fuzzland

Nhà nghiên cứu an toàn Thọ Siêu Phàm cho biết, anh vừa mua khoảng 6TB dữ liệu gọi mô hình Fable từ một trạm trung chuyển mô hình lớn hàng đầu của Trung Quốc, trong đó xuất hiện các khóa SSH, cấu hình VPN, khóa Alibaba Cloud, mã thông báo GitLab và các chứng chỉ nhạy cảm khác. Anh cho biết, kho dữ liệu này có đủ khóa để anh truy cập vào máy chủ hoặc hệ thống nội bộ của 19 công ty hàng đầu Trung Quốc, cũng như 7 cơ quan chính phủ liên quan của Trung Quốc và các nước cộng đồng độc lập, bao gồm Huawei, Xiaomi, NIO và MiniMax.Trạm trung chuyển mô hình lớn nằm giữa người dùng và các mô hình như Claude, do đó, các yêu cầu và phản hồi sẽ đi qua nó trước tiên, vì vậy có thể thấy toàn bộ văn bản rõ ràng. Một khi các nhà phát triển đưa SSH Key, API Key, cấu hình VPN vào ngữ cảnh của Agent, nếu trạm trung chuyển lưu giữ hoặc thậm chí bán những bản ghi này, khóa hệ thống của công ty cũng sẽ bị rò rỉ theo. Đây không phải là lần đầu tiên Thọ Siêu Phàm cảnh báo về rủi ro của trạm trung chuyển. Bài báo mà anh tham gia vào tháng 4 đã thử nghiệm 428 trạm trung chuyển LLM, phát hiện 9 trạm chủ động tiêm mã độc, 17 trạm thực sự đã sử dụng các khóa thử nghiệm AWS mà các nhà nghiên cứu cố ý đưa vào, và 1 trạm đã trực tiếp chuyển đi ETH trong ví thử nghiệm.Thọ Siêu Phàm là đồng sáng lập của công ty an toàn blockchain Fuzzland, lâu dài nghiên cứu về lỗ hổng và an toàn chuỗi cung ứng. Cuối tháng 3, anh cũng là người đầu tiên phát hiện ra rằng gói phát hành Claude Code 2.1.88 đã vô tình lộ khoảng 500.000 dòng mã nguồn TypeScript trong bản đồ nguồn.

ChainCatcher news, Fuzzland co-founder Chaofan Shou tweeted that the vulnerability in the lending protocol Morpho's frontend (Bundler3) has been fixed.

ChainCatcher message, Fuzzland co-founder Chaofan Shou posted on the X platform that the front-end component Bundler3 of the lending protocol Morpho has a security vulnerability, advising users to avoid interacting through the front end.Shou emphasized that only the "Multicall" function is affected, and the other functions are safe. If users need to withdraw funds, it is recommended to execute the Withdraw function directly through the contract. Currently, user funds themselves are not affected.

ChainCatcher news, Solana re-staking platform Solayer tweeted that it has acquired blockchain analytics company Fuzzland. The merged team will focus on Solayer infiniSVM (hardware-accelerated SVM chain for Solana scaling), optimizing Solana validators (to increase throughput and maximize returns for sSOL holders), as well as dynamic analysis, formal verification, and real-time protection of SVM.Fuzzland created the smart contract hybrid fuzzer Ityfuzz, which supports many Web3 security companies today.

ChainCatcher news, Fuzzland co-founder Chaofan Shou stated on the X platform: "Vestra DAO has just been hacked and the attack is still ongoing. A loss of $480,000 has been incurred, and more may follow. It is advised to withdraw staked assets and liquidity immediately."

ChainCatcher news, Fuzzland co-founder Chaofan Shou stated on social media that the decentralized trading platform Clipper was hacked due to an API vulnerability (such as private key leakage). Currently, losses exceed $500,000, with $6.5 million at risk. He urges users to withdraw their funds immediately.

ChainCatcher news, a member of the blockchain security company FuzzLand stated on the X platform that the team prevented over $6.5 million in assets on Sonne Finance from being further attacked by hackers with just $100.Specifically, the Optimism native lending protocol Sonne, based on Compound, has a common Compound V2 vulnerability where attackers can perform precision loss attacks when there are uninitialized new pools (soVELO). FuzzLand immediately detected the attack after the hacker's initial strike and found that the attacker held a soVELO position, which made it impossible for them to exploit it without liquidating the precision loss. FuzzLand then exchanged $100 for some VELO and added it to the soVELO pool, rendering the vulnerability no longer exploitable, thus protecting approximately $6.5 million of the remaining fund pool from being reused.Previous report mentioned that earlier today, the Sonne Finance protocol on the OP chain was attacked by a hacker using a flash loan, resulting in approximately $20 million in losses through multiple attacks.It is reported that FuzzLand is dedicated to automated auditing and on-chain real-time auditing, focusing on a model that reduces reliance on manual security audits through AI and fuzz testing + formal verification, and providing on-chain real-time firewalls for protocols or end users.

ChainCatcher news, blockchain security company FuzzLand announced the completion of a $3 million seed round financing, led by 1kx, with participation from HashKey Capital, SNZ, and Panga Capital. FuzzLand stated that this funding will help accelerate the development of automated solutions for smart contract analysis using dynamic analysis and distributed computing software.