El cofundador de Monad, Keone Hon, ha instado a los equipos de criptomonedas a hacer de la seguridad su máxima prioridad, compartiendo orientación sobre seguridad operativa y promoviendo la herramienta de código abierto Ultrafuzz de la fundación, ya que los atacantes obtienen acceso a una IA más capaz.
Resumen
- Hon ha animado a los desarrolladores a ejecutar Ultrafuzz en sus contratos y reforzar la seguridad operativa.
- La guía de OpSec de Monad abarca el phishing, la gestión de credenciales, los dispositivos de los empleados y los permisos de cuentas de terceros.
- Ultrafuzz se publicó como código abierto en septiembre, antes del último llamamiento de Hon para que los equipos lo utilicen.
- Las pérdidas por secuestro de control citadas en la guía incluyen claves filtradas y ataques a la cadena de suministro, junto con ingeniería social.
Los recursos de la Fundación Monad abarcan tanto el software que los equipos despliegan como las cuentas, dispositivos y acuerdos de firma utilizados para gestionarlo. En sus publicaciones, Hon dirigió a los lectores a la Crypto OpSec Bible, a la orientación sobre cuentas de administrador y a la investigación sobre cómo encontrar vulnerabilidades con IA.
"En esta era de atacantes potenciados por IA, el único camino a seguir para nuestra industria es continuar fortaleciéndonos", escribió. "La seguridad debería ser el enfoque principal de cada equipo".
La guía de OpSec de Monad se centra en los fallos de seguridad cotidianos
Escrita por Omar, la Crypto OpSec Bible comienza con frustración ante los compromisos recurrentes que involucran código desconocido, phishing, credenciales expuestas y una mala gestión de dispositivos.
La guía cita el rastreador Lumos de ChainLight, que registró 3.310 millones de dólares en valor explotado por secuestro de control, en comparación con 983 millones de dólares por vulnerabilidades de contratos inteligentes, en los incidentes rastreados desde enero de 2023 hasta la fecha de corte del informe de la guía.
Su categoría de secuestro de control incluye ingeniería social, filtración de claves privadas, acceso no autorizado, ataques a la cadena de suministro y otros fallos de seguridad convencionales. La comparación abarca los incidentes registrados por el rastreador y se presenta como una instantánea histórica.
Omar sostiene que las organizaciones de criptomonedas han prestado una atención insuficiente a la seguridad operativa. Sus recomendaciones incluyen separar la actividad personal de los dispositivos de trabajo, mantener una computadora o navegador limpio para la actividad cripto y verificar los detalles de la transacción antes de firmar.
Hon insta a los desarrolladores a revisar el acceso de administrador
Para los desarrolladores de contratos inteligentes, Hon destacó la orientación contra la dependencia de cuentas de propiedad externa para roles de administrador y llamó la atención sobre el uso de una laptop dedicada al firmar funciones administrativas.
Su lista de recursos incluye trabajo sobre verificación formal y búsqueda de amenazas con modelos de lenguaje grandes. En una publicación separada, animó a los desarrolladores a ejecutar Ultrafuzz en sus contratos, acreditando la experiencia de Antonio Viggiano e invitando a enviar comentarios.
"¡¡Desarrolladores de contratos inteligentes, por favor ejecuten Ultrafuzz en sus contratos!! Es de código abierto y está disponible para cualquiera", escribió Hon.
El anuncio de código abierto de la herramienta se publicó el 10 de septiembre. Las últimas publicaciones de Hon renuevan la atención sobre un lanzamiento existente, junto con los recursos de seguridad operativa de la fundación.
Ultrafuzz combina investigación con IA y pruebas de contratos
Disponible a través de un repositorio público de GitHub, Ultrafuzz coordina agentes de IA especializados para examinar contratos, mapear el comportamiento de los usuarios, investigar propiedades de seguridad, ejecutar estrategias de prueba y preparar hallazgos para su revisión.
Monad afirma que más de 20 ejecuciones en proyectos del ecosistema ayudaron a dar forma al lanzamiento, que es compatible con Solidity y Vyper.
En su recorrido técnico, Viggiano describió el desarrollo de la herramienta mientras ayudaba a un equipo a prepararse para una revisión de seguridad externa. El proyecto carecía de pruebas de fuzzing, lo que motivó el trabajo en un flujo de trabajo asistido por IA para crearlas.
Su explicación describe agentes que identifican condiciones que un protocolo debería preservar, y luego investigan si acciones o secuencias particulares las rompen. Los hallazgos se combinan, se verifican y se organizan en un informe.
Monad indica a los usuarios que ejecuten Ultrafuzz en máquinas virtuales desechables y aisladas. Sus agentes operan con permisos sin restricciones, y el anuncio advierte contra ejecutarlo en estaciones de trabajo de desarrolladores o máquinas que contengan credenciales valiosas.
Brechas recientes exponen cuentas y dependencias de software
Incidentes anteriores han involucrado varios de los puntos de acceso cubiertos por la guía.
El 26 de octubre, crypto.news informó que el fabricante de billeteras Foundation había sufrido una compromisión de claves API de Cloudflare que permitió correos electrónicos fraudulentos que parecían provenir de sus dominios oficiales. La empresa revocó las credenciales y afirmó que el hardware Passport y los fondos almacenados permanecían seguros.
Un incidente de julio involucró un paquete de desarrollador de Injective comprometido. La firma de seguridad Socket dijo que el código malicioso interceptó funciones de generación de billeteras y transmitió claves privadas y frases de recuperación mediante telemetría falsa. El CEO de Injective, Eric Chen, dijo que las versiones afectadas habían sido descontinuadas y el problema corregido.
Otra investigación de julio concernió al malware ladrón de billeteras de OkoBot, distribuido a través de repositorios de GitHub disfrazados como software legítimo. La campaña utilizó mensajes de error falsos e instrucciones de reparación para persuadir a las víctimas de ejecutar comandos maliciosos. Sus módulos incluían pantallas fraudulentas de recuperación de billeteras, monitoreo de teclado y vigilancia del portapapeles.
