokoll bewahren sollte, und dann untersuchen, ob bestimmte Aktionen oder Sequenzen sie verletzen. Die Ergebnisse werden zusammengeführt, geprüft und in einem Bericht organisiert.
Monad weist Benutzer an, Ultrafuzz auf wegwerfbaren, isolierten virtuellen Maschinen auszuführen. Seine Agenten arbeiten mit uneingeschränkten Berechtigungen, und die Ankündigung warnt davor, es auf Entwickler-Workstations oder Maschinen mit wertvollen Anmeldeinformationen auszuführen.
Jüngste Sicherheitsverletzungen legen Konten und Software-Abhängigkeiten offen
Frühere Vorfälle betrafen mehrere der Zugangspunkte, die im Leitfaden behandelt werden.
Am 26. Oktober berichtete crypto.news, dass der Wallet-Hersteller Foundation eine Kompromittierung von Cloudflare-API-Schlüsseln erlitten hatte, die betrügerische E-Mails ermöglichte, die den Anschein erweckten, von seinen offiziellen Domains zu stammen. Das Unternehmen widerrief die Anmeldeinformationen und erklärte, dass die Passport-Hardware und die gespeicherten Gelder sicher blieben.
Ein Vorfall im Juli betraf ein kompromittiertes Injective-Entwicklerpaket. Das Sicherheitsunternehmen Socket erklärte, dass bösartiger Code Wallet-Generierungsfunktionen abfing und private Schlüssel und Wiederherstellungsphrasen über gefälschte Telemetrie übermittelte. Injective-CEO Eric Chen sagte, die betroffenen Releases seien veraltet und das Problem behoben worden.
Eine weitere Untersuchung im Juli betraf OkoBots Wallet-stehlende Malware, die über GitHub-Repositories verbreitet wurde, die als legitime Software getarnt waren. Die Kampagne verwendete gefälschte Fehlermeldungen und Reparaturanweisungen, um Opfer dazu zu bringen, bösartige Befehle auszuführen. Zu ihren Modulen gehörten betrügerische Wallet-Wiederherstellungsbildschirme, Tastaturüberwachung und Zwischenablage-Überwachung.
