Musesec

Jika Anda berada di Web3, perhatikan.

Sebuah AI yang mampu menghubungkan 200+ vektor serangan dalam waktu 15 menit untuk melawan infrastruktur, juga dapat menangani jalur interaksi kontrak pintar Anda.

Tahun ini, kami telah melihat Aria Protocol dicuri sebesar $12,3M, dan TesseraDAO anjlok 99%—keduanya adalah serangan transaksi tunggal.

Sekarang bayangkan kecepatan × otonomi AI.

#CyberSafety

Serangan dilakukan oleh sekelompok Agent sandbox berumur pendek—ribuan operasi paralel, dengan kanal C2 berpindah di antara layanan publik.

HF menganggapnya dibangun berdasarkan suatu kerangka riset keamanan berbasis Agent.

Model mana yang menggerakkannya? Masih belum diketahui.

Yang paling menakutkan bukanlah merusaknya, melainkan kecepatan.

Dalam 15 menit pertama, Agent ini mencoba 200+ jenis vektor serangan yang berbeda.

Tidak ada tim manusia yang sanggup mengejar. Tidak ada sistem aturan yang bisa diperbarui cukup cepat.

Ini adalah paradigma baru: serangan berbasis kecepatan mesin vs pertahanan berbasis kecepatan manusia.

#CyberSafety

Proses serangan:

Penyerang mengunggah kumpulan data berbahaya ke Hugging Face. Kumpulan data tersebut menautkan dua jalur eksekusi kode—pemuat kode jarak jauh + injeksi template dalam konfigurasi dataset.

Selanjutnya: eskalasi hak istimewa → perolehan kredensial → pergerakan lateral ke beberapa klaster internal.

Hugging Face mengungkap insiden serangan AI Agent otonom pertama dalam sejarah.

Tidak ada yang duduk di depan keyboard. Tidak ada yang mengetikkan sebuah perintah.

Sebuah AI Agent menghabiskan satu akhir pekan untuk membobol infrastruktur HF—meninggalkan lebih dari 17.000 catatan tindakan.

Semuanya berubah.🧵

#Web3 #安全

Audit lulus ≠ sudah aman.

Dalam 72 jam setelah peluncuran: Aria dikosongkan $12,3M, token TesseraDAO anjlok 99%, dan BYToken diserang dengan kombinasi flash loan. Audit hanyalah langkah pertama, bukan langkah terakhir.

#Web3Security #defi #SmartContract

Bukan diretas, kemungkinan pelakunya orang dalam.

Kepala keuangan memiliki akses multi-tanda tangan, menyamarkan pencurian sebagai penyaluran operasional, dan setiap transaksi tetap diselesaikan melalui proses persetujuan sesuai aturan sebelum dilepaskan.

Tiga bulan kemudian baru Anda sadar pembukuan tidak cocok, dan $200.000 sudah masuk ke mixer koin sehingga tidak bisa ditarik kembali.

Multi-tanda tangan bukan stempel karet, kepercayaan tidak dapat menggantikan kontrol.#Web3安全 #ancaman_dari_dalam

Jembatan tidak rusak, kuncinya dicuri.

Kunci privat verifikator AFX Trade bocor, dan penyerang menggunakan tanda tangan yang sah untuk membuat sistem membuka akses senilai 24 juta dolar AS. Kontrak tidak memiliki celah, semua tanda tangan lolos, dan masa sengketa 200 detik pada dasarnya tidak ada artinya. Manajemen kunci adalah titik buta terbesar di luar rantai.

#Web3安全 #Arbitrum

Bursa tidak diretas, tapi koinmu hilang begitu saja.

Pengguna Gate senilai 1,7 juta dolar dicuri; verifikasi wajah, SMS, email, dan Google Authenticator semuanya lolos, dan pihak platform mengatakan tidak ada celah. Penyerang tidak perlu membobol platform; cukup membuktikan bahwa "dialah orangnya".

Aset bernilai besar simpan di cold wallet.

#Web3安全 #keamanan bursa

$23.76 juta, dalam 15 menit menggunakan satu kunci untuk mengosongkan semuanya.

Kunci tanda tangan Oracle dari Ostium bocor, penyerang mengirimkan harga palsu dengan tanda tangan yang sah. Mereka melakukan putaran buka-tutup posisi sebanyak 10 transaksi, membuat brankas terkuras habis. Ini bukan celah kontrak—semua verifikator lolos, tetapi sumber kepercayaan itu sendiri yang berhasil ditembus.

#Web3安全 #Ostium #DEFİ #Arbitrum

2,92 Miliar USD, sekali transaksi langsung habis.

Korea Utara Lazarus mengubah 2 node validasi dari Kelp DAO, melakukan DDoS pada node-node lainnya, sehingga sistem hanya bisa mempercayai "orang dalam" yang dikendalikan—pesan palsu langsung lolos, 116.500 rsETH dibuka dan dipindahkan.

Bukan celah kode, bukan kebocoran kunci. Masalahnya ada pada pilihan konfigurasi yang "praktis": validasi 1/1 DVN single node. LayerZero pernah menyarankan untuk beralih ke multi-node, tapi tak ada yang mendengar.

#Web3安全 #LayerZero #跨链桥安全 #Lazarus #KeamananDeFi

Pengembangan inti Anda sudah mengajukan pengunduran diri.

Dia memegang semua kode kontrak, hak deploy, kunci multi-tanda tangan, dan root server.

Tiga bulan kemudian, muncul produk kompetitor yang persis sama di blockchain.

Bagaimana kodenya bisa berpindah jalur? Bisakah Anda mencegahnya?

👇 4 gambar menjelaskan pencurian kode dalam skenario pengunduran diri—setelah tergulir, Anda akan ingin langsung memeriksa izin di perusahaan Anda.

DM saya untuk melakukan diagnosis keamanan skenario pengunduran diri secara gratis.

#Web3安全 #区块链安全 #智能合约 #网络安全 #keamanan-aset-digital