безопасность

Согласно отчету The Defiant, была раскрыта деятельность вредоносного кода, нацеленного на кошельки Vizor и Zingo. Злоумышленники пытались внедрить код для кражи учетных данных в соответствующие репозитории, подав вредоносные Pull Request, всего было шесть запросов, но ни один из них не был объединен.В отчете говорится, что данная деятельность сочетает код для кражи учетных данных с определенными инструкциями, указывающими инструментам проверки кода AI не помечать эти секретные действия загрузки, с намерением обойти автоматизированный процесс проверки.

Конфиденциальная AI инфраструктура NEAR AI обновила информацию на платформе X, сообщив, что 8 ноября злоумышленник использовал уязвимость в их работающем движке вывода SGLang для доступа к части инфраструктуры.NEAR AI заявила, что закрыла соответствующие права доступа и завершила исправление. Пострадавшие пользователи были уведомлены, пользователям, не получившим уведомление, не нужно предпринимать никаких действий.

Вице-президент по инженерии платформы прогнозирования Polymarket Джош Стивенс объявил, что платформа запускает функцию белого списка адресов для вывода средств. Пользователи могут заблокировать адреса для вывода средств из своих депозитных кошельков, добавление нового адреса требует подтверждения по электронной почте и установки 48-часового временного замка, отменить действие можно по электронной почте.Стивенс отметил, что даже если сессия будет скомпрометирована или произойдет ошибка с подписанием вредоносной транзакции, средства не могут быть переведены на неконтролируемый адрес. Эта функция может быть активирована в "Настройки - Учетная запись", поддержка Passkey будет запущена в ближайшее время. Команда разрабатывает инструменты для миграции не депозитных кошельков и выпустит встроенную защиту высокого уровня, которая не требует ручного включения.

NEAR AI в своем твите сообщила, что закрыла несанкционированный доступ и продолжает расследование, NEAR AI Cloud будет приостановлен до безопасного восстановления. NEAR Protocol и другие услуги не пострадали, команда сообщила, что предоставит дальнейшие обновления в течение двух часов.Ранее NEAR AI в своем твите сообщила, что недавно обнаружила несанкционированный доступ к внутренним системам, в настоящее время в качестве меры предосторожности приостановила услуги вывода NEAR AI Cloud для проведения расследования. NEAR AI Cloud работает в аппаратно изолированной TEE для защиты конфиденциальности пользовательских подсказок.

Основатель Slow Mist Ю Сян опубликовал сообщение на платформе X, в котором заявил, что iOS снова выпустила обновление безопасности, и безопасность iPhone уже не так высока, как прежде, появляются различные виды злоупотреблений.Он напомнил пользователям не устанавливать приложения или не открывать незнакомые веб-страницы, особенно порнографические, и отметил, что такие предупреждения ранее в основном касались Windows.

Во время TOKEN2049 в Сингапуре два кошелька трейдера Frogman были украдены на сумму более 4 миллионов долларов. Другие участники конференции подали жалобу в полицию по поводу безопасной сессии "Don't Get Played". По сообщениям рынка, хакеры использовали поддельный Wi-Fi для совершения преступления, но независимые источники не были предоставлены.

Согласно сообщению CoinDesk, разработчики Solana предложили отменить функцию постоянного nonce-транзакций, которая использовалась во время атаки на торговый протокол Drift в апреле, в результате которой было потеряно как минимум 270 миллионов долларов. Предложение еще требует технического одобрения и может вступить в силу на основной сети не ранее 5 мая 2027 года.Постоянный nonce позволяет подписанным транзакциям оставаться действительными в течение длительного времени, что позволяет управляющим организациям и биржам проводить оффлайн-подписи. Соответствующим организациям необходимо перейти на альтернативные решения, и требования Solana Foundation по миграции могут задержать конечный срок.

Согласно мониторингу GoPlus, кошелек Keplr пострадал из-за уязвимости провайдера социальных логинов Web3Auth, в результате чего у некоторых пользователей были скомпрометированы приватные ключи или украдена возможность подписания транзакций, что привело к краже активов на сумму не менее 1 миллиона долларов, а также около 6 миллионов долларов активов было переведено на официально подтвержденный адрес спасения.GoPlus сообщает, что пострадали кошельки Keplr, созданные с помощью входа через Google или Apple, в то время как аккаунты, созданные с использованием мнемонических фраз или аппаратных кошельков, не пострадали. Web3Auth опубликовал адрес восстановления и заявил, что некоторые переводы защищенных активов были ошибочно расценены как действия злоумышленников.

