軟體漏洞

ChainCatcher 消息，OpenAI 表示其即將推出的 Astra 模型能夠在無需人工干預的情況下自主發現此前未知的軟體漏洞並將其轉化為可用的攻擊手段，成為該公司首個達到"嚴重"（Critical）網路安全能力等級門檻的模型。OpenAI 在週二發布的博文中稱，根據其 Preparedness Framework，達到該等級意味著模型能夠在無需人工介入的情況下，在加固的真實系統中發現零日漏洞並開發出可用的利用代碼，或僅憑一個高層級目標即可設計並執行攻擊。在測試中，Astra 在基於已知漏洞開發利用代碼的基準測試中取得 100% 的成績，並在另一項內部測試中發現了兩個此前未知的漏洞。此外，該模型還成功突破了加固的瀏覽器沙箱並在宿主機上執行命令，同時通過組合操作系統中的多個弱點獲得了 root 權限。OpenAI 表示，已推遲 Astra 的部分開發進度以增加安全防護措施，並計劃將其最先進的網路安全能力僅向經過篩選的測試人員開放。這一能力對加密行業尤為相關，因為軟體漏洞可在數分鐘內被轉化為資金損失。CoinDesk 今年 6 月曾報導，日益強大的 AI 模型可將搜索代碼、發現錯誤配置並組裝攻擊的過程從數天或數週壓縮至機器速度。安全研究人員當時指出，更大的變化並非出現全新類別的攻擊，而是現有弱點被發現和利用的速度大幅提升。

ChainCatcher 消息，据 Protos 報導，Bitcoin Core 開發人員發布了一個新的高危警告，稱每六個比特幣節點中就有一個存在軟體漏洞。週四，負責維護在超過 98% 的可達全節點上運行的軟體的開源 Bitcoin Core 項目的工作人員披露，運行在網路 17% 節點上的軟體存在重大安全問題。具體而言，所有低於 Bitcoin Core 版本 24.0.1 的軟體均存在風險。根據 Bitnodes 的監控估算，這個拒絕服務漏洞影響了可訪問的比特幣完整節點的 19,200 個自稱用戶代理中的大約 3,330 個。在 24.0.1 版本之前的 Bitcoin Core 軟體中，惡意行為者可以使用低難度的 header 鏈向節點發送垃圾郵件。通過強制節點下載和存儲極長的 header 鏈，攻擊可能會通過佔用過多帶寬或設備存儲空間使節點崩潰。開發人員在 Bitcoin Core 拉取請求（PR）編號 25717 中修復了這個漏洞，並在 2022 年 12 月 12 日隨著 v24.0.1 版本的發布將其合併到生產中。當前的 Bitcoin Core 節點軟體版本（現為 27.1）包含此漏洞和其他漏洞的修復。雖然這個漏洞相當嚴重，但公開記錄中已知的利用該漏洞的攻擊案例很少。由於生成和廣播區塊 header 鏈以執行拒絕服務攻擊的成本相當高，因此該漏洞對攻擊者來說幾乎沒有經濟利益。

ChainCatcher 消息，針對今日凌晨 1 時比特幣鏈上某單筆交易費用達 19.82枚 BTC，自托管錢包 Casa 聯合創始人兼首席技術官 Jameson Lopp 在 X 平台上表示："這疑似是一個帶有漏洞軟體的交易所或支付公司，他們收到了超過 60,000 個交易並從相同的地址發送了超過 60,000 個交易（不良實踐），而且很可能錯誤地計算了找零輸出。發生費用計算錯誤的地址具有僅用於提現的企業熱錢包的特徵。看起來它只時不時地從一個地址接收存款以隨時補充餘額。"此前消息，鏈上數據顯示，北京時間今日 1:10:01，比特幣鏈上出現單筆費用高達 19.82 BTC（價值近 51 萬美元）的交易，創歷史紀錄。