Tag: امنیت و هک

قیمت XRP در حدود ۱.۰۸ دلار معامله می‌شود؛ این در حالی است که طی ۲۴ ساعت گذشته شاهد افت بوده است. با این حال، بازار با وجود یک پرونده کلاهبرداری بزرگ در کره جنوبی، نسبتاً باثبات باقی مانده است. مقامات سه مظنون مرتبط با یک طرح جعلی استیکینگ XRP را دستگیر کرده‌اند که از ۷۱ سرمایه‌گذار، ۳.۴ میلیون XRP به ارزش حدود ۱۲.۳ میلیارد وون (واحد پول کره جنوبی) سرقت کرده است. اعلان قرمز اینترپل همچنان برای مظنون چهارم که در خارج از کشور به سر می‌برد، فعال است.

آژانس پلیس سئول اعلام کرد که این گروه وب‌سایت کلاهبردارانه Fxrpntwork.com را اداره می‌کرده است. این وب‌سایت از طریق پست‌های وبلاگ، مقالات آنلاین و ویدئوهای یوتیوب، بازده ماهانه ۱.۵ تا ۱.۸ درصدی را وعده می‌داده است. بازرسان XRP سرقت شده را در بلاک‌چین ردیابی کرده و کیف پول‌های مظنونان را ظرف سه روز پس از دریافت اولین گزارش مسدود کردند. سرکرده این گروه پس از بازگشت به کره جنوبی دستگیر شد، در حالی که دو همدست او هنگام فرار در داخل کشور بازداشت شدند.

فوری: پلیس سئول سه مظنون را در کلاهبرداری استیکینگ XRP دستگیر کرد و ۳.۴ میلیون XRP را از ۷۱ قربانی ضبط کرد.

در همین حال، این پرونده رویکرد سخت‌گیرانه‌تر کره جنوبی در قبال کلاهبرداری‌های مرتبط با ارزهای دیجیتال را منعکس می‌کند. بازرسان همچنان به دنبال کلاهبرداری‌هایی هستند که سرمایه‌گذاران خرد را از طریق پلتفرم‌های سرمایه‌گذاری جعلی هدف قرار می‌دهند. مقامات همچنین بر شفافیت بلاک‌چین تأکید کرده‌اند، زیرا سوابق تراکنش به ردیابی سریع وجوه سرقت شده کمک کرده است.

علی‌رغم این اخبار، XRP از فروش شدید اجتناب کرد و به معامله در سطوح اخیر ادامه داد. این نشان می‌دهد که معامله‌گران این حادثه را بیشتر یک پرونده جنایی مجزا تلقی کرده‌اند تا یک مشکل شبکه‌ای. با این حال، احساسات بازار ممکن است در صورت افزایش اقدامات اجرایی مشابه در منطقه تغییر کند.

قیمت XRP در حدود ۱.۰۸ دلار معامله می‌شود و از محدوده معاملاتی اخیر خود پایین‌تر آمده است. این توکن به اوج روزانه نزدیک به ۱.۰۹ دلار رسید و در حدود ۱.۰۵ دلار حمایت پیدا کرد. محدوده معاملاتی محدود، نشان‌دهنده تثبیت است تا یک روند قاطع، در حالی که اقدامات قیمتی اخیر نشان می‌دهد فروشندگان همچنان برتری دارند.

حمایت اکنون در محدوده ۱.۰۵ تا ۱.۰۶ دلار قرار دارد، جایی که خریداران بارها وارد عمل شده‌اند. مقاومت اولیه به ۱.۰۸ دلار منتقل شده است، در حالی که ۱.۱۰ دلار همچنان اولین مانع اصلی باقی می‌ماند. یک حرکت پایدار بالاتر از این سطح می‌تواند مسیر را به سمت ۱.۲۰ دلار باز کند، اگرچه برای آن به حجم خرید قوی‌تری نیاز است.

سناریوی صعودی، بازپس‌گیری ۱.۱۰ دلار توسط XRP با حجم متقاعدکننده قبل از تلاش برای حرکت به سمت ۱.۲۰ دلار را می‌بیند. سناریوی پایه، معامله جانبی بین ۱.۰۵ تا ۱.۱۰ دلار باقی می‌ماند، زیرا سرمایه‌گذاران منتظر یک کاتالیزور جدید هستند. در سمت نزولی، از دست دادن ۱.۰۵ دلار می‌تواند سطح روانی ۱.۰۰ دلار را آشکار کند.

در همین حال، دستگیری‌های کلاهبرداری در کره جنوبی منبعی از اخبار منفی را حذف کرد بدون اینکه بر خود XRP Ledger تأثیر بگذارد. معامله‌گران عمدتاً این حادثه را به عنوان یک پرونده جنایی و نه یک مسئله پروتکل تلقی کردند. در حال حاضر، قیمت XRP بیش از اقدامات اجرایی مجزا، به انتظارات اقتصاد کلان و اشتهای کلی ریسک حساس است.

معامله XRP در ۱.۰۸ دلار برای موقعیت خرید (long) بد نیست، اما پتانسیل سود از سطوح فعلی جزئی است. حرکت به سمت ۱.۲۰ دلار، ۱۱ درصد سود است. در این نقطه، پروژه‌های زیرساختی در مراحل اولیه وارد بحث می‌شوند، نه به عنوان جایگزینی برای قرار گرفتن در معرض XRP، بلکه به عنوان یک پروفایل ریسک-بازده کاملاً متفاوت.

