Keone Hon của Monad thúc đẩy hướng dẫn OpSec và công cụ bảo mật AI Ultrafuzz

Người đồng sáng lập Monad, Keone Hon, đã kêu gọi các nhóm tiền điện tử đặt bảo mật lên hàng đầu, chia sẻ hướng dẫn về bảo mật hoạt động và quảng bá công cụ Ultrafuzz mã nguồn mở của tổ chức khi các kẻ tấn công có khả năng truy cập vào AI mạnh mẽ hơn.

Tóm tắt

• Hon đã khuyến khích các nhà phát triển chạy Ultrafuzz trên các hợp đồng của họ và tăng cường bảo mật hoạt động.
• Hướng dẫn OpSec của Monad bao gồm các vấn đề về lừa đảo, quản lý thông tin xác thực, thiết bị của nhân viên và quyền truy cập tài khoản bên thứ ba.
• Ultrafuzz đã được mã nguồn mở vào tháng 9, trước khi Hon kêu gọi các nhóm sử dụng nó.
• Các tổn thất do kiểm soát bị đánh cắp được nêu trong hướng dẫn bao gồm các khóa bị rò rỉ và các cuộc tấn công chuỗi cung ứng cùng với kỹ thuật xã hội.

Tài nguyên của Quỹ Monad bao gồm cả phần mềm mà các nhóm triển khai và các tài khoản, thiết bị, cũng như các thỏa thuận ký kết được sử dụng để quản lý nó. Trong các bài đăng của mình, Hon đã chỉ dẫn độc giả đến Kinh thánh OpSec Crypto, hướng dẫn về tài khoản quản trị viên và nghiên cứu về việc tìm kiếm lỗ hổng bằng AI.

Trong thời đại của những kẻ tấn công được trang bị AI, cách duy nhất để ngành của chúng ta tiến lên là tiếp tục củng cố. Bảo mật nên là ưu tiên hàng đầu của mọi nhóm.

Quỹ Monad đầu tư mạnh vào bảo mật và đang chia sẻ các tài nguyên sau với cộng đồng:

Mọi người:

-- Crypto... --- Keone Hon (@keoneHD) ngày 30 tháng 10 năm 2026

"Trong thời đại của những kẻ tấn công được trang bị AI, cách duy nhất để ngành của chúng ta tiến lên là tiếp tục củng cố," ông viết. "Bảo mật nên là ưu tiên hàng đầu của mọi nhóm."

Hướng dẫn OpSec của Monad nhắm vào những thất bại bảo mật hàng ngày

Được viết bởi Omar, Kinh thánh OpSec Crypto mở đầu với sự thất vọng về những sự cố lặp đi lặp lại liên quan đến mã không quen thuộc, lừa đảo, thông tin xác thực bị lộ và quản lý thiết bị kém.

Hướng dẫn trích dẫn trình theo dõi Lumos của ChainLight, đã ghi nhận 3,31 tỷ USD giá trị bị khai thác từ việc kiểm soát bị đánh cắp, so với 983 triệu USD từ các lỗ hổng hợp đồng thông minh, trong số các sự cố được theo dõi từ tháng 1 năm 2023 đến thời điểm báo cáo của hướng dẫn.

Danh mục kiểm soát bị đánh cắp của nó bao gồm kỹ thuật xã hội, rò rỉ khóa riêng, truy cập trái phép, các cuộc tấn công chuỗi cung ứng và các thất bại bảo mật thông thường khác. So sánh này bao gồm các sự cố đã được trình theo dõi ghi nhận và được trình bày như một bức tranh lịch sử.

Omar lập luận rằng các tổ chức tiền điện tử đã không chú ý đủ đến bảo mật hoạt động. Các khuyến nghị của ông bao gồm việc tách biệt hoạt động cá nhân khỏi thiết bị làm việc, duy trì một máy tính hoặc trình duyệt sạch cho các hoạt động tiền điện tử, và kiểm tra chi tiết giao dịch trước khi ký.

Đối với các tài khoản quan trọng, hướng dẫn khuyến nghị sử dụng khóa bảo mật phần cứng với một bản sao lưu được lưu trữ an toàn, mật khẩu độc nhất và giữ mã xác thực tách biệt với mật khẩu. Các tổ chức được khuyên duy trì bảo vệ điểm cuối và thiết lập một liên hệ rõ ràng để báo cáo các sự cố bảo mật.

