O cofundador da Monad, Keone Hon, instou as equipes de cripto a fazerem da segurança sua principal prioridade, compartilhando orientações de segurança operacional e promovendo a ferramenta de código aberto Ultrafuzz da fundação, à medida que os atacantes obtêm acesso a IA mais capaz.
Resumo
- Hon incentivou os desenvolvedores a executar o Ultrafuzz em seus contratos e a fortalecer a segurança operacional.
- O guia de OpSec da Monad abrange phishing, gerenciamento de credenciais, dispositivos de funcionários e permissões de contas de terceiros.
- O Ultrafuzz foi aberto em código-fonte em setembro, antes do mais recente apelo de Hon para que as equipes o utilizem.
- As perdas por sequestro de controle citadas no guia incluem chaves vazadas e ataques à cadeia de suprimentos, além de engenharia social.
Os recursos da Monad Foundation abrangem tanto o software que as equipes implantam quanto as contas, dispositivos e arranjos de assinatura usados para gerenciá-lo. Em suas publicações, Hon direcionou os leitores à Crypto OpSec Bible, a orientações sobre contas de administrador e a pesquisas sobre como encontrar vulnerabilidades com IA.
“Nesta era de atacantes empoderados por IA, o único caminho a seguir para nossa indústria é continuar nos fortalecendo”, escreveu ele. “A segurança deve ser o foco principal de toda equipe.”
O guia de OpSec da Monad visa falhas de segurança cotidianas
Escrito por Omar, o Crypto OpSec Bible começa com frustração em relação a comprometimentos recorrentes envolvendo código desconhecido, phishing, credenciais expostas e gerenciamento deficiente de dispositivos.
O guia cita o rastreador Lumos da ChainLight, que registrou US$ 3,31 bilhões em valor explorado por sequestro de controle, em comparação com US$ 983 milhões por vulnerabilidades de contratos inteligentes, em incidentes rastreados de janeiro de 2023 até o limite de relatório do guia.
Sua categoria de sequestro de controle inclui engenharia social, vazamento de chaves privadas, acesso não autorizado, ataques à cadeia de suprimentos e outras falhas de segurança convencionais. A comparação abrange os incidentes registrados pelo rastreador e é apresentada como um retrato histórico.
Omar argumenta que as organizações de cripto têm dado atenção insuficiente à segurança operacional. Suas recomendações incluem separar a atividade pessoal dos dispositivos de trabalho, manter um computador ou navegador limpo para atividades de cripto e verificar os detalhes da transação antes de assinar.
Hon insta os desenvolvedores a revisarem o acesso de administrador
Para os desenvolvedores de contratos inteligentes, Hon destacou orientações contra a dependência de contas de propriedade externa para funções de administrador e chamou a atenção para o uso de um laptop dedicado ao assinar funções administrativas.
Sua lista de recursos inclui trabalhos sobre verificação formal e caça a ameaças com grandes modelos de linguagem. Em uma publicação separada, ele incentivou os desenvolvedores a executar o Ultrafuzz em seus contratos, creditando a experiência de Antonio Viggiano e convidando feedback.
“Desenvolvedores de contratos inteligentes, por favor, executem o Ultrafuzz em seus contratos!! É de código aberto e está disponível para qualquer pessoa”, escreveu Hon.
O anúncio de código aberto da ferramenta foi publicado em 10 de setembro. As publicações mais recentes de Hon renovam a atenção para um lançamento existente, ao lado dos recursos de segurança operacional da fundação.
Ultrafuzz combina investigação com IA e testes de contratos
Disponível por meio de um repositório público no GitHub, o Ultrafuzz coordena agentes de IA especializados para examinar contratos, mapear o comportamento do usuário, investigar propriedades de segurança, executar estratégias de teste e preparar descobertas para revisão.
A Monad afirma que mais de 20 execuções em projetos do ecossistema ajudaram a moldar o lançamento, que oferece suporte a Solidity e Vyper.
Em seu passo a passo técnico, Viggiano descreveu o desenvolvimento da ferramenta enquanto ajudava uma equipe a se preparar para uma revisão de segurança externa. O projeto não tinha testes de fuzzing, o que motivou o trabalho em um fluxo de trabalho assistido por IA para criá-los.
Sua explicação descreve agentes identificando condições que um protocolo deve preservar e, em seguida, investigando se ações ou sequências específicas as violam. As descobertas são combinadas, verificadas e organizadas em um relatório.
A Monad instrui os usuários a executar o Ultrafuzz em máquinas virtuais descartáveis e isoladas. Seus agentes operam com permissões irrestritas, e o anúncio alerta contra executá-lo em estações de trabalho de desenvolvedores ou máquinas que contenham credenciais valiosas.
Violações recentes expõem contas e dependências de software
Incidentes anteriores envolveram vários dos pontos de acesso cobertos pelo guia.
Em 26 de outubro, o crypto.news relatou que a fabricante de carteiras Foundation havia sofrido um comprometimento de chave de API da Cloudflare que permitiu o envio de e-mails fraudulentos que pareciam vir de seus domínios oficiais. A empresa revogou as credenciais e afirmou que o hardware do Passport e os fundos armazenados permaneceram seguros.
Um incidente em julho envolveu um pacote de desenvolvedor da Injective comprometido. A empresa de segurança Socket afirmou que o código malicioso interceptou funções de geração de carteiras e transmitiu chaves privadas e frases de recuperação por meio de telemetria falsa. O CEO da Injective, Eric Chen, disse que as versões afetadas foram descontinuadas e o problema corrigido.
Outra investigação de julho dizia respeito ao malware de roubo de carteiras do OkoBot, distribuído por meio de repositórios do GitHub disfarçados de software legítimo. A campanha usou mensagens de erro falsas e instruções de reparo para persuadir as vítimas a executar comandos maliciosos. Seus módulos incluíam telas fraudulentas de recuperação de carteiras, monitoramento de teclado e vigilância da área de transferência.
