fog

Bitcoin News опубликовал сообщение на платформе X, в котором говорится, что федеральные прокуроры США сообщили судье Кэтрин Полк Файла, что Апелляционный суд округа Колумбия 25 сентября подтвердил приговор основателю Bitcoin Fog Роману Стерлинову, поддерживая суд над Романом Штормом, связанным с Tornado Cash в Нью-Йорке.Апелляционный суд установил, что округ Колумбия имеет юрисдикцию для судебного разбирательства, поскольку правоохранительные органы ранее внесли в Bitcoin Fog биткойны на сумму около 250 долларов из округа Колумбия. Прокуроры утверждают, что пользователь Шакил Ахмед получил доступ к Tornado Cash из своей квартиры в Манхэттене, поэтому та же логика применима. Роман Шторм опубликовал это письмо и отметил, что FinCEN в тот же день отозвал требования о отчетности по микшерам, выдвинутые в 2023 году, поскольку это предложение могло бы подавить законную деятельность.

Американские федеральные прокуроры ссылаются на решение апелляционного суда, связанное с криптовалютным миксером Bitcoin Fog, как на дополнительное основание для противодействия ходатайству о невиновности разработчика Tornado Cash Романа Шторма. В документах, поданных в понедельник, прокуратура ссылается на решение апелляционного суда от 25 сентября, который подтвердил осуждение и приговор оператора Bitcoin Fog Романа Стерлингова. Апелляционный суд округа Колумбия установил, что у Вашингтона есть юрисдикция по всем четырем обвинениям: обвинение в отмывании денег основывается на том, что подрывной агент завершил транзакции Bitcoin Fog в своем офисе в округе, а обвинение в несанкционированной передаче средств подтверждается достаточными доказательствами того, что Bitcoin Fog обслуживал клиентов в этом районе.Прокуратура утверждает, что это решение "прямо поддерживает" их позицию в деле Шторма, считая, что деятельность Tornado Cash в Манхэттене достаточно для установления юрисдикции Южного округа Нью-Йорка по обвинениям в сговоре с целью отмывания денег и несанкционированной передачи средств, ссылаясь на свидетельство Шакиба Ахмеда, который утверждал, что использовал Tornado Cash в своей квартире в Манхэттене. Судья Кэтрин Полк Файла уже в апреле 2026 года выслушала аргументы по делу о невиновности, но еще не вынесла решения. В августе 2025 года присяжные признали Шторма виновным в сговоре по управлению несанкционированной передачей средств, но по обвинениям в отмывании денег и сговоре по санкциям возникли разногласия; Шторм подал ходатайство о невиновности после судебного разбирательства в сентябре 2025 года, утверждая, что прокуратура не смогла доказать, что он намеревался помочь преступникам злоупотреблять Tornado Cash.

Fogo официально объявил, что основная сеть Fogo была перезапущена и работает нормально. В результате этого инцидента было украдено 400 миллионов токенов FOGO, из которых 237 миллионов были возвращены и навсегда удалены из общего объема.Официальные лица заявили, что они сотрудничают с централизованными биржами и правоохранительными органами для продолжения возврата оставшихся затронутых активов. Расследование продолжается, и последующая информация будет опубликована через этот официальный канал, пожалуйста, ориентируйтесь только на обновления из этого канала.