Hon kêu gọi các nhà phát triển xem xét quyền truy cập của quản trị viên

Đối với các nhà phát triển hợp đồng thông minh, Hon đã nhấn mạnh hướng dẫn chống lại việc dựa vào các tài khoản thuộc sở hữu bên ngoài cho các vai trò quản trị viên và đã gọi sự chú ý đến việc sử dụng một máy tính xách tay chuyên dụng khi ký các chức năng quản trị.

Danh sách tài nguyên của ông bao gồm công việc về xác minh chính thức và săn lùng mối đe dọa với các mô hình ngôn ngữ lớn. Trong một bài đăng riêng, ông đã khuyến khích các nhà phát triển chạy Ultrafuzz trên các hợp đồng của họ, ghi nhận kinh nghiệm của Antonio Viggiano và mời phản hồi.

"Các nhà phát triển hợp đồng thông minh, hãy chạy Ultrafuzz trên các hợp đồng của bạn!! Nó là mã nguồn mở và có sẵn cho bất kỳ ai," Hon viết.

Thông báo mã nguồn mở của công cụ này được công bố vào ngày 10 tháng 9. Các bài đăng gần đây của Hon đã làm mới sự chú ý đến một bản phát hành hiện có, cùng với các tài nguyên bảo mật hoạt động của quỹ.

Ultrafuzz kết hợp điều tra AI với kiểm tra hợp đồng

Có sẵn thông qua một kho GitHub công khai, Ultrafuzz phối hợp các tác nhân AI chuyên biệt để kiểm tra các hợp đồng, lập bản đồ hành vi người dùng, điều tra các thuộc tính bảo mật, thực hiện các chiến lược kiểm tra và chuẩn bị các phát hiện để xem xét.

Monad cho biết hơn 20 lần chạy trên các dự án hệ sinh thái đã giúp hình thành bản phát hành, hỗ trợ Solidity và Vyper.

Trong phần hướng dẫn kỹ thuật của mình, Viggiano đã mô tả việc phát triển công cụ trong khi giúp một nhóm chuẩn bị cho một đánh giá bảo mật bên ngoài. Dự án thiếu các bài kiểm tra fuzz, dẫn đến công việc về một quy trình làm việc hỗ trợ AI để tạo ra chúng.

Giải thích của ông mô tả các tác nhân xác định các điều kiện mà một giao thức nên bảo tồn, sau đó điều tra xem các hành động hoặc chuỗi cụ thể có phá vỡ chúng hay không. Các phát hiện được kết hợp, kiểm tra và tổ chức thành một báo cáo.

Monad hướng dẫn người dùng chạy Ultrafuzz trên các máy ảo tách biệt, cách ly. Các tác nhân của nó hoạt động với quyền hạn không bị hạn chế, và thông báo cảnh báo không nên chạy nó trên các máy trạm của nhà phát triển hoặc máy tính có thông tin xác thực giá trị.

Các vi phạm gần đây phơi bày tài khoản và phụ thuộc phần mềm

Các sự cố trước đây đã liên quan đến một số điểm truy cập được đề cập trong hướng dẫn.

Vào ngày 26 tháng 10, crypto.news đã báo cáo rằng nhà sản xuất ví Foundation đã gặp phải một sự cố rò rỉ khóa API Cloudflare cho phép gửi email giả mạo có vẻ đến từ các miền chính thức của nó. Công ty đã thu hồi thông tin xác thực và cho biết phần cứng Passport và các quỹ được lưu trữ vẫn an toàn.

Một sự cố vào tháng 7 liên quan đến một gói phát triển Injective bị xâm phạm. Công ty bảo mật Socket cho biết mã độc đã chặn các chức năng tạo ví và truyền tải các khóa riêng và cụm từ khôi phục thông qua telemetry giả. Giám đốc điều hành Injective, Eric Chen, cho biết các bản phát hành bị ảnh hưởng đã bị ngừng sử dụng và vấn đề đã được khắc phục.

Một cuộc điều tra khác vào tháng 7 liên quan đến phần mềm độc hại đánh cắp ví OkoBot, được phân phối qua các kho GitHub giả mạo là phần mềm hợp pháp. Chiến dịch đã sử dụng các thông báo lỗi giả và hướng dẫn sửa chữa để thuyết phục các nạn nhân thực hiện các lệnh độc hại. Các mô-đun của nó bao gồm các màn hình khôi phục ví giả mạo, giám sát bàn phím và giám sát clipboard.