slowmist

Главный директор по росту Bitget Се Цзяньинь опубликовал обновление о ходе событий безопасности на платформе, сообщив, что время вывода средств будет объявлено завтра до 12:00. Команда безопасности уже определила путь и методы атаки хакеров и владеет деталями обхода защитных мер, находясь на шаг ближе к выявлению источника атаки. Расследование инцидента третьей стороной, командами Mandiant и SlowMist, все еще продолжается, подробный отчет будет предоставлен командой безопасности.Онлайн-трекинг подтвердил, что в общей сложности около 387,5 миллиона долларов было переведено на адрес хакеров, ранее оценивалось в 351,6 миллиона долларов, это исправление включает ZEC и TRX, в настоящее время не обнаружено других несанкционированных переводов. Се Цзяньинь заявил, что средства, украденные с платформы, будут полностью покрыты фондом защиты пользователей Bitget, активы пользователей не понесут никаких убытков.Bitget официально запустил программу вознаграждений за восстановление средств, добровольная заморозка средств хакеров принесет 5% вознаграждения, добровольное возвращение средств также принесет 5% вознаграждения, вознаграждение также применяется к уже предоставленной помощи. Платформа опубликовала адреса хакеров, панель мониторинга в реальном времени и портал для подачи заявок, соответствующая информация также может быть подана через платформу вознаграждений Lazarus от Bybit.

Согласно отчету Cointelegraph, компания по безопасности блокчейнов SlowMist заявила, что ее расследование пока не связывает недавнюю атаку на Safari для iPhone, вызвавшую предупреждение о безопасности, с подтвержденными случаями кражи криптовалюты.SlowMist сообщила Cointelegraph, что пока не было независимо подтверждено, что жертвы пострадали из-за конкретных образцов атак Safari, которые она анализировала, и что имеющиеся у нее самые сильные технические доказательства охватывают версии iOS от 18.4 до 18.6.2. Компания утверждает, что распространенный внешний диапазон "iOS 13 до 26.5" следует рассматривать как предварительное суждение, и до получения воспроизводимых технических доказательств она склонна избегать утверждений о том, что iOS 26.5 была затронута.SlowMist отметила, что эта атака на Safari использовала ранее раскрытую цепочку эксплуатации уязвимости DarkSword и была независима от другого расследования FomoPeek, связанного с встраиванием вредоносных компонентов в приложения App Store. Команда угроз Google (GTIG) ранее в марте раскрыла DarkSword, назвав ее цепочкой эксплуатации уязвимости iOS, используемой несколькими злоумышленниками с ноября 2025 года.

Зловредное iOS приложение FomoPeek было обнаружено с несколькими модулями эксплуатации уязвимостей ядра, которые могут обойти песочницу Apple и получить доступ к чувствительным данным кошельков других приложений, что связано с кражей криптоактивов на сумму почти 580 000 долларов. Компания по безопасности блокчейна SlowMist сообщила, что приложение распространяется через App Store Apple. Компания заявила, что затронутые версии были выпущены 9 и 12 сентября, приложение содержит два зловредных модуля, которые могут получить более высокие привилегии и получить доступ к данным Keychain и файлам других приложений.Версия 1.3, выпущенная 17 сентября, удаляет соответствующие зловредные компоненты. Команда безопасности SlowMist и OKX провела расследование и обнаружила, что соответствующий атакующий фреймворк включает 8 видов атак, поддерживающих версии iOS от 12 до 18.7.2 и от 26 до 26.1. Анализ на блокчейне показывает, что адрес хакера, связанный с инцидентом, получил около 580 000 USDT, средства затем были переведены через несколько адресов и сервисов, часть из которых направлена на FixedFloat, KuCoin и cce.cash.

Компания по безопасности блокчейна SlowMist, главный специалист по информационной безопасности 23pds, заявил, что злоумышленники используют уязвимость Darksword для обхода механизмов безопасности iOS через Safari, контролируя устройства и извлекая приватные ключи и другие данные из управляемых криптокошельков. Эта уязвимость ранее использовалась для атак на пользователей из Саудовской Аравии, Турции, Малайзии и Украины. Группа по угрозам Google Threat Intelligence ранее сообщила, что Darksword изначально затрагивала только версии iOS с 18.4 до 18.7.23pds сообщил, что злоумышленники адаптировали ее для iOS 26.5, но это утверждение еще не получило официального подтверждения. Атаки обычно начинаются с социальной инженерии: пользователи нажимают на вредоносные ссылки, отправленные через социальные сети или приложения для общения, после чего устройство может получить Root-доступ и извлечь данные кошелька. Пользователи должны своевременно обновлять операционную систему телефона и избегать посещения веб-сайтов, ссылки на которые отправляют незнакомцы; еще трое инвесторов потеряли почти 1,8 миллиона долларов в биткойнах из-за загрузки поддельных приложений для кошельков из официального App Store Apple и подали в суд на Apple.

