Співзасновник Monad Keone Hon закликав криптокоманди зробити безпеку своїм головним пріоритетом, поділившись настановами з операційної безпеки та просуваючи відкритий інструмент фонду Ultrafuzz, оскільки зловмисники отримують доступ до дедалі потужнішого ШІ.
Резюме
- Hon заохотив розробників запускати Ultrafuzz на своїх контрактах і зміцнювати операційну безпеку.
- Посібник Monad з OpSec охоплює фішинг, управління обліковими даними, пристрої працівників і дозволи сторонніх акаунтів.
- Ultrafuzz було відкрито у вересні, ще до останнього заклику Hon до команд використовувати його.
- Серед згаданих у посібнику втрат від перехоплення контролю — витік ключів і атаки на ланцюг постачання поряд із соціальною інженерією.
Ресурси Monad Foundation охоплюють як програмне забезпечення, яке розгортають команди, так і акаунти, пристрої та схеми підпису, що використовуються для управління ним. У своїх публікаціях Hon скеровував читачів до Crypto OpSec Bible, настанов щодо адміністраторських акаунтів і досліджень щодо пошуку вразливостей за допомогою ШІ.
«У цю епоху зловмисників, озброєних ШІ, єдиний шлях уперед для нашої галузі — продовжувати зміцнювати захист, — написав він. — Безпека має бути головним пріоритетом кожної команди».
Посібник Monad з OpSec спрямований на повсякденні збої безпеки
Написана Омаром, Crypto OpSec Bible починається з розчарування через повторювані компрометації, пов'язані з незнайомим кодом, фішингом, розкритими обліковими даними та поганим управлінням пристроями.
Посібник посилається на трекер Lumos від ChainLight, який зафіксував 3,31 мільярда доларів експлуатованої вартості від перехоплення контролю порівняно з 983 мільйонами доларів від уразливостей смарт-контрактів серед інцидентів, відстежених з січня 2023 року до моменту звітності посібника.
Його категорія перехоплення контролю включає соціальну інженерію, витік приватних ключів, несанкціонований доступ, атаки на ланцюг постачання та інші звичайні збої безпеки. Порівняння охоплює зафіксовані трекером інциденти та подається як історичний знімок.
Омар стверджує, що криптоорганізації приділяли недостатньо уваги операційній безпеці. Його рекомендації включають відокремлення особистої діяльності від робочих пристроїв, підтримання чистого комп'ютера або браузера для криптодіяльності та перевірку деталей транзакції перед підписанням.
Hon закликає розробників переглянути адміністраторський доступ
Для розробників смарт-контрактів Hon наголосив на настановах не покладатися на зовнішньо керовані акаунти для адміністраторських ролей і привернув увагу до використання виділеного ноутбука під час підписання адміністративних функцій.
Його список ресурсів включає роботу з формальної верифікації та пошуку загроз за допомогою великих мовних моделей. В окремій публікації він заохотив розробників запускати Ultrafuzz на своїх контрактах, віддавши належне досвіду Антоніо Віджіано та запросивши відгуки.
«Розробники смарт-контрактів, будь ласка, запустіть Ultrafuzz на своїх контрактах!! Він відкритий і доступний кожному», — написав Hon.
Оголошення про відкриття вихідного коду інструмента було опубліковано 10 вересня. Останні публікації Hon знову привертають увагу до вже наявного релізу поряд з ресурсами фонду з операційної безпеки.
Ultrafuzz поєднує ШІ-дослідження з тестуванням контрактів
Доступний через публічний репозиторій GitHub, Ultrafuzz координує спеціалізованих ШІ-агентів для дослідження контрактів, картування поведінки користувачів, дослідження властивостей безпеки, запуску стратегій тестування та підготовки висновків для перевірки.
Monad заявляє, що понад 20 запусків на проєктах екосистеми допомогли сформувати реліз, який підтримує Solidity та Vyper.
У своєму технічному огляді Віджіано описав розробку інструмента під час допомоги команді в підготовці до зовнішнього аудиту безпеки. Проєкт не мав фаззінг-тестів, що спонукало до роботи над робочим процесом за допомогою ШІ для їх створення.
У своєму поясненні він описує, як агенти визначають умови, які протокол повинен зберігати, а потім досліджують, чи порушують їх певні дії або послідовності. Результати об'єднуються, перевіряються та організовуються у звіт.
Monad радить користувачам запускати Ultrafuzz на одноразових ізольованих віртуальних машинах. Його агенти працюють з необмеженими дозволами, і в оголошенні попереджають не запускати його на робочих станціях розробників або машинах, що містять цінні облікові дані.
Нещодавні злами викривають облікові записи та програмні залежності
Раніші інциденти стосувалися кількох точок доступу, охоплених посібником.
26 жовтня crypto.news повідомив, що виробник гаманців Foundation зазнав компрометації API-ключа Cloudflare, що дозволило надсилати шахрайські електронні листи, які виглядали як такі, що надходять з його офіційних доменів. Компанія відкликала облікові дані та заявила, що апаратне забезпечення Passport і збережені кошти залишилися в безпеці.
Липневий інцидент стосувався скомпрометованого пакета розробника Injective. Компанія з безпеки Socket заявила, що шкідливий код перехоплював функції генерації гаманців і передавав приватні ключі та фрази відновлення через фальшиву телеметрію. Генеральний директор Injective Ерік Чен заявив, що постраждалі випуски були застарілими, а проблему виправлено.
Інше липневе розслідування стосувалося шкідливого програмного забезпечення OkoBot для крадіжки гаманців, що поширювалося через репозиторії GitHub, замасковані під легітимне програмне забезпечення. Кампанія використовувала фальшиві повідомлення про помилки та інструкції з виправлення, щоб переконати жертв виконати шкідливі команди. Її модулі включали шахрайські екрани відновлення гаманців, моніторинг клавіатури та спостереження за буфером обміну.
