Współzałożyciel Monad, Keone Hon, wezwał zespoły kryptowalutowe, aby uczyniły bezpieczeństwo swoim najwyższym priorytetem, dzieląc się wskazówkami dotyczącymi bezpieczeństwa operacyjnego i promując open-source'owe narzędzie fundacji Ultrafuzz, w miarę jak atakujący zyskują dostęp do coraz bardziej zaawansowanej sztucznej inteligencji.
Podsumowanie
- Hon zachęcił deweloperów do uruchamiania Ultrafuzz na swoich kontraktach i wzmacniania bezpieczeństwa operacyjnego.
- Przewodnik OpSec Monad obejmuje phishing, zarządzanie poświadczeniami, urządzenia pracowników i uprawnienia do kont firm trzecich.
- Ultrafuzz został udostępniony jako open source we wrześniu, przed najnowszym apelem Hona do zespołów o jego wykorzystanie.
- Wymienione w przewodniku straty z tytułu przejęcia kontroli obejmują wyciekłe klucze i ataki w łańcuchu dostaw obok inżynierii społecznej.
Zasoby Monad Foundation obejmują zarówno oprogramowanie wdrażane przez zespoły, jak i konta, urządzenia oraz ustalenia dotyczące podpisywania używane do zarządzania nim. W swoich postach Hon kierował czytelników do Crypto OpSec Bible, wskazówek dotyczących kont administratorów oraz badań nad znajdowaniem luk w zabezpieczeniach za pomocą AI.
„W tej erze atakujących wspieranych przez AI jedyną drogą naprzód dla naszej branży jest dalsze hartowanie,” napisał. „Bezpieczeństwo powinno być głównym priorytetem każdego zespołu.”
Przewodnik OpSec Monad celuje w codzienne błędy bezpieczeństwa
Napisana przez Omara Crypto OpSec Bible rozpoczyna się od frustracji z powodu powtarzających się kompromitacji związanych z nieznanym kodem, phishingiem, ujawnionymi poświadczeniami i słabym zarządzaniem urządzeniami.
Przewodnik cytuje tracker Lumos firmy ChainLight, który odnotował 3,31 miliarda dolarów wykorzystanej wartości z tytułu przejęcia kontroli, w porównaniu z 983 milionami dolarów z tytułu luk w inteligentnych kontraktach, w incydentach śledzonych od stycznia 2023 r. do daty granicznej raportowania przewodnika.
Jego kategoria przejęcia kontroli obejmuje inżynierię społeczną, wyciek kluczy prywatnych, nieautoryzowany dostęp, ataki w łańcuchu dostaw i inne konwencjonalne błędy bezpieczeństwa. Porównanie obejmuje incydenty odnotowane przez tracker i jest przedstawione jako historyczny obraz sytuacji.
Omar twierdzi, że organizacje kryptowalutowe poświęciły niewystarczającą uwagę bezpieczeństwu operacyjnemu. Jego rekomendacje obejmują oddzielenie aktywności osobistej od urządzeń służbowych, utrzymywanie czystego komputera lub przeglądarki do aktywności kryptowalutowej oraz sprawdzanie szczegółów transakcji przed podpisaniem.
Hon wzywa deweloperów do przeglądu dostępu administratorów
Dla deweloperów inteligentnych kontraktów Hon podkreślił wskazówki przeciwko poleganiu na kontach zewnętrznie posiadanych w rolach administratorów i zwrócił uwagę na używanie dedykowanego laptopa podczas podpisywania funkcji administracyjnych.
Jego lista zasobów obejmuje prace nad formalną weryfikacją i polowaniem na zagrożenia za pomocą dużych modeli językowych. W osobnym poście zachęcił deweloperów do uruchamiania Ultrafuzz na swoich kontraktach, przypisując zasługi doświadczeniu Antonio Viggiano i zapraszając do opinii.
„Deweloperzy inteligentnych kontraktów, proszę, uruchomcie Ultrafuzz na swoich kontraktach!! Jest open source i dostępny dla każdego,” napisał Hon.
Ogłoszenie o open source narzędzia zostało opublikowane 10 września. Najnowsze posty Hona odnawiają uwagę na istniejące wydanie, obok zasobów bezpieczeństwa operacyjnego fundacji.
Ultrafuzz łączy śledztwo AI z testowaniem kontraktów
Dostępny poprzez publiczne repozytorium GitHub, Ultrafuzz koordynuje wyspecjalizowanych agentów AI do badania kontraktów, mapowania zachowań użytkowników, badania właściwości bezpieczeństwa, uruchamiania strategii testowych i przygotowywania ustaleń do przeglądu.
Monad twierdzi, że ponad 20 uruchomień na projektach ekosystemu pomogło ukształtować wydanie, które obsługuje Solidity i Vyper.
W swoim technicznym omówieniu Viggiano opisał opracowywanie narzędzia podczas pomocy zespołowi w przygotowaniach do zewnętrznego przeglądu bezpieczeństwa. Projektowi brakowało testów fuzz, co skłoniło do pracy nad wspieranym przez AI przepływem pracy w celu ich tworzenia.
Jego wyjaśnienie opisuje agentów identyfikujących warunki, które protokół powinien zachować, a następnie badających, czy określone działania lub sekwencje je naruszają. Ustalenia są łączone, sprawdzane i organizowane w raport.
Monad instruuje użytkowników, aby uruchamiali Ultrafuzz na jednorazowych, izolowanych maszynach wirtualnych. Jego agenci działają z nieograniczonymi uprawnieniami, a ogłoszenie ostrzega przed uruchamianiem go na stacjach roboczych deweloperów lub maszynach przechowujących cenne dane uwierzytelniające.
Ostatnie naruszenia ujawniają konta i zależności oprogramowania
Wcześniejsze incydenty dotyczyły kilku punktów dostępu objętych przewodnikiem.
26 października crypto.news poinformowało, że producent portfeli Foundation doznał kompromitacji klucza API Cloudflare, co umożliwiło wysyłanie oszukańczych e-maili wyglądających, jakby pochodziły z jego oficjalnych domen. Firma unieważniła dane uwierzytelniające i stwierdziła, że sprzęt Passport oraz przechowywane środki pozostały bezpieczne.
Incydent z lipca dotyczył skompromitowanego pakietu deweloperskiego Injective. Firma bezpieczeństwa Socket poinformowała, że złośliwy kod przechwytywał funkcje generowania portfeli i przesyłał klucze prywatne oraz frazy odzyskiwania za pośrednictwem fałszywej telemetrii. Dyrektor generalny Injective, Eric Chen, powiedział, że dotknięte wydania zostały wycofane, a problem naprawiony.
Inne lipcowe śledztwo dotyczyło złośliwego oprogramowania OkoBot kradnącego portfele, rozprowadzanego przez repozytoria GitHub podszywające się pod legalne oprogramowanie. Kampania wykorzystywała fałszywe komunikaty o błędach i instrukcje naprawy, aby nakłonić ofiary do wykonania złośliwych poleceń. Jej moduły obejmowały fałszywe ekrany odzyskiwania portfela, monitorowanie klawiatury i nadzór nad schowkiem.