Согласно предупреждению безопасности SlowMist, контракт AtomicQueue ether.fi был скомпрометирован из-за отсутствия контроля доступа в функции solve(), что привело к краже около 15.45 ETH.Злоумышленники использовали updateAtomicRequest() для создания вредоносных запросов, принуждая адрес жертвы выступать в роли solver, после чего AtomicQueue вызывал finishSolve жертвы и выполнял want.transferFrom, злоупотребляя уже существующими разрешениями ERC-20 жертвы на перевод средств. SlowMist уже заранее в частном порядке уведомил команду ether.fi, адрес злоумышленника и адрес уязвимого контракта были опубликованы.

Согласно мониторингу SlowMist, контракт GebProxyActions понес убытки в размере около 5.9436 ETH из-за отсутствия контроля доступа для вызывающих. Пострадавшие пользователи ранее напрямую вызывали GebProxyActions.quitSystem, а не через делегированный вызов DSProxy, что привело к тому, что ownsSAFE[safe] был установлен на контракт GebProxyActions.Злоумышленник напрямую вызвал GebProxyActions.quitSystem(manager, safe, dst), обойдя проверку safeAllowed в GebSafeManager и переведя залог на себя.

Сообщение ChainCatcher, SlowMist опубликовал информацию о недавно обнаруженной мошеннической деятельности, связанной с наймом для специалистов Web3. Злоумышленники выдают себя за рекрутеров, подталкивая жертв установить программное обеспечение для AI-видеоконференций под названием "Relay", которое на самом деле является вредоносной программой для кражи информации.Этот вредоносный софт нацелен как на пользователей macOS, так и на пользователей Windows, и может похищать учетные данные браузера, данные криптовалютных кошельков, данные Keychain, сессии Telegram и другую чувствительную информацию. SlowMist завершил анализ образцов и раскрыл способ работы этой цепочки атак. SlowMist напоминает, что при участии в онлайн-собеседованиях или процессах найма следует осторожно устанавливать незнакомое программное обеспечение, избегать запуска непроверенных приложений и обращать внимание на необычные запросы на установку или подсказки системного пароля.

Сообщение ChainCatcher, согласно официальным данным, OKX совместно с Elliptic, SlowMist, OttoSec выпустила «Отчет о безопасности и управлении рисками Web3 за первую половину 2026 года». В отчете отмечается, что акцент атак Web3 постепенно смещается с кода смарт-контрактов на более сложные сценарии, такие как процессы подписи, пользовательские устройства, инфраструктура эксплуатации и AI Agent.Данные показывают, что за первую половину 2026 года система управления рисками OKX заблокировала более 5,7 миллиона высокорисковых транзакций, из которых около 2,41 миллиона транзакций были связаны с хакерами и кражами, около 1,48 миллиона транзакций были связаны с фишингом, и около 990 тысяч транзакций были связаны с мошенничеством. Библиотека меток разведывательной информации OKX Web3 в настоящее время содержит более 1 миллиарда меток, охватывающих более 420 цепочек, и интегрирует возможности проверки адресов, мониторинга транзакций и управления санкционными адресами в такие инфраструктуры, как DEX и Exchange OS.Кроме того, в области защиты пользователей OKX заблокировала более 7 миллионов попыток доступа к рискованным сайтам, провела более 200 тысяч проверок рисков устройств, идентифицировала более 60 тысяч высокорисковых приложений и заблокировала или выдала предупреждения по более чем 4 миллионам высокорисковых операций с подписями. В отчете также представлено проектирование «предварительного управления рисками» в таких сценариях, как Exchange OS, Outcomes, RWA и Agentic Wallet.