Согласно сообщению The Verge, исследовательская организация по безопасности ИИ METR после 11-недельного расследования Anthropic заявила, что скорость прогресса моделей компании примерно в два раза выше, чем год назад, а достижения за последний год эквивалентны примерно двум предыдущим годам. METR считает, что на ускорение разработки, по состоянию на октябрь, в значительной степени повлияло ИИ, и его вклад продолжает расти.В настоящее время ускорение в основном происходит благодаря ИИ, который помогает человеческим исследователям, а не из-за самостоятельной работы. Сотрудники, использующие самый мощный внутренний модель Anthropic, в неформальном опросе сообщили, что их производительность в среднем примерно в 12 раз выше, чем без помощи ИИ. Anthropic значительно сократила публичный отчет, соучредитель Сэм МаКэндлиш отметил, что соответствующая информация касается коммерчески чувствительного контента и может помочь другим компаниям ускорить разработку.

Согласно официальному объявлению, Gate официально запускает новую систему доказательства безопасности средств (Proof of Security, PoSEC), став первой в отрасли цифровой платформой для торговли активами, предложившей систему безопасности PoSEC, которая расширяет проверку безопасности от достаточности резервов до структуры хранения активов и обеспечения рисков.Согласно данным, опубликованным на официальной странице Gate, по состоянию на 4 ноября в 08:00 (UTC+8) охват холодного хранения на платформе составил 104.58%, доля активов холодного и горячего кошельков составила 88.26% и 11.74% соответственно, что означает, что по соответствующим статистическим данным, даже если все активы горячего кошелька будут потеряны, холодное хранение все равно сможет покрыть все активы пользователей. В настоящее время данные этого периода проверяются независимой аудиторской организацией, и отчет будет опубликован на официальном сайте после завершения.В 2020 году Gate первой представила связанные с открытым исходным кодом схемы доказательства резервов (PoR), после чего продолжила укреплять многоуровневую систему безопасности, охватывающую разделение холодных и горячих кошельков, многофакторную подпись, многопользовательские безопасные вычисления (MPC) и динамический мониторинг рисков. Введение PoSEC еще больше расширяет проверку безопасности средств от достаточности резервов до безопасности хранения и способности к покрытию экстремальных рисков, предоставляя новый практический путь для создания более комплексных и прозрачных стандартов безопасности средств в отрасли.

Сооснователь Ethereum Виталик Бутерин в интервью заявил, что в последнее время в отрасли наблюдаются тенденции, заслуживающие внимания. Уязвимости и атаки на уровне смарт-контрактов уменьшаются, большинство крупных хакерских атак, произошедших за последний год и полтора, больше сосредоточены на уровне пользовательского интерфейса и централизованных компонентов. Хакерские атаки продолжают происходить, но действительно важные части, требующие особой защиты, на самом деле становятся более безопасными, а диапазон инфраструктуры, способной обеспечить высокий уровень безопасности, также расширяется.Виталик считает, что все больше людей осознают, что первоочередной задачей в следующие два года не является победа, а обеспечение собственного выживания; вся отрасль размышляет о том, как достичь этой цели. Он ожидает, что соответствующие учреждения, крупные торговые платформы, депозитарные учреждения и другие финансовые организации также быстро примут меры. Он считает, что запуск Binance BNB Chain был правильным решением, и пользователи, размещая бизнес на цепочке и выполняя соответствующие операции через смарт-контракты, также смогут воспользоваться высоким уровнем безопасности, предоставляемым инфраструктурой цепочки; в будущем больше организаций будет развиваться в этом направлении.Виталик заявил, что единственным настоящим решением является реальное повышение уровня безопасности всей отрасли. Диапазон операций, которые можно безопасно выполнять, расширяется, но если кто-то не придает значения безопасности, повышение эффективности в конечном итоге может быть использовано для ведения большего количества более агрессивного бизнеса, а не для дальнейшего повышения безопасности. Он ожидает, что если проблемы безопасности достигнут определенного уровня, регулирующие органы разных стран и лидеры отрасли начнут требовать от компаний большей ответственности и принятия более осторожных бизнес-стратегий. Фонд Ethereum продолжает оказывать поддержку, включая написание соответствующего кода и инструментов, предоставление кода для квантовых безопасных подписей и поддержку создания кошельков, защищенных квантовыми безопасными технологиями, но пользователи все равно должны активно осознавать риски и выбирать включение этих мер безопасности.

