Keone Hon da Monad promove guia de OpSec e ferramenta de segurança AI Ultrafuzz

O cofundador da Monad, Keone Hon, instou as equipas de criptomoeda a tornarem a segurança a sua principal prioridade, partilhando orientações de segurança operacional e promovendo a ferramenta Ultrafuzz de código aberto da fundação, à medida que os atacantes ganham acesso a uma IA mais capaz.

Resumo

• Hon incentivou os desenvolvedores a executar o Ultrafuzz nos seus contratos e a fortalecer a segurança operacional.
• O guia de OpSec da Monad cobre phishing, gestão de credenciais, dispositivos dos funcionários e permissões de contas de terceiros.
• O Ultrafuzz foi tornado open-source em setembro, antes do apelo mais recente de Hon para que as equipas o utilizem.
• As perdas citadas no guia relacionadas com o sequestro de controlo incluem chaves vazadas e ataques à cadeia de fornecimento, juntamente com engenharia social.

Os recursos da Fundação Monad cobrem tanto o software que as equipas implementam como as contas, dispositivos e arranjos de assinatura utilizados para a sua gestão. Nas suas publicações, Hon direcionou os leitores para a Bíblia de OpSec Cripto, orientações sobre contas de administrador e pesquisas sobre como encontrar vulnerabilidades com IA.

Nesta era de atacantes potenciados por IA, a única forma de avançar para a nossa indústria é continuar a reforçar a segurança. A segurança deve ser o foco principal de cada equipa.

A Fundação Monad investe fortemente em segurança e está a partilhar os seguintes recursos com a comunidade:

Todos:

-- O Cripto... --- Keone Hon (@keoneHD) 30 de outubro de 2026

"Nesta era de atacantes potenciados por IA, a única forma de avançar para a nossa indústria é continuar a reforçar a segurança," escreveu. "A segurança deve ser o foco principal de cada equipa."

O guia de OpSec da Monad visa falhas de segurança do dia-a-dia

Escrito por Omar, a Bíblia de OpSec Cripto começa com frustração sobre compromissos recorrentes envolvendo código desconhecido, phishing, credenciais expostas e má gestão de dispositivos.

O guia cita o rastreador Lumos da ChainLight, que registou $3,31 bilhões em valor explorado devido ao sequestro de controlo, em comparação com $983 milhões de vulnerabilidades de contratos inteligentes, em incidentes rastreados desde janeiro de 2023 até o corte de relatório do guia.

A sua categoria de sequestro de controlo inclui engenharia social, vazamento de chaves privadas, acesso não autorizado, ataques à cadeia de fornecimento e outras falhas de segurança convencionais. A comparação cobre os incidentes registados pelo rastreador e é apresentada como uma instantânea histórica.

Omar argumenta que as organizações de criptomoeda não deram atenção suficiente à segurança operacional. As suas recomendações incluem separar a atividade pessoal dos dispositivos de trabalho, manter um computador ou navegador limpo para atividade cripto e verificar os detalhes das transações antes de assinar.

Para contas críticas, o guia recomenda chaves de segurança de hardware com um backup armazenado de forma segura, senhas únicas e manter os códigos de autenticação separados das senhas. As organizações são aconselhadas a manter proteção de endpoint e estabelecer um contacto claro para relatar incidentes de segurança.

Hon instiga os desenvolvedores a rever o acesso de administrador

Para desenvolvedores de contratos inteligentes, Hon destacou orientações contra a dependência de contas de propriedade externa para funções de administrador e chamou a atenção para o uso de um laptop dedicado ao assinar funções administrativas.

A sua lista de recursos inclui trabalhos sobre verificação formal e caça a ameaças com grandes modelos de linguagem. Numa publicação separada, ele incentivou os desenvolvedores a executar o Ultrafuzz nos seus contratos, creditando a experiência de Antonio Viggiano e convidando feedback.

"Desenvolvedores de contratos inteligentes, por favor, executem o Ultrafuzz nos seus contratos!! É open source e disponível para qualquer um," escreveu Hon.

O anúncio de código aberto da ferramenta foi publicado a 10 de setembro. As publicações mais recentes de Hon renovam a atenção para um lançamento existente, juntamente com os recursos de segurança operacional da fundação.

Ultrafuzz combina investigação de IA com testes de contratos

Disponível através de um repositório público no GitHub, o Ultrafuzz coordena agentes de IA especializados para examinar contratos, mapear comportamentos de utilizadores, investigar propriedades de segurança, executar estratégias de teste e preparar descobertas para revisão.

A Monad afirma que mais de 20 execuções em projetos do ecossistema ajudaram a moldar o lançamento, que suporta Solidity e Vyper.

No seu guia técnico, Viggiano descreveu o desenvolvimento da ferramenta enquanto ajudava uma equipa a preparar-se para uma revisão de segurança externa. O projeto carecia de testes de fuzz, levando ao trabalho em um fluxo de trabalho assistido por IA para criá-los.

A sua explicação descreve agentes identificando condições que um protocolo deve preservar, investigando depois se ações ou sequências particulares as quebram. As descobertas são combinadas, verificadas e organizadas em um relatório.

A Monad instrui os utilizadores a executar o Ultrafuzz em máquinas virtuais descartáveis e isoladas. Os seus agentes operam com permissões irrestritas, e o anúncio adverte contra a execução em estações de trabalho de desenvolvedores ou máquinas que contenham credenciais valiosas.

Quebras recentes expõem contas e dependências de software

Incidentes anteriores envolveram vários dos pontos de acesso cobertos pelo guia.

A 26 de outubro, o crypto.news relatou que o fabricante de carteiras Foundation havia sofrido uma violação da chave da API do Cloudflare que permitiu e-mails fraudulentos que pareciam vir dos seus domínios oficiais. A empresa revogou as credenciais e disse que o hardware Passport e os fundos armazenados permaneceram seguros.

Um incidente em julho envolveu um pacote de desenvolvedor da Injective comprometido. A empresa de segurança Socket disse que um código malicioso interceptou funções de geração de carteiras e transmitiu chaves privadas e frases de recuperação através de telemetria falsa. O CEO da Injective, Eric Chen, disse que as versões afetadas foram descontinuadas e o problema foi corrigido.

Outra investigação de julho concernia ao malware de roubo de carteiras OkoBot, distribuído através de repositórios do GitHub disfarçados como software legítimo. A campanha usou mensagens de erro falsas e instruções de reparo para persuadir as vítimas a executar comandos maliciosos. Os seus módulos incluíam telas fraudulentas de recuperação de carteiras, monitoramento de teclado e vigilância de área de transferência.