Сообщение ChainCatcher, SlowMist выпустила предупреждение о безопасности, обнаружив скоординированную злонамеренную атаку на цепочку поставок npm, в которой злоумышленники использовали поддельные репозитории торговых ботов и npm-пакеты на тему DeFi для распространения JavaScript-воришек информации, нацеленных на пользователей npm, разработчиков DeFi и пользователей торговых ботов.В этой атаке участвуют 30 злонамеренных npm-пакетов, среди которых [email protected] появляется в качестве заблокированной зависимости в репозитории donoaccestag/forex-mt5-trading-bot, который содержит около 2300 высоко однородных массово сгенерированных форков, большинство из которых сосредоточено на аккаунте poly-stocks, сигнал очень четкий. Злоумышленники могут украсть широкий спектр конфиденциальных данных, включая библиотеки криптокошельков, куки браузера и сохраненные пароли, историю просмотров, учетные данные разработчиков, историю команд Shell, библиотеки менеджеров паролей, приватные ключи, мнемонические фразы и API-токены, раскрытые в исходном коде.SlowMist рекомендует разработчикам немедленно удалить затронутые npm-пакеты, провести аудит package.json и package-lock.json, а также CI-логов на наличие любого из 30 злонамеренных пакетов; рассматривать системы, на которых выполнялась команда npm install, как потенциально скомпрометированные, сменить все раскрытые кошельки, приватные ключи, токены npm, облачные учетные данные, SSH-ключи и API-токены, а также восстановить затронутую среду из чистого образа.

SlowMist has issued a security alert, detecting an active npm supply chain attack targeting @redhat-cloud-services related packages. Currently, over 31 packages have been confirmed affected, with a weekly download volume of approximately 116,000 times, and stolen credentials exist in more than 300 GitHub repositories. This attack method is highly similar to the previous "Shai-Hulud" npm attack, including credential theft, creation of malicious repositories, and automated secret leakage. New suspicious repositories continue to emerge, indicating that the attack is still ongoing, and developers are still being continuously infected.Potential harms include: theft of GitHub/npm tokens, leakage of AWS/GCP/Azure cloud credentials, collection of SSH keys and Kubernetes secrets, leakage of local environment and wallet data, creation of malicious repositories and persistence operations, and even potentially destructive actions after tokens are revoked. It is recommended to immediately remove or downgrade affected @redhat-cloud-services package versions, conduct a comprehensive audit of CI/CD workflows and dependency installations, rotate all GitHub, npm, cloud service, SSH, and wallet-related keys, retain logs, and rebuild exposed developer machines or Runners from clean images while maintaining a high level of vigilance.

According to SlowMist monitoring, the ONTR token contract has an access control vulnerability due to the onlyOwner modifier, resulting in a loss of 49.4801 WETH, worth approximately $98,000. The attacker (0xe806...b760) exploited this vulnerability by calling transferOwnership() to set the attacker contract as the owner when the owner was address(0) through permission checks, then called desertJasper() to add hidden balances to the queue, and subsequently called glenFlash() to execute ashBud(), directly increasing the address balance by 1e30 basic units without increasing the totalSupply. The attacker transferred the inflated tokens to PancakePair (0xd46d...83fd) and exchanged them for WETH through swap().

According to the blockchain security organization SlowMist (@SlowMist_Team), a highly complex npm worm named "Mini Shai-Hulud" is spreading through well-known developer projects such as TanStack, UiPath, and DraftLab, as monitored by their threat monitoring system MistEye. Attackers hijack GitHub credentials to publish malicious packages disguised as legitimate updates, embedding a hidden script router_init.js that runs silently in CI/CD environments like GitHub Actions, specifically designed to steal CI/CD keys, cloud infrastructure keys, and cryptocurrency wallet information, using GitHub's own infrastructure for data exfiltration.SlowMist has synchronized relevant threat intelligence (IOC) with clients and recommends that projects using the affected packages immediately check their CI/CD pipelines for the presence of the router_init.js file, rotate all exposed GitHub, cloud service, and cryptocurrency credentials, and continuously monitor for abnormal background activities in the development environment.

According to the threat intelligence released by the SlowMist security team, its threat intelligence system MistEye has received community feedback regarding an active social engineering attack targeting cryptocurrency users.The attackers contact target users under the pretext of project collaboration, luring them to use a counterfeit "Harmony Voice" software (domain: harmony-voice[.]app) for so-called real-time translation, which is actually malware. SlowMist has synchronized the relevant threat intelligence (IOC) to its corporate clients.

According to SlowMist monitoring, the scammers who obtained 50 million USDT through a "transfer record poisoning attack" began to transfer the funds within 30 minutes after receiving them.The scammer first exchanged 50 million USDT for DAI via MetaMask Swap, then converted all DAI into 16,690 ETH, and finally deposited all the funds into the mixing service Tornado Cash. Previously, it was reported that a user suffered a loss of approximately 50 million dollars due to a "transfer record poisoning attack."

