Keone Hon dari Monad Mendorong Panduan OpSec dan Alat Keamanan AI Ultrafuzz

Pendiri Monad, Keone Hon, telah mendesak tim kripto untuk menjadikan keamanan sebagai prioritas utama mereka, membagikan panduan keamanan operasional dan mempromosikan alat Ultrafuzz sumber terbuka dari yayasan saat penyerang mendapatkan akses ke AI yang lebih canggih.

Ringkasan

• Hon telah mendorong pengembang untuk menjalankan Ultrafuzz pada kontrak mereka dan memperkuat keamanan operasional.
• Panduan OpSec Monad mencakup phishing, manajemen kredensial, perangkat karyawan, dan izin akun pihak ketiga.
• Ultrafuzz dirilis sebagai sumber terbuka pada bulan September, sebelum seruan terbaru Hon untuk tim menggunakannya.
• Kerugian akibat penguasaan kontrol yang disebutkan dalam panduan termasuk kunci yang bocor dan serangan rantai pasokan bersama dengan rekayasa sosial.

Sumber daya Yayasan Monad mencakup perangkat lunak yang digunakan tim dan akun, perangkat, serta pengaturan tanda tangan yang digunakan untuk mengelolanya. Dalam postingannya, Hon mengarahkan pembaca ke Alkitab Crypto OpSec, panduan tentang akun administrator, dan penelitian tentang menemukan kerentanan dengan AI.

Di era penyerang yang diberdayakan oleh AI ini, satu-satunya cara maju untuk industri kita adalah terus memperkuat. Keamanan harus menjadi fokus utama setiap tim.

Yayasan Monad berinvestasi besar-besaran dalam keamanan dan membagikan sumber daya berikut kepada komunitas:

Semua orang:

-- Crypto... --- Keone Hon (@keoneHD) 30 Oktober 2026

"Di era penyerang yang diberdayakan oleh AI ini, satu-satunya cara maju untuk industri kita adalah terus memperkuat," tulisnya. "Keamanan harus menjadi fokus utama setiap tim."

Panduan OpSec Monad Menargetkan Kegagalan Keamanan Sehari-hari

Ditulis oleh Omar, Alkitab Crypto OpSec dibuka dengan frustrasi atas kompromi yang berulang yang melibatkan kode yang tidak dikenal, phishing, kredensial yang terekspos, dan manajemen perangkat yang buruk.

Panduan tersebut mengutip pelacak Lumos dari ChainLight, yang mencatat $3,31 miliar dalam nilai yang dieksploitasi dari penguasaan kontrol, dibandingkan dengan $983 juta dari kerentanan kontrak pintar, di antara insiden yang dilacak dari Januari 2023 hingga batas pelaporan panduan tersebut.

Kategori penguasaan kontrolnya mencakup rekayasa sosial, kebocoran kunci pribadi, akses tidak sah, serangan rantai pasokan, dan kegagalan keamanan konvensional lainnya. Perbandingan mencakup insiden yang tercatat oleh pelacak dan disajikan sebagai snapshot historis.

Omar berpendapat bahwa organisasi kripto telah memberikan perhatian yang tidak memadai terhadap keamanan operasional. Rekomendasinya termasuk memisahkan aktivitas pribadi dari perangkat kerja, menjaga komputer atau browser yang bersih untuk aktivitas kripto, dan memeriksa detail transaksi sebelum menandatangani.

Untuk akun-akun kritis, panduan merekomendasikan kunci keamanan perangkat keras dengan cadangan yang disimpan dengan aman, kata sandi unik, dan menjaga kode autentikasi terpisah dari kata sandi. Organisasi disarankan untuk mempertahankan perlindungan titik akhir dan menetapkan kontak yang jelas untuk melaporkan insiden keamanan.

