漏洞披露

ChainCatcher 消息，比特幣核心開發者 Antoine Poinsot 在比特幣開發郵件列表中宣布調整安全漏洞披露政策。他表示，過去漏洞通常被長期保密，以便用戶在細節公開前完成升級，但這也導致修復無法回移植到舊版本，用戶需等待下一個大版本發布。Poinsot 指出，大語言模型使部分漏洞極易被重新發現，繼續延遲修復所能提供的保護已十分有限。根據新政策，被判定為"易於發現"的漏洞將儘快在所有受維護的主版本中修復，並同步發布安全公告。該分類適用於僅需極少努力即可發現的漏洞，例如通過簡單的 LLM 提示詞。其他漏洞仍按嚴重程度遵循披露時間表：低嚴重性漏洞在包含修復的大版本發布兩週後披露；中高嚴重性漏洞則在最後一個受影響版本達到生命周期終止（通常為修復在新大版本發布一年後）兩週後披露。關鍵漏洞不在標準政策範圍內，可能需要臨時程序處理。比特幣生態安全研究者 Luke de Wolf 表示，他過去不認同 Poinsot 的安全策略，但認為此次更新是好的調整。今年 8 月，志願性質的 Bitcoin Red Team 在 390 個項目中報告了近 5000 個潛在問題，當時僅約五分之一得到複現。同月，Core Lightning 開發者在收到多份 AI 生成的漏洞報告後，敦促運營者升級或將節點下線，並保留技術細節兩週。

ChainCatcher 消息，据 The Block 報導，在 UwU Lend 平台攻擊者未能歸還資金後，該協議正在採取另一項舉措來尋找黑客。根據以太坊上的 Input Data Message (IDM)，UwU Lend 為"第一個識別並找到"漏洞利用者的人設立了價值 500 萬美元的 ETH 賞金，並補充道，"無需追回資金或費用"。此前，該協議曾與漏洞利用者直接討論過設立賞金。攻擊者可以保留他們所竊取的 20%，只要他們歸還 80%，如果漏洞利用者遵守，該協議表示將不再進一步追究此事，也不會讓執法部門介入此事。據悉，攻擊者必須在週三下午 1 點（美國東部時間）之前歸還資金。但在週四發給攻擊者的消息中，UwU Lend 寫道"你所竊取資金的償還期限已過。"

ChainCatcher 消息，据 Bitcoin.com 報導，Bitcoin Core（比特幣核心）的 Optech Newsletter #306 建議用戶"在未來兩週內升級到 Bitcoin Core 25.0 或更高版本，最新版本為 27.0。"幾位比特幣核心項目成員討論了一項關於漏洞披露的新政策。如果比特幣核心發布新版本，低嚴重性漏洞將在新版本發布後兩週左右披露，而大多數其他漏洞將在受影響版本到期後披露。

ChainCatcher 消息，据 The Block 報導，針對 dWallet Labs 的安全研究人員發現的一個漏洞，Lido Finance 核心節點運營商之一的 InfStones 將暫時將其以太坊驗證器從流動性質押協議中撤出，並實施密鑰輪換。該漏洞與開源庫 Tailon 相關，于 2023 年 7 月向 InfStones 報告，現已得到解決。儘管如此，這一事件導致採取了預防性安全措施。Lido Finance 確認該漏洞與影響 25 個 InfStones 驗證器伺服器的潛在根級訪問有關，但沒有證據表明此問題導致任何密鑰洩露或被利用。