Согласно отчету Axios Pro, информированные источники сообщают, что платформа безопасности в реальном времени и предотвращения угроз Blockaid получила инвестиционные обязательства на сумму 40 миллионов долларов, которые были сделаны в течение нескольких дней после хакерской атаки на Binance на сумму 6,3 миллиарда долларов.Axios Pro утверждает, что это крупнейшее в истории кража криптовалюты стимулирует новые инвестиции в безопасность криптовалют.

Генеральный директор Binance Хэ И снова ответил на обсуждение инцидентов безопасности и управления внутренними устройствами, заявив, что рабочие компьютеры не могут использоваться в личных целях в правилах для сотрудников, чтобы предотвратить хакерские атаки, и что существует строгий контроль за загрузками, поэтому в этом году удалось предотвратить более 50 атак.Хэ И отметил, что атака и защита — это процесс постоянной итерации с обеих сторон, и в этот раз мониторинг не сработал, потому что хакеры тоже эволюционируют.

Сооснователь Binance Хэ И в ответ на обсуждение инцидента с безопасностью Binance и управления внутренними устройствами на платформе X подтвердил, что ранее распространенная информация о том, что сотрудник был уволен за скачивание iQIYI на рабочий компьютер, действительно произошла в Binance.Хэ И заявил: "Увольнение за скачивание iQIYI на рабочий компьютер также произошло в Binance. Признаем ошибку и оплачиваем, но больше не допустим такого."

Основатель OKX Star Xu опубликовал сообщение, в котором заявил, что он не хочет критиковать конкурентов в кризисные времена, а предпочитает сотрудничество для повышения стандартов безопасности и защиты криптоиндустрии. Однако он отметил, что недавнее интервью с человеком, который утверждает, что больше не управляет Binance и который называется "самым богатым в криптосфере", вызвало у него дискомфорт, так как он считает, что интервью наполнено вводящими в заблуждение утверждениями, которые смягчают ответственность этого человека и пытаются оправдать неудачу, принижая безопасность традиционных банков.Star Xu заявил, что после кризиса этот человек был одним из самых активных в социальных сетях среди сотрудников Binance и даже спорил с Elon Musk по поводу инвестиций в акции SpaceX. Он указал, что оппонент неоднократно подчеркивал, что "только 2% средств покинули Binance" и продолжал проводить маркетинговые акции, чтобы привлечь пользователей к внесению средств в период кризиса. Star Xu считает, что в кризисе должна проявляться ответственность, а это интервью создает впечатление уклонения от ответственности и отвлечения внимания.Star Xu сослался на сообщения о том, что цена биткойна упала с примерно 81000 долларов до 75000 долларов, десятки миллиардов долларов в кредитных позициях были ликвидированы, и доверие к криптоиндустрии может снова пострадать. Он заявил, что индустрии нужны сотрудничество, ответственность, а также защита активов пользователей и строительство стандартов безопасности, а не больше оправданий, PR-выражений и маркетинговой упаковки.

Сооснователь Binance CZ опубликовал сообщение, в котором заявил, что атака такого масштаба означает серьезные ошибки в безопасности. Никакая платформа не может гарантировать абсолютную безопасность, но это не может быть оправданием.CZ отметил, что открытое объяснение упрощает понимание этой атаки, которая, похоже, продолжалась несколько месяцев или даже лет и была направлена на сотни сотрудников и системы, в результате чего в конечном итоге были взломаны лишь несколько целей. Он считает, что деление деталями поможет всей отрасли извлечь уроки. В качестве акционера он надеется, что Binance будет прозрачно раскрывать проблемы, брать на себя ответственность, выслушивать критику и вносить реальные улучшения.

Основатель OKX Star Xu опубликовал сообщение, в котором говорится, что многие упаковки и представления в конечном итоге оказались не более чем подделкой. Он упомянул, что, по сообщениям, произошло событие безопасности на сумму 6,3 миллиарда долларов, начавшееся с того, что один из сотрудников попал в ловушку фальшивого собеседования, что затем затронуло еще двух сотрудников, и внутренние инструменты ИИ также могли быть вовлечены, вызывая сомнения в том, является ли это так называемой "многоуровневой защитой".Star отметил, что не хочет слишком много гадать о сбоях в системе безопасности конкурентов, но напоминает пользователям криптоиндустрии, что чрезмерно ориентированная на маркетинг корпоративная культура может быть крайне опасной. Он заявил, что пользователи могут больше заботиться о вознаграждениях за мероприятия, в то время как хакеры и мошенники нацелены на весь основной капитал; безопасность, ответственность и соблюдение норм всегда должны быть на первом месте, даже самые заманчивые вознаграждения за мероприятия не могут компенсировать потерю основного капитала.