Monad 共同創辦人 Keone Hon 呼籲加密團隊將安全列為首要任務，分享營運安全指引，並推廣該基金會的開源工具 Ultrafuzz，因為攻擊者正取得能力更強大的 AI。
摘要
- Hon 鼓勵開發者在其合約上執行 Ultrafuzz，並強化營運安全。
- Monad 的 OpSec 指引涵蓋網路釣魚、憑證管理、員工裝置及第三方帳戶權限。
- Ultrafuzz 於九月開源，早於 Hon 最新呼籲團隊使用它。
- 該指引引述的控制劫持損失包括金鑰外洩與供應鏈攻擊，以及社交工程。
Monad 基金會的資源涵蓋團隊部署的軟體，以及用於管理該軟體的帳戶、裝置與簽署安排。Hon 在其貼文中引導讀者參閱《Crypto OpSec Bible》、管理員帳戶指引，以及運用 AI 尋找漏洞的研究。
「在這個 AI 賦能攻擊者的時代，我們產業唯一的出路就是持續強化，」他寫道。「安全應是每個團隊的首要焦點。」
Monad 的 OpSec 指引針對日常安全失誤
由 Omar 撰寫的《Crypto OpSec Bible》開篇即對反覆發生的入侵事件表達不滿，這些事件涉及不熟悉的程式碼、網路釣魚、外洩的憑證與不良的裝置管理。
該指引引用 ChainLight 的 Lumos 追蹤器，該追蹤器在 2023 年 1 月至該指引報告截止日期間追蹤的事件中，記錄到控制劫持造成的 33.1 億美元被利用價值，相較之下智慧合約漏洞為 9.83 億美元。
其控制劫持類別包括社交工程、私鑰外洩、未經授權存取、供應鏈攻擊及其他傳統安全失誤。此比較涵蓋該追蹤器記錄的事件，並以歷史快照形式呈現。
Omar 主張，加密組織對營運安全的關注不足。他的建議包括將個人活動與工作裝置分開、為加密活動維持乾淨的電腦或瀏覽器，以及在簽署前檢查交易細節。
Hon 呼籲開發者檢視管理員存取權
對於智慧合約開發者，Hon 強調了避免依賴外部擁有帳戶擔任管理員角色的指引，並提醒在簽署管理功能時使用專用筆記型電腦。
他的資源清單包括形式驗證與運用大型語言模型進行威脅狩獵的研究。在另一則貼文中，他鼓勵開發者在其合約上執行 Ultrafuzz，歸功於 Antonio Viggiano 的經驗，並邀請提供回饋。
「智慧合約開發者，請在你們的合約上執行 Ultrafuzz！！它是開源的，任何人都可以使用，」Hon 寫道。
該工具的開源公告於 9 月 10 日發布。Hon 的最新貼文重新引起對既有版本的關注，並伴隨該基金會的營運安全資源。
Ultrafuzz 結合 AI 調查與合約測試
Ultrafuzz 可透過公開的GitHub 儲存庫取得，它協調專門的 AI 代理來檢查合約、描繪使用者行為、調查安全屬性、執行測試策略，並準備調查結果以供審查。
Monad 表示，在生態系統專案上進行的 20 多次執行協助形塑了此版本，該版本支援 Solidity 與 Vyper。
在其技術深入解析中，Viggiano 描述了在協助一個團隊準備外部安全審查時開發該工具的過程。該專案缺乏模糊測試，促使他著手開發一套 AI 輔助工作流程來建立這些測試。
他的說明描述了代理如何識別協議應保持的條件，然後調查特定操作或序列是否會破壞這些條件。發現的結果會被彙整、檢查，並整理成報告。
Monad 指示使用者在一次性、隔離的虛擬機上執行 Ultrafuzz。其代理以不受限制的權限運作，而公告警告不要在開發者工作站或持有貴重憑證的機器上執行它。
近期外洩事件暴露帳戶與軟體依賴
較早的事件已涉及該指南所涵蓋的數個存取點。
10 月 26 日，crypto.news 報導錢包製造商 Foundation 遭遇Cloudflare API 金鑰外洩，使詐騙電子郵件得以看似來自其官方網域。該公司已撤銷憑證，並表示 Passport 硬體與存放的資金仍保持安全。
7 月的一起事件涉及遭入侵的 Injective 開發者套件。安全公司 Socket 表示，惡意程式碼攔截了錢包生成函式，並透過偽造的遙測傳送私鑰與助記詞。Injective 執行長 Eric Chen 表示，受影響的版本已被棄用，問題也已修復。
另一起 7 月的調查涉及OkoBot 的錢包竊取惡意軟體，透過偽裝成合法軟體的 GitHub 儲存庫散布。該行動利用偽造的錯誤訊息與修復指示，說服受害者執行惡意命令。其模組包括詐騙的錢包恢復畫面、鍵盤監控與剪貼簿監視。
