Keone Hon، راهنمای OpSec و ابزار امنیتی AI Ultrafuzz

Keone Hon، بنیانگذار مونا، تیم های رمزنگاری را تشویق کرده است تا اولویت اصلی خود را حفظ کنند، هدایت امنیتی عملیاتی را به اشتراک بگذارند و ابزار open source Ultrafuzz پایه را ارتقاء دهند زیرا مهاجمان دسترسی به هوش مصنوعی بیشتری دارند.

منابع بنیاد موند هر دو تیم نرم افزاری را شامل می شوند و حساب ها، دستگاه ها و ترتیبات امضایی که برای مدیریت آن استفاده می شود. در پست های خود، هونان خوانندگان را به کتاب مقدس Crypto OpSec هدایت کرد، راهنمایی در حساب های مدیر و تحقیق در مورد پیدا کردن آسیب پذیری با AI.

او نوشت: "در این عصر مهاجمان قدرتمند AI، تنها راه پیش رو برای صنعت ما این است که به سختی ادامه دهیم." امنیت باید تمرکز اصلی هر تیم باشد.»

راهنمای موندا به دنبال شکست های امنیتی روزمره است

نوشته شده توسط عمر، کتاب مقدس Crypto OpSec با ناامیدی بیش از حد سازش مکرر شامل کد ناآشنا، فیشینگ، مدارک افشا شده و مدیریت دستگاه ضعیف باز می شود.

این راهنما به ردیاب Lumos Chainlight اشاره می کند که 3.31 میلیارد دلار در ارزش بهره برداری شده از کنترل سرقت، در مقایسه با 983 میلیون دلار از آسیب پذیری های هوشمند قرارداد، در سراسر حوادث ردیابی شده از ژانویه 2023 تا کاهش گزارش راهنما ثبت شده است.

دسته کنترل آن شامل مهندسی اجتماعی، نشت کلید خصوصی، دسترسی غیر مجاز، حملات زنجیره تامین و دیگر شکست های امنیتی معمولی است. این مقایسه حوادث ضبط شده ردیاب را پوشش می دهد و به عنوان یک عکس تاریخی ارائه می شود.

عمر استدلال می کند که سازمان های رمزنگاری توجه کافی به امنیت عملیاتی ندارند. توصیه های او شامل جدا کردن فعالیت های شخصی از دستگاه های کاری، حفظ یک کامپیوتر تمیز یا مرورگر برای فعالیت های رمزنگاری و چک کردن جزئیات معامله قبل از ثبت نام است.

برای حساب های بحرانی، راهنما توصیه می کند کلید های امنیتی سخت افزار با یک پشتیبان امن ذخیره شده، رمز های منحصر به فرد و نگه داشتن کد های احراز هویت جدا از کلمات عبور. به سازمان ها توصیه می شود که حمایت نهایی را حفظ کنند و یک تماس واضح برای گزارش حوادث امنیتی برقرار کنند.

هندوراس از توسعه دهندگان درخواست می کند تا دسترسی مدیران را بررسی کنند

برای توسعه دهندگان هوشمند، هندوراس راهنمایی در برابر تکیه بر حساب های خارجی مالکیت برای نقش های مدیر را برجسته کرد و توجه را به استفاده از یک لپ تاپ اختصاصی هنگام امضای توابع اداری جلب کرد.

فهرست منابع او شامل کار در تأیید رسمی و شکار تهدید با مدل های زبان بزرگ است. در یک پست جداگانه، او توسعه دهندگان را تشویق کرد تا Ultrafuzz را در قرارداد خود اجرا کنند و به تجربه آنتونیو ویگینو و دعوت از بازخورد کمک می کنند.

توسعه دهندگان قرارداد هوشمند، لطفا Ultrafuzz را در قرارداد خود اجرا کنید! این منبع باز است و برای هر کسی در دسترس است.».

اعلام منبع باز این ابزار در تاریخ 10 سپتامبر منتشر شد. آخرین پست های هندوراس توجه به آزادی موجود را در کنار منابع امنیتی عملیاتی بنیاد تجدید می کند.

Ultrafuzz ترکیبی از تحقیقات AI با تست قرارداد

در دسترس از طریق یک مخزن عمومی GitHub، Ultrafuzz عوامل تخصصی AI را برای بررسی قراردادها، نقشه رفتار کاربر، بررسی خواص امنیتی، اجرای استراتژی های تست و آماده سازی یافته ها برای بررسی قراردادها هماهنگ می کند.

موند می گوید که بیش از 20 اجرا در پروژه های اکوسیستم به شکل دادن به انتشار کمک می کند که از Solidity و Vyper پشتیبانی می کند.

در پیاده روی فنی او، Viggiano در حال توسعه ابزار در حالی که کمک به یک تیم آماده برای بررسی امنیت خارجی است. این پروژه فاقد تست های فازی است که باعث ایجاد یک جریان کاری با کمک AI می شود.

توضیح او توضیح می دهد که عوامل شناسایی یک پروتکل باید حفظ شوند و سپس بررسی می کنند که آیا اقدامات یا توالی های خاص آنها را تجزیه می کنند یا خیر. یافته ها ترکیب، بررسی و سازماندهی شده در یک گزارش است.

موند به کاربران آموزش می دهد تا Ultrafuzz را در دستگاه های مجازی جداگانه اجرا کنند. عوامل آن با مجوز های نامحدود کار می کنند و اعلان هشدار می دهد که در برابر اجرای آن در ایستگاه های کاری توسعه دهنده یا ماشین آلات دارای اعتبار ارزشمند است.

نقض های اخیر، حساب ها و وابستگی های نرم افزار را افشا می کنند

حوادث قبلی شامل چندین نقطه دسترسی است که توسط راهنما پوشش داده شده است.

در تاریخ 26 اکتبر، Crypto.news گزارش داد که بنیاد سازنده کیف پول دچار یک سازش کلیدی Cloudflare API شده است که ایمیل های جعلی را از دامنه های رسمی خود دریافت کرده است. این شرکت اعتبار نامه ها را لغو کرد و گفت: سخت افزار پاسپورت و صندوق های ذخیره شده امن باقی مانده است.

یک حادثه ژوئیه شامل یک بسته توسعه دهنده بی خطر است. سوکت شرکت امنیتی گفت که کد مخرب عملکردهای نسل کیف پول را متوقف کرده و کلیدهای خصوصی و عبارات بازیابی را از طریق تله نگاری جعلی انتقال می دهد. مدیر عامل بیهوشی اریک چن گفت که نسخه های آسیب دیده از بین رفته و موضوع ثابت شده است.

یکی دیگر از تحقیقات ژوئیه مربوط به بدافزار کیف پول OkoBot، توزیع شده از طریق مخازن GitHub به عنوان نرم افزار قانونی است. کمپین از پیام های خطای جعلی و دستورالعمل های تعمیر برای متقاعد کردن قربانیان برای اجرای دستورات مخرب استفاده کرد. ماژول های آن شامل صفحه نمایش جعلی کیف پول، نظارت بر صفحه کلید و نظارت بر کلیپ بورد است.