ChainCatcher message, the blockchain security agency SlowMist stated that it has detected an attack on the token SIL created by Andre Cronje four years ago.

ChainCatcher news, SlowMist founder Yu Xian tweeted that the hacker of the UXLINK project may have been targeted by the Inferno Drainer phishing gang.

ChainCatcher news, according to official information, KiloEx announced that its partner SlowMist has prepared two audit plans:Complete audit by SlowMist before KiloEx goes live again: This audit is expected to take about 45 days to ensure comprehensive security guarantees.Preliminary permission audit by SlowMist: SlowMist will first audit the permission mechanism of the protocol to prevent similar attack incidents from occurring. KiloEx will decide whether to go live again based on the results of the preliminary permission audit, and then SlowMist will continue with a comprehensive audit of the protocol logic and economic model. The required time is still being assessed, but it will be significantly shorter than 45 days.KiloEx understands the community's urgent feelings about going live again, so it has decided to choose plan two—starting with the initial permission audit. Once the audit results are out, KiloEx will announce the timeline for going live again as soon as possible.

ChainCatcher message, according to the official announcement from SlowMist, the team has detected potential suspicious activities related to the $MIN token (BSC chain) and reminds users to stay vigilant and pay attention to the safety of their funds.

ChainCatcher news, Nano Labs, SlowMist, and Aquarius announced the establishment of the Fortress Foundation and launched its first initiative—the Fortress Initiative. This is a framework for liquidity management security design and process audit standards, aimed at setting a new benchmark for security and transparency in the cryptocurrency liquidity management field. The initiative provides detailed security guidelines for liquidity management protocols and establishes practices for auditing liquidity management processes, supplemented by practical case studies to ensure operability.The core vision of the Fortress Initiative is to establish global standards for liquidity management security and process auditing, thereby building trust across the entire cryptocurrency ecosystem. Its mission is to provide cutting-edge security frameworks and rigorous audit standards, enabling organizations to effectively protect digital assets while optimizing liquidity management operations.The initiative follows a comprehensive one-year roadmap aimed at achieving a seamless transition from concept to full industry integration. The initial phase focuses on foundational development work, including defining concepts, establishing brand identity, assembling core contributors and partner organizations, and drafting frameworks through collaboration with key stakeholders. During this phase, the team developed risk assessment protocols, audit methodologies, and penetration testing plans, which were validated through pilot case studies. Subsequently, the launch phase will collect feedback and drive participation through formal releases, interactive panel discussions, live demonstrations, and community workshops at major industry events. The final phase will optimize and expand the framework based on early audit results, incorporate regulatory compliance measures, establish a trained network of auditors, and culminate in a security summit to showcase progress and plan future strategies.The Fortress team stated that in the early stages of the project, they will focus on inviting asset management protocols and ecosystem partners with BTC staking needs to participate in the construction.The initiative has received strong support from industry-leading organizations. Nano Labs (Nasdaq: NA) is a publicly listed company on Nasdaq and a leading chip design company in Asia, at the forefront of technological innovation and recognized as a major and steadfast holder of Bitcoin. SlowMist is a globally renowned blockchain security company with over a decade of professional experience, bringing unparalleled expertise to the field of cybersecurity. Aquarius is a research-driven asset management company managing over $600 million in assets, providing rich expertise in liquidity management and liquidity management strategies. Additionally, the Sei native lending protocol Takara Lend, supported by Sei Blockchain, joined as one of the first donating members, highlighting their commitment to collaboratively establish standards and processes that will shape the future of liquidity management security.The technical framework of the Fortress Initiative is equally robust, with security standards covering the entire liquidity management lifecycle—from pre-liquidity management assessments, continuous monitoring, to post-management issue response systems—integrating comprehensive testing, monitoring, coordination, and tracking systems comparable to ISO 9001 standards. This framework includes detailed smart contract code audits, comprehensively checking for issues such as permission vulnerabilities, security design, design logic, variable coverage, variable declarations and scopes, arithmetic accuracy, uninitialized storage pointers, and denial-of-service attacks. Additionally, the framework encompasses rigorous security awareness testing conducted through red team testing and phishing simulations, comprehensive multi-chain asset security monitoring, and thorough assessments of internal management processes, including recruitment, code deployment, incident response, and multi-signature wallet management.The Fortress Foundation is a non-profit organization dedicated to promoting blockchain security, with the goal of establishing standards for security and transparency in the liquidity management ecosystem.