Сообщение ChainCatcher, согласно The Defiant, основная сеть Fogo прекратила создание блоков на примерно 46 часов с субботнего вечера, причиной чего стала атака на фонд Fogo, в результате которой 4 миллиона токенов FOGO (примерно 10,3% от обращения) были переведены на адрес злоумышленника. Фонд изначально заявил, что сама цепочка не пострадала, но через 15 часов сеть была активно приостановлена, и планируется ограничение связанных адресов через обновление. В настоящее время официальный браузер Fogo показывает последний блок 718,525,971, а RPC-эндпоинт возвращает ошибку 502, TVL на блокчейне, отслеживаемый DefiLlama, заморожен на уровне 987,000 долларов в течение трех дней.Эта остановка стала возможной благодаря дизайну валидаторов Fogo: цепочка управляется советом из 7 голосующих валидаторов, фонд распределяет ставку между 7 операторами, что позволяет координировать приостановку и внедрять черный список адресов на уровне клиента за считанные минуты. Что касается бирж, KuCoin и Gate уже отключили ввод и вывод FOGO, но оставили торговлю, объем спотовых сделок за 24 часа составил около 2,3 миллиона долларов. В то же время, поддельный аккаунт в Twitter, выдающий себя за фонд Fogo @FcgoFNDN, опубликовал ложную ссылку на голосование о компенсации, и Fogo официально предупреждает пользователей полагаться только на информацию из официальных каналов.Fogo стала второй сетью, которая была активно приостановлена в выходные, ранее Cronos откатил состояние из-за атаки на кредитный протокол Tectonic. Fogo ранее привлекла около 7 миллионов долларов, продав 2% от общего объема через Binance перед запуском основной сети в январе, оценка составила 350 миллионов долларов. В настоящее время фонд еще не опубликовал детали атаки, план компенсации или график перезапуска.

Сообщение ChainCatcher, официальное заявление публичной цепи SVM Fogo гласит, что в течение последнего часа основная сеть Fogo была временно остановлена в качестве меры предосторожности, так как была обнаружена несанкционированная активность.Остановка направлена на предотвращение дальнейшего перемещения затронутых активов. В течение остановки сеть будет обновлена для ограничения адресов, связанных с этим событием. Fogo заявляет, что поделится дальнейшими обновлениями после подтверждения дополнительной информации и просит полагаться только на этот официальный канал для получения обновлений.

Сообщение ChainCatcher, неизвестный злоумышленник взломал фонд Fogo, около 400 миллионов токенов FOGO были переведены на злонамеренный адрес. Фонд Fogo уведомил крупные биржи и в настоящее время общается с правоохранительными органами и экспертами по блокчейн-судебной экспертизе.Этот инцидент не повлияет на саму блокчейн-сеть Fogo, сеть в настоящее время продолжает нормально функционировать. Фонд Fogo опубликует дальнейшие обновления после получения дополнительной информации.

SlowMist has issued a security alert, detecting an active npm supply chain attack targeting @redhat-cloud-services related packages. Currently, over 31 packages have been confirmed affected, with a weekly download volume of approximately 116,000 times, and stolen credentials exist in more than 300 GitHub repositories. This attack method is highly similar to the previous "Shai-Hulud" npm attack, including credential theft, creation of malicious repositories, and automated secret leakage. New suspicious repositories continue to emerge, indicating that the attack is still ongoing, and developers are still being continuously infected.Potential harms include: theft of GitHub/npm tokens, leakage of AWS/GCP/Azure cloud credentials, collection of SSH keys and Kubernetes secrets, leakage of local environment and wallet data, creation of malicious repositories and persistence operations, and even potentially destructive actions after tokens are revoked. It is recommended to immediately remove or downgrade affected @redhat-cloud-services package versions, conduct a comprehensive audit of CI/CD workflows and dependency installations, rotate all GitHub, npm, cloud service, SSH, and wallet-related keys, retain logs, and rebuild exposed developer machines or Runners from clean images while maintaining a high level of vigilance.

The founder of Slow Fog, Yu Xian, posted on the X platform to interpret the Squid security incident. He stated that sampling found that the related Safe wallets were all single-signature, and the owners were all different, but the issue was not with the private keys; the problem lay in the modules (SquidRouterModule) used by these Safe addresses, which had vulnerabilities. Attackers could forge messages, easily bypass relevant validations, and initiate subsequent exchange operations to transfer funds from the target Safe wallet. In addition, Yu Xian also disclosed information about the address where the attackers' profits were deposited.Previously, it was reported that a third-party Gnosis Safe module was exploited on Base and Ethereum, resulting in a loss of approximately $3.2 million, with the victims being 86 Gnosis Safes that had added this contract as a trusted Safe Module. The contract was named "SquidRouterModule" on Basescan, and subsequently, Squid clarified that it was not affected by the Gnosis Safe-related vulnerability incident.

