Соучредитель Monad Keone Hon призвал криптокоманды сделать безопасность своим главным приоритетом, поделившись рекомендациями по операционной безопасности и продвигая открытый инструмент фонда Ultrafuzz, поскольку злоумышленники получают доступ к всё более мощному ИИ.
Краткое содержание
- Hon призвал разработчиков запускать Ultrafuzz на своих контрактах и укреплять операционную безопасность.
- Руководство Monad по OpSec охватывает фишинг, управление учётными данными, устройства сотрудников и разрешения сторонних аккаунтов.
- Ultrafuzz был открыт в сентябре, до последнего призыва Hon к командам использовать его.
- В числе упомянутых в руководстве потерь от захвата контроля — утечки ключей и атаки на цепочку поставок наряду с социальной инженерией.
Ресурсы Monad Foundation охватывают как программное обеспечение, которое развёртывают команды, так и аккаунты, устройства и схемы подписи, используемые для управления им. В своих публикациях Hon направлял читателей к Crypto OpSec Bible, руководству по администраторским аккаунтам и исследованию по поиску уязвимостей с помощью ИИ.
«В эту эпоху атакующих, вооружённых ИИ, единственный путь вперёд для нашей отрасли — продолжать укрепляться, — написал он. — Безопасность должна быть главным приоритетом каждой команды».
Руководство Monad по OpSec нацелено на повседневные сбои безопасности
Написанная Омаром, Crypto OpSec Bible начинается с выражения недовольства по поводу повторяющихся компрометаций, связанных с незнакомым кодом, фишингом, раскрытыми учётными данными и плохим управлением устройствами.
Руководство ссылается на трекер Lumos от ChainLight, который зафиксировал 3,31 млрд долларов эксплуатированной стоимости от захвата контроля по сравнению с 983 млн долларов от уязвимостей смарт-контрактов в инцидентах, отслеживаемых с января 2023 года до момента подготовки отчётности руководства.
Его категория захвата контроля включает социальную инженерию, утечку приватных ключей, несанкционированный доступ, атаки на цепочку поставок и другие традиционные сбои безопасности. Сравнение охватывает зафиксированные трекером инциденты и представлено как исторический снимок.
Омар утверждает, что криптоорганизации уделяют недостаточно внимания операционной безопасности. Его рекомендации включают разделение личной активности и рабочих устройств, поддержание чистого компьютера или браузера для криптоактивности и проверку деталей транзакции перед подписанием.
Hon призывает разработчиков пересмотреть административный доступ
Для разработчиков смарт-контрактов Hon выделил рекомендацию не полагаться на внешние аккаунты (EOA) для административных ролей и обратил внимание на использование выделенного ноутбука при подписании административных функций.
Его список ресурсов включает работу по формальной верификации и поиску угроз с помощью больших языковых моделей. В отдельной публикации он призвал разработчиков запускать Ultrafuzz на своих контрактах, отметив опыт Antonio Viggiano и пригласив к обратной связи.
«Разработчики смарт-контрактов, пожалуйста, запускайте Ultrafuzz на своих контрактах!! Он открыт и доступен каждому», — написал Hon.
Объявление об открытии исходного кода инструмента было опубликовано 10 сентября. Последние публикации Hon вновь привлекают внимание к уже существующему релизу наряду с ресурсами фонда по операционной безопасности.
Ultrafuzz сочетает исследование с помощью ИИ с тестированием контрактов
Доступный через публичный репозиторий GitHub, Ultrafuzz координирует специализированных ИИ-агентов для изучения контрактов, картирования поведения пользователей, исследования свойств безопасности, запуска стратегий тестирования и подготовки результатов для проверки.
Monad сообщает, что более 20 запусков на проектах экосистемы помогли сформировать релиз, который поддерживает Solidity и Vyper.
В своем техническом обзоре Виджиано описал разработку инструмента в процессе помощи команде в подготовке к внешнему аудиту безопасности. В проекте отсутствовали фазз-тесты, что побудило к работе над рабочим процессом с использованием ИИ для их создания.
В его объяснении описывается, как агенты выявляют условия, которые протокол должен сохранять, а затем исследуют, нарушают ли их конкретные действия или последовательности. Результаты объединяются, проверяются и оформляются в отчет.
Monad рекомендует пользователям запускать Ultrafuzz на одноразовых изолированных виртуальных машинах. Его агенты работают с неограниченными разрешениями, и в объявлении содержится предупреждение против запуска на рабочих станциях разработчиков или машинах, содержащих ценные учетные данные.
Недавние взломы раскрывают учетные записи и программные зависимости
Более ранние инциденты затронули несколько точек доступа, охваченных руководством.
26 октября crypto.news сообщил, что производитель кошельков Foundation пострадал от компрометации API-ключа Cloudflare, что позволило рассылать мошеннические письма, якобы исходящие с его официальных доменов. Компания отозвала учетные данные и заявила, что аппаратное обеспечение Passport и хранящиеся средства остались в безопасности.
Июльский инцидент был связан с скомпрометированным пакетом разработчика Injective. Компания по безопасности Socket сообщила, что вредоносный код перехватывал функции генерации кошельков и передавал закрытые ключи и фразы восстановления через поддельную телеметрию. Генеральный директор Injective Эрик Чен заявил, что затронутые выпуски были объявлены устаревшими, а проблема исправлена.
Еще одно июльское расследование касалось вредоносного ПО OkoBot для кражи кошельков, распространявшегося через репозитории GitHub под видом легитимного программного обеспечения. Кампания использовала поддельные сообщения об ошибках и инструкции по исправлению, чтобы убедить жертв выполнить вредоносные команды. Ее модули включали поддельные экраны восстановления кошельков, мониторинг клавиатуры и слежение за буфером обмена.
