Keone Hon z Monad promuje przewodnik OpSec i narzędzie bezpieczeństwa AI Ultrafuzz

Współzałożyciel Monad, Keone Hon, wezwał zespoły kryptograficzne do uczynienia bezpieczeństwa swoją najwyższą priorytetową sprawą, dzieląc się wskazówkami dotyczącymi bezpieczeństwa operacyjnego i promując otwarte narzędzie Ultrafuzz fundacji, gdy napastnicy uzyskują dostęp do coraz bardziej zaawansowanej sztucznej inteligencji.

Podsumowanie

• Hon zachęcał deweloperów do uruchamiania Ultrafuzz na swoich kontraktach oraz wzmacniania bezpieczeństwa operacyjnego.
• Przewodnik OpSec Monad obejmuje phishing, zarządzanie poświadczeniami, urządzenia pracowników oraz uprawnienia do kont osób trzecich.
• Ultrafuzz został udostępniony jako open-source we wrześniu, przed najnowszym apelem Hona do zespołów o jego użycie.
• W przewodniku wymienione straty związane z przejęciem kontroli obejmują wyciek kluczy i ataki na łańcuch dostaw, a także inżynierię społeczną.

Zasoby Fundacji Monad obejmują zarówno oprogramowanie, które zespoły wdrażają, jak i konta, urządzenia oraz ustalenia dotyczące podpisywania, które są używane do ich zarządzania. W swoich postach Hon skierował czytelników do Crypto OpSec Bible, wskazówek dotyczących kont administratorów oraz badań nad znajdowaniem luk w zabezpieczeniach przy użyciu AI.

W erze napastników wspomaganych przez AI, jedynym sposobem na postęp w naszej branży jest kontynuowanie wzmacniania. Bezpieczeństwo powinno być głównym celem każdego zespołu.

Fundacja Monad inwestuje znaczne środki w bezpieczeństwo i dzieli się następującymi zasobami z społecznością:

Wszyscy:

-- Crypto... --- Keone Hon (@keoneHD) 30 października 2026

"W erze napastników wspomaganych przez AI, jedynym sposobem na postęp w naszej branży jest kontynuowanie wzmacniania," napisał. "Bezpieczeństwo powinno być głównym celem każdego zespołu."

Przewodnik OpSec Monad koncentruje się na codziennych niepowodzeniach w zakresie bezpieczeństwa

Napisana przez Omara, Crypto OpSec Bible otwiera się frustracją związaną z powtarzającymi się kompromisami związanymi z nieznanym kodem, phishingiem, ujawnionymi poświadczeniami i słabym zarządzaniem urządzeniami.

Przewodnik cytuje tracker Lumos od ChainLight, który zarejestrował 3,31 miliarda dolarów w wykorzystanej wartości z przejęcia kontroli, w porównaniu do 983 milionów dolarów z luk w zabezpieczeniach smart kontraktów, w incydentach śledzonych od stycznia 2023 do daty zakończenia raportu przewodnika.

Jego kategoria przejęcia kontroli obejmuje inżynieryjstwo społeczne, wyciek kluczy prywatnych, nieautoryzowany dostęp, ataki na łańcuch dostaw i inne konwencjonalne niepowodzenia w zakresie bezpieczeństwa. Porównanie obejmuje zarejestrowane incydenty trackera i jest przedstawione jako historyczny obraz.

Omar twierdzi, że organizacje kryptograficzne poświęciły niewystarczającą uwagę bezpieczeństwu operacyjnemu. Jego zalecenia obejmują oddzielanie działalności osobistej od urządzeń roboczych, utrzymywanie czystego komputera lub przeglądarki do działalności kryptograficznej oraz sprawdzanie szczegółów transakcji przed podpisaniem.

Dla krytycznych kont przewodnik zaleca klucze bezpieczeństwa sprzętowego z bezpiecznie przechowywaną kopią zapasową, unikalne hasła i oddzielanie kodów autoryzacyjnych od haseł. Organizacje są zachęcane do utrzymywania ochrony punktów końcowych i ustalenia wyraźnego kontaktu do zgłaszania incydentów bezpieczeństwa.

