Le cofondateur de Monad, Keone Hon, a exhorté les équipes crypto à faire de la sécurité leur priorité absolue, en partageant des conseils en matière de sécurité opérationnelle et en promouvant l’outil open source Ultrafuzz de la fondation, alors que les attaquants accèdent à des IA plus performantes.
Résumé
- Hon a encouragé les développeurs à exécuter Ultrafuzz sur leurs contrats et à renforcer la sécurité opérationnelle.
- Le guide OpSec de Monad couvre le phishing, la gestion des identifiants, les appareils des employés et les autorisations des comptes tiers.
- Ultrafuzz a été publié en open source en septembre, avant le dernier appel de Hon invitant les équipes à l’utiliser.
- Les pertes par détournement de contrôle citées dans le guide incluent des clés divulguées et des attaques de la chaîne d’approvisionnement, ainsi que de l’ingénierie sociale.
Les ressources de la Monad Foundation couvrent à la fois les logiciels déployés par les équipes et les comptes, appareils et dispositifs de signature utilisés pour les gérer. Dans ses publications, Hon a orienté les lecteurs vers la Crypto OpSec Bible, des conseils sur les comptes administrateurs et des recherches sur la découverte de vulnérabilités avec l’IA.
« À l’ère des attaquants dotés d’IA, la seule voie possible pour notre industrie est de continuer à se renforcer », a-t-il écrit. « La sécurité doit être la priorité absolue de chaque équipe. »
Le guide OpSec de Monad cible les défaillances de sécurité du quotidien
Rédigée par Omar, la Crypto OpSec Bible s’ouvre sur une frustration face aux compromissions récurrentes impliquant du code inconnu, du phishing, des identifiants exposés et une mauvaise gestion des appareils.
Le guide cite le traqueur Lumos de ChainLight, qui a enregistré 3,31 milliards de dollars de valeur exploitée par détournement de contrôle, contre 983 millions de dollars provenant de vulnérabilités de contrats intelligents, sur les incidents suivis de janvier 2023 à la date limite de reporting du guide.
Sa catégorie de détournement de contrôle inclut l’ingénierie sociale, la fuite de clés privées, l’accès non autorisé, les attaques de la chaîne d’approvisionnement et d’autres défaillances de sécurité conventionnelles. La comparaison couvre les incidents enregistrés par le traqueur et est présentée comme un instantané historique.
Omar soutient que les organisations crypto ont accordé une attention insuffisante à la sécurité opérationnelle. Ses recommandations incluent de séparer l’activité personnelle des appareils professionnels, de maintenir un ordinateur ou un navigateur propre pour l’activité crypto et de vérifier les détails des transactions avant de signer.
Hon exhorte les développeurs à examiner les accès administrateurs
Pour les développeurs de contrats intelligents, Hon a mis en avant des conseils déconseillant de s’appuyer sur des comptes détenus en externe pour les rôles d’administrateur et a attiré l’attention sur l’utilisation d’un ordinateur portable dédié lors de la signature de fonctions administratives.
Sa liste de ressources comprend des travaux sur la vérification formelle et la chasse aux menaces avec de grands modèles de langage. Dans une autre publication, il a encouragé les développeurs à exécuter Ultrafuzz sur leurs contrats, en saluant l’expérience d’Antonio Viggiano et en invitant aux retours.
« Développeurs de contrats intelligents, veuillez exécuter Ultrafuzz sur vos contrats !! C’est open source et disponible pour tous », a écrit Hon.
L’annonce de l’open source de l’outil a été publiée le 10 septembre. Les dernières publications de Hon renouvellent l’attention sur une version existante, aux côtés des ressources de sécurité opérationnelle de la fondation.
Ultrafuzz combine enquête par IA et tests de contrats
Disponible via un dépôt GitHub public, Ultrafuzz coordonne des agents IA spécialisés pour examiner les contrats, cartographier le comportement des utilisateurs, enquêter sur les propriétés de sécurité, exécuter des stratégies de test et préparer les conclusions en vue de leur examen.
Monad indique que plus de 20 exécutions sur des projets de l’écosystème ont contribué à façonner la version publiée, qui prend en charge Solidity et Vyper.
Dans son tutoriel technique, Viggiano a décrit le développement de l'outil tout en aidant une équipe à se préparer à un audit de sécurité externe. Le projet manquait de tests de fuzzing, ce qui a motivé le travail sur un flux de travail assisté par IA pour les créer.
Son explication décrit des agents identifiant les conditions qu'un protocole doit préserver, puis examinant si des actions ou séquences particulières les enfreignent. Les résultats sont combinés, vérifiés et organisés dans un rapport.
Monad demande aux utilisateurs d'exécuter Ultrafuzz sur des machines virtuelles jetables et isolées. Ses agents fonctionnent avec des permissions illimitées, et l'annonce déconseille de l'exécuter sur des postes de travail de développeurs ou des machines contenant des identifiants précieux.
Des violations récentes exposent des comptes et des dépendances logicielles
Des incidents antérieurs ont impliqué plusieurs des points d'accès couverts par le guide.
Le 26 octobre, crypto.news a rapporté que le fabricant de portefeuilles Foundation avait subi une compromission de clé API Cloudflare qui a permis l'envoi d'e-mails frauduleux semblant provenir de ses domaines officiels. L'entreprise a révoqué les identifiants et déclaré que le matériel Passport et les fonds stockés restaient sécurisés.
Un incident de juillet a impliqué un package de développeur Injective compromis. La société de sécurité Socket a déclaré que du code malveillant interceptait les fonctions de génération de portefeuilles et transmettait les clés privées et les phrases de récupération via une fausse télémétrie. Le PDG d'Injective, Eric Chen, a déclaré que les versions affectées avaient été dépréciées et le problème corrigé.
Une autre enquête de juillet concernait le logiciel malveillant voleur de portefeuilles d'OkoBot, distribué via des dépôts GitHub déguisés en logiciels légitimes. La campagne utilisait de faux messages d'erreur et des instructions de réparation pour persuader les victimes d'exécuter des commandes malveillantes. Ses modules comprenaient de faux écrans de récupération de portefeuille, la surveillance du clavier et la surveillance du presse-papiers.