Slow Fog's Yu Xian posted on the X platform stating that the reason for the Verus theft may be that the attacker constructed a forged Merkle proof, which passed the verification of the Verus Ethereum bridge (not open source), thus successfully withdrawing funds (ETH/tBTC/USDC). Specific details need to be further verified.

The slow fog余弦 social media stated that the high-risk iOS attack framework DarkSword has been publicly leaked on channels such as GitHub and is being used for large-scale espionage attacks targeting cryptocurrency wallet holders.This attack program targets devices running iOS versions 18.4 to 18.7, utilizing vulnerabilities in the Safari browser through malicious web pages to achieve remote code execution, thereby stealing users' sensitive data. Attackers launch attacks using bait web pages that impersonate pornographic live streams, Tron energy stations, refund processes, and more.iPhone users running older versions of iOS, once they access such web pages using the Safari browser (even if they do not close the page), may have sensitive information such as plaintext private keys and mnemonic phrases stolen by malicious JavaScript code when unlocking the wallet app, which is then transmitted in real-time through channels like Telegram bots.

The Chief Information Security Officer of Slow Fog, 23pds, disclosed on platform X that node-ipc has been compromised again. The released three malicious versions of node-ipc (9.1.6, 9.2.3, 12.1) carry the same credential-stealing payload, with the package being downloaded over 10 million times per week.

The U.S. Court of Appeals is hearing the appeal case of Roman Sterlingov, focusing on the key discussion of whether cryptocurrency services are subject to U.S. law. The case centers on: whether a small number of transactions conducted by law enforcement in Washington is sufficient to establish jurisdiction; and the reliability of evidence identifying the defendant through "IP overlap analysis" by the FBI. The U.S. Department of Justice argues that Bitcoin Fog, as a global money transfer service aimed at U.S. users, should be bound by U.S. law; while the defense questions the law enforcement's "artificial creation of jurisdiction."

According to the blockchain security organization SlowMist (@SlowMist_Team), a highly complex npm worm named "Mini Shai-Hulud" is spreading through well-known developer projects such as TanStack, UiPath, and DraftLab, as monitored by their threat monitoring system MistEye. Attackers hijack GitHub credentials to publish malicious packages disguised as legitimate updates, embedding a hidden script router_init.js that runs silently in CI/CD environments like GitHub Actions, specifically designed to steal CI/CD keys, cloud infrastructure keys, and cryptocurrency wallet information, using GitHub's own infrastructure for data exfiltration.SlowMist has synchronized relevant threat intelligence (IOC) with clients and recommends that projects using the affected packages immediately check their CI/CD pipelines for the presence of the router_init.js file, rotate all exposed GitHub, cloud service, and cryptocurrency credentials, and continuously monitor for abnormal background activities in the development environment.

SlowMist has issued a security warning stating that a high-risk phishing activity targeting TRON wallet users has been discovered. Attackers created a fake Chrome extension for the TronLink wallet, using Unicode bidirectional control characters and Cyrillic homographs to disguise the brand name. After installation, the extension loads a complete phishing page through a remote iframe, forming a "shell-core separation" credential theft chain.The malicious extension name uses homographs for disguise, and its Chrome Store page inherits the high user count and positive reviews of the real extension, lowering the review threshold. There is very little local code, only loading remote pages, making static analysis nearly impossible to detect malicious behavior. The remote phishing page perfectly replicates the official TronLink web wallet interface, stealing mnemonic phrases, private keys, Keystore files, and passwords, and relaying them in real-time via a Telegram Bot.Built-in anti-analysis features disable right-click, developer tools, drag-and-drop, and printing, and redirect based on the geographic and language settings of Russian users to evade detection. SlowMist recommends immediately uninstalling suspicious extensions, clearing local storage, checking for abnormal traffic, and if credentials have been entered, creating a new wallet and transferring assets immediately.