Hon wzywa deweloperów do przeglądu dostępu administratorów

Dla deweloperów smart kontraktów Hon podkreślił wskazówki przeciwko poleganiu na kontach zewnętrznych w rolach administratorów i zwrócił uwagę na używanie dedykowanego laptopa podczas podpisywania funkcji administracyjnych.

Jego lista zasobów obejmuje prace nad formalną weryfikacją i poszukiwaniem zagrożeń z wykorzystaniem dużych modeli językowych. W osobnym poście zachęcił deweloperów do uruchamiania Ultrafuzz na swoich kontraktach, uznając doświadczenie Antonio Viggiano i zapraszając do przesyłania opinii.

"Deweloperzy smart kontraktów, proszę uruchomcie Ultrafuzz na swoich kontraktach!! Jest to open source i dostępne dla każdego," napisał Hon.

Ogłoszenie o otwartym źródle narzędzia zostało opublikowane 10 września. Najnowsze posty Hona odnawiają uwagę na istniejące wydanie, obok zasobów fundacji dotyczących bezpieczeństwa operacyjnego.

Ultrafuzz łączy badania AI z testowaniem kontraktów

Dostępne przez publiczne repozytorium GitHub, Ultrafuzz koordynuje wyspecjalizowane agentów AI do badania kontraktów, mapowania zachowań użytkowników, badania właściwości bezpieczeństwa, uruchamiania strategii testowania i przygotowywania wyników do przeglądu.

Monad twierdzi, że ponad 20 uruchomień w projektach ekosystemu pomogło ukształtować wydanie, które wspiera Solidity i Vyper.

W swoim technicznym przewodniku Viggiano opisał rozwój narzędzia podczas pomocy zespołowi w przygotowaniu do zewnętrznego przeglądu bezpieczeństwa. Projekt nie miał testów fuzz, co skłoniło do pracy nad wspomaganym przez AI przepływem roboczym do ich tworzenia.

Jego wyjaśnienie opisuje agentów identyfikujących warunki, które protokół powinien zachować, a następnie badających, czy konkretne działania lub sekwencje je łamią. Wyniki są łączone, sprawdzane i organizowane w raport.

Monad instruuje użytkowników, aby uruchamiali Ultrafuzz na jednorazowych, izolowanych maszynach wirtualnych. Jego agenci działają z nieograniczonymi uprawnieniami, a ogłoszenie ostrzega przed uruchamianiem go na stacjach roboczych deweloperów lub maszynach przechowujących cenne poświadczenia.

Ostatnie naruszenia ujawniają konta i zależności oprogramowania

Wcześniejsze incydenty dotyczyły kilku punktów dostępu objętych przewodnikiem.

26 października crypto.news poinformowało, że producent portfeli Foundation padł ofiarą kompromitacji klucza API Cloudflare, co umożliwiło wysyłanie fałszywych e-maili wydających się pochodzić z jego oficjalnych domen. Firma unieważniła poświadczenia i powiedziała, że sprzęt Passport oraz przechowywane fundusze pozostały bezpieczne.

Incydent z lipca dotyczył skompromitowanego pakietu dewelopera Injective. Firma bezpieczeństwa Socket powiedziała, że złośliwy kod przechwycił funkcje generowania portfeli i przesyłał klucze prywatne oraz frazy odzyskiwania przez fałszywą telemetrię. CEO Injective, Eric Chen, powiedział, że dotknięte wydania zostały wycofane, a problem naprawiony.

Inne dochodzenie z lipca dotyczyło złośliwego oprogramowania OkoBot do kradzieży portfeli, dystrybuowanego przez repozytoria GitHub podszywające się pod legalne oprogramowanie. Kampania wykorzystywała fałszywe komunikaty o błędach i instrukcje naprawy, aby przekonać ofiary do wykonania złośliwych poleceń. Jej moduły obejmowały fałszywe ekrany odzyskiwania portfeli, monitorowanie klawiatury i nadzór nad schowkiem.