Monad 联合创始人 Keone Hon 敦促加密团队将安全作为首要任务，分享了运营安全指南，并推广基金会的开源工具 Ultrafuzz，因为攻击者正获得能力更强的人工智能。
摘要
- Hon 鼓励开发者在其合约上运行 Ultrafuzz，并加强运营安全。
- Monad 的 OpSec 指南涵盖网络钓鱼、凭证管理、员工设备以及第三方账户权限。
- Ultrafuzz 于 9 月开源，早于 Hon 最新呼吁团队使用它。
- 该指南引用的控制权劫持损失包括密钥泄露和供应链攻击，以及社会工程攻击。
Monad 基金会的资源既涵盖团队部署的软件，也涵盖用于管理该软件的账户、设备和签名安排。在帖子中，Hon 引导读者查阅《加密 OpSec 圣经》、关于管理员账户的指南，以及利用 AI 发现漏洞的研究。
“在这个 AI 赋能攻击者的时代，我们行业唯一的出路就是继续加固，”他写道。“安全应成为每个团队的首要关注点。”
Monad 的 OpSec 指南针对日常安全失误
由 Omar 撰写的《加密 OpSec 圣经》开篇表达了对反复出现的入侵事件的沮丧，这些事件涉及不熟悉的代码、网络钓鱼、凭证泄露和设备管理不善。
该指南引用了 ChainLight 的 Lumos 追踪器，该追踪器记录显示，在 2023 年 1 月至该指南报告截止日期所追踪的事件中，控制权劫持造成的被利用价值为 33.1 亿美元，而智能合约漏洞造成的为 9.83 亿美元。
其控制权劫持类别包括社会工程、私钥泄露、未经授权的访问、供应链攻击以及其他传统安全失误。该比较涵盖追踪器记录的事件，并作为历史快照呈现。
Omar 认为，加密组织对运营安全的关注不足。他的建议包括将个人活动与工作设备分开、为加密活动保持一台干净的电脑或浏览器，以及在签名前检查交易详情。
Hon 敦促开发者审查管理员权限
对于智能合约开发者，Hon 强调了不要依赖外部拥有账户担任管理员角色的指南，并提请注意在签署管理功能时使用专用笔记本电脑。
他的资源列表包括形式化验证和利用大型语言模型进行威胁狩猎的工作。在另一篇帖子中，他鼓励开发者在其合约上运行 Ultrafuzz，并归功于 Antonio Viggiano 的经验，同时邀请反馈。
“智能合约开发者，请在你们的合约上运行 Ultrafuzz！！它是开源的，任何人都可以使用，”Hon 写道。
该工具的开源公告于 9 月 10 日发布。Hon 的最新帖子重新引起了对现有版本的关注，同时还有基金会的运营安全资源。
Ultrafuzz 将 AI 调查与合约测试相结合
Ultrafuzz 可通过公开的GitHub 仓库获取，它协调专门的 AI 代理来检查合约、映射用户行为、调查安全属性、运行测试策略，并准备供审查的发现。
Monad 表示，在生态项目上进行的 20 多次运行帮助塑造了该版本，它支持 Solidity 和 Vyper。
在他的技术讲解中，Viggiano 描述了在帮助一个团队准备外部安全审查时开发该工具的过程。该项目缺少模糊测试，促使他着手开发一套 AI 辅助的工作流程来创建这些测试。
他的解释描述了智能体如何识别协议应当保持的条件，然后调查特定操作或序列是否会破坏这些条件。发现结果会被汇总、核查，并整理成报告。
Monad 指示用户在一次性、隔离的虚拟机上运行 Ultrafuzz。其智能体以不受限制的权限运行，公告警告不要在开发者工作站或存有宝贵凭据的机器上运行它。
近期泄露事件暴露账户和软件依赖
早前的事件已涉及该指南所涵盖的多个访问点。
10 月 26 日，crypto.news 报道称钱包制造商 Foundation 遭遇了Cloudflare API 密钥泄露，使得看似来自其官方域名的欺诈邮件得以发出。该公司已吊销了这些凭据，并表示 Passport 硬件和存储的资金仍然安全。
7 月的一起事件涉及被入侵的 Injective 开发者包。安全公司 Socket 表示，恶意代码拦截了钱包生成函数，并通过伪造的遥测数据传送私钥和助记词。Injective 首席执行官 Eric Chen 表示，受影响的版本已被弃用，问题已修复。
另一起 7 月的调查涉及OkoBot 的钱包窃取恶意软件，它通过伪装成合法软件的 GitHub 仓库进行传播。该行动利用伪造的错误信息和修复说明，诱使受害者执行恶意命令。其模块包括欺诈性的钱包恢复界面、键盘监控和剪贴板监视。