Hon Mendesak Pengembang untuk Meninjau Akses Administrator

Untuk pengembang kontrak pintar, Hon menyoroti panduan melawan ketergantungan pada akun yang dimiliki secara eksternal untuk peran administrator dan menarik perhatian pada penggunaan laptop khusus saat menandatangani fungsi administratif.

Daftar sumber dayanya mencakup pekerjaan pada verifikasi formal dan pencarian ancaman dengan model bahasa besar. Dalam posting terpisah, ia mendorong pengembang untuk menjalankan Ultrafuzz pada kontrak mereka, memberi kredit kepada pengalaman Antonio Viggiano dan mengundang umpan balik.

"Pengembang kontrak pintar, silakan jalankan Ultrafuzz pada kontrak Anda!! Ini sumber terbuka dan tersedia untuk siapa saja," tulis Hon.

Pengumuman sumber terbuka alat tersebut diterbitkan pada 10 September. Posting terbaru Hon memperbarui perhatian pada rilis yang sudah ada, bersamaan dengan sumber daya keamanan operasional yayasan.

Ultrafuzz Menggabungkan Investigasi AI dengan Pengujian Kontrak

Tersedia melalui repositori GitHub publik, Ultrafuzz mengoordinasikan agen AI khusus untuk memeriksa kontrak, memetakan perilaku pengguna, menyelidiki properti keamanan, menjalankan strategi pengujian, dan menyiapkan temuan untuk ditinjau.

Monad mengatakan lebih dari 20 kali pengujian pada proyek ekosistem membantu membentuk rilis tersebut, yang mendukung Solidity dan Vyper.

Dalam panduan teknisnya, Viggiano menjelaskan pengembangan alat tersebut saat membantu sebuah tim mempersiapkan tinjauan keamanan eksternal. Proyek tersebut kekurangan pengujian fuzz, mendorong pekerjaan pada alur kerja yang dibantu AI untuk membuatnya.

Penjelasannya menggambarkan agen yang mengidentifikasi kondisi yang harus dipertahankan oleh protokol, kemudian menyelidiki apakah tindakan atau urutan tertentu melanggar mereka. Temuan digabungkan, diperiksa, dan diorganisir menjadi laporan.

Monad menginstruksikan pengguna untuk menjalankan Ultrafuzz pada mesin virtual yang terisolasi dan sekali pakai. Agen-agen tersebut beroperasi dengan izin tanpa batas, dan pengumuman memperingatkan untuk tidak menjalankannya di workstation pengembang atau mesin yang menyimpan kredensial berharga.

Pelanggaran Terbaru Mengungkap Akun dan Ketergantungan Perangkat Lunak

Insiden sebelumnya telah melibatkan beberapa titik akses yang dicakup oleh panduan tersebut.

Pada 26 Oktober, crypto.news melaporkan bahwa pembuat dompet Foundation telah mengalami kompromi kunci API Cloudflare yang memungkinkan email penipuan yang tampak berasal dari domain resminya. Perusahaan tersebut mencabut kredensial dan mengatakan perangkat keras Passport dan dana yang disimpan tetap aman.

Insiden bulan Juli melibatkan paket pengembang Injective yang dikompromikan. Perusahaan keamanan Socket mengatakan kode jahat mengintersepsi fungsi pembuatan dompet dan mentransmisikan kunci pribadi serta frasa pemulihan melalui telemetri palsu. CEO Injective, Eric Chen, mengatakan rilis yang terpengaruh telah dinyatakan tidak berlaku dan masalah tersebut telah diperbaiki.

Penyelidikan lain pada bulan Juli terkait malware pencuri dompet OkoBot, yang didistribusikan melalui repositori GitHub yang menyamar sebagai perangkat lunak yang sah. Kampanye tersebut menggunakan pesan kesalahan palsu dan instruksi perbaikan untuk membujuk korban menjalankan perintah jahat. Modulnya termasuk layar pemulihan dompet palsu, pemantauan keyboard, dan pengawasan clipboard.