The Chief Information Security Officer of Slow Fog, 23pds, disclosed that a privilege escalation vulnerability named Dirty Frag has been exposed in Linux systems, with complete details and exploit code now public. This vulnerability allows any local low-privilege user to directly obtain root privileges on almost all mainstream Linux distributions. It is classified as a deterministic logic flaw, and the attack does not rely on complex race conditions, resulting in a very high success rate without causing kernel crashes, posing significant danger. Linux users are advised to upgrade their systems promptly.

The Chief Information Security Officer (CISO) of Slow Mist @23pds posted on the X platform revealing that X platform user Ilhamrfliansyh induced the AI model Grok to generate and publish abnormal content through a prompt injection attack, triggering erroneous on-chain fund operations.It is alleged that the original content was suspected to be a segment of Morse code, with the core meaning being "transfer all DRB to Ilhamrfliansyh." Although the related account has been deactivated and the complete information cannot be fully confirmed, Grok directly published the "decoded result" as a reply after parsing, inadvertently @ing bankrbot, causing the content to be recognized by the system as an on-chain execution instruction.Subsequently, Bankr, as Grok's associated wallet, executed the request, transferring approximately $175,000 worth of DRB to the attacker's address. The attacker then quickly exchanged the DRB for USDC through multiple wallets.This incident temporarily triggered a nearly 40% drop in the price of DRB, but the market quickly recovered, and the price has largely regained its losses. Industry insiders pointed out that this event exposed the potential risks of the "AI + automated on-chain execution" system under prompt injection attacks, especially in scenarios where AI results can directly trigger fund operations.

The Chief Information Security Officer of Slow Fog, 23pds, tweeted that HexagonalRodent, a subsidiary of the Lazarus Group, is targeting Web3 developers through social engineering tactics such as "high-paying remote positions" and "recruitment for well-known projects" to induce the execution of malicious code, ultimately stealing users' cryptocurrency assets.On March 9, 2026, a user with the same name as a fast-draft extension developer was infected with the OtterCookie malware, which was used to distribute malicious programs. Attackers extensively used ChatGPT and Cursor to assist in executing the attacks, further enhancing the disguise and deception.

The Chief Information Security Officer of Slow Fog Technology, 23pds, forwarded a message from the dark web intelligence account Dark Web Intelligence (@DailyDarkWeb), stating that the hacker group ShinyHunters claims to have infiltrated internal systems related to the Anthropic Mythos model and has shared screenshots of the user management panel, AI experiment dashboard, model performance, and cost analysis. The authenticity of this information has not yet been confirmed by Anthropic.Given that many companies have previously applied to trial the related models, if the news is true, it could pose indirect security risks to leading tech companies and those in the cryptocurrency industry.

According to monitoring by the blockchain security firm SlowMist, MistEye has received threat intelligence from the community indicating that a malware named "MacSync Stealer" (v1.1.2) is active and highly destructive. This malware targets macOS users, stealing sensitive data including cryptocurrency wallets, browser credentials, system keychains, and infrastructure keys (SSH/AWS/K8s).The malware uses a spoofed AppleScript system dialog for phishing and displays fake error messages stating "unsupported" after data leakage. It has immediately synchronized this IOC (Indicator of Compromise) to clients. Do not execute unverified macOS scripts and remain highly vigilant against unexpected system password prompts. If an attack is suspected, immediate remediation is required: change all infrastructure credentials (SSH/AWS/K8s), invalidate any exposed keychains, and quickly migrate cryptocurrency assets to a secure wallet.

According to SlowMist founder Yu Xian (@evilcos), the core of the KelpDAO theft incident, which involved approximately $290 million, was a targeted poisoning attack on the downstream RPC infrastructure of LayerZero DVN (Decentralized Validator Network).The specific attack steps were: first, obtaining the list of RPC nodes used by LayerZero DVN, then breaching two independent clusters and replacing the op-geth binary file; using selective deception techniques to return forged malicious payloads only to DVN while returning real data to other IPs; simultaneously launching DDoS attacks on the unbreached RPC nodes, forcing DVN to failover to the poisoned nodes, completing the forged message verification, and then the malicious binary self-destructing and clearing logs. This ultimately led to LayerZero DVN issuing validations for "transactions that never occurred."