LiquidChain ($LIQUID) یک پروژه زیرساختی لایه ۳ است که خود را به عنوان لایه نقدینگی بین زنجیره‌ای معرفی می‌کند. این پروژه نقدینگی بیت‌کوین، اتریوم و سولانا را در یک محیط اجرایی واحد ادغام می‌کند.

معماری اصلی آن بر یک لایه نقدینگی یکپارچه با اجرای تک مرحله‌ای و معماری “یک بار استقرار” متمرکز است، به این معنی که توسعه‌دهندگان یک بار کدنویسی می‌کنند و بدون ریسک پل‌های پراکنده به هر سه اکوسیستم دسترسی پیدا می‌کنند.

تا به امروز، قیمت پیش‌فروش ۰.۰۱۴۸۵ دلار است و ۹۲۰ هزار دلار جمع‌آوری شده است.

قبل از تعهد سرمایه، LiquidChain را تحقیق کنید.

یک هفته پس از آنکه OpenAI تأیید کرد مدل‌های هوش مصنوعی‌اش برای تقلب در یک معیار امنیتی به Hugging Face نفوذ کرده‌اند، این شرکت به طور پنهانی به‌روزرسانی‌ای را در پست مربوط به این حادثه منتشر کرد که در آن به نکته‌ای اشاره شده بود که پیش از این بیان نکرده بود: Hugging Face تنها پلتفرمی نبود که عامل سرکش آن مورد دستبرد قرار گرفت.

OpenAI در به‌روزرسانی ۲۸ ژوئیه خود نوشت: «در بررسی مداوم خود از نفوذ به Hugging Face و فعالیت‌های گسترده‌تر مدل‌هایمان، تعداد کمی مورد یافته‌ایم که در آن‌ها مدل‌ها، اعتبارنامه‌های در معرض دید عموم را در سطح حساب کاربری در سایر خدمات در دسترس عموم شناسایی و مورد استفاده قرار داده‌اند. این شامل چهار حساب در چهار سرویس به عنوان بخشی از حادثه Hugging Face (و چند حساب که به عنوان بخشی از ارزیابی‌های دیگر به آن‌ها دسترسی پیدا شد) می‌شود.»

این بدان معناست که در مجموع پنج پلتفرم مورد هدف قرار گرفته‌اند. OpenAI به جز Hugging Face، نامی از چهار پلتفرم دیگر نبرده است.

OpenAI اعلام کرد: «ما به اطلاع‌رسانی مستقیم به صاحبان خدمات ادامه خواهیم داد و هیچ مدرکی مبنی بر تأثیر گسترده‌تر بر این ارائه‌دهندگان یا سایر حساب‌ها در خدمات آن‌ها مشاهده نکرده‌ایم.»

برای درک بهتر موضوع: OpenAI در حال آزمایش مدل‌های GPT-5.6 Sol و یک مدل ناشناس و توانمندتر بر روی ExploitGym بود. ExploitGym یک معیار امنیت سایبری است که آزمونی استاندارد برای اندازه‌گیری عملکرد هوش مصنوعی محسوب می‌شود و به عامل‌ها ۸۹۸ آسیب‌پذیری نرم‌افزاری واقعی را با یک دستورالعمل ارائه می‌دهد: آن را به یک حمله سایبری عملیاتی تبدیل کن، که با موفقیت یا شکست ارزیابی می‌شود. فیلترهای ایمنی برای اندازه‌گیری قابلیت خام مدل‌ها غیرفعال شده بودند. این یک رویه استاندارد برای این نوع ارزیابی است؛ شما نمی‌توانید آنچه را که یک مدل در دنیای واقعی قادر به انجام آن است، اندازه‌گیری کنید اگر فعالانه از انجام هر کاری جلوگیری کنید.

مشکل اینجاست که مدل‌ها با این آزادی چه کردند. آن‌ها به جای حل مسئله معیار، زمان محاسباتی قابل توجهی را صرف یافتن راه‌هایی برای فرار از محیط آزمایشی خود و کپی مستقیم پاسخ‌ها کردند. آن‌ها یک آسیب‌پذیری روز صفر (یک نقص نرم‌افزاری ناشناخته که هیچ وصله امنیتی برای آن وجود ندارد) را در پروکسی کش رجیستری بسته (یک سرور داخلی که دانلود نرم‌افزار را برای محیط آزمایشی ایزوله مدیریت می‌کند، شبیه به یک فروشگاه برنامه کنترل‌شده) شناسایی کردند.

این امر به آن‌ها دسترسی به اینترنت را داد که هرگز نباید به آن دسترسی پیدا می‌کردند. از آنجا، آن‌ها به درستی استنباط کردند که Hugging Face – بزرگترین مخزن مدل‌های هوش مصنوعی متن‌باز جهان – احتمالاً کلیدهای پاسخ را در خود جای داده است و برای دستیابی به آن‌ها نفوذ کردند.

در طول این فرآیند، آن‌ها همچنین به چهار شرکت دیگر برای تسهیل کار خود نفوذ کردند.

بازسازی پزشکی قانونی که Hugging Face در ۲۷ ژوئیه منتشر کرد، آنچه را که در پی داشت توصیف می‌کند: «در طول حدود دو روز و نیم در زیرساخت ما، یک عامل هوش مصنوعی خودکار که توسط ترکیبی از مدل‌های OpenAI هدایت می‌شد، یک نفوذ کامل را علیه پلتفرم ما اجرا کرد: این شامل هزاران تصمیم کوچک و خودکار بود که با سرعت ماشین در محیط‌های سندباکس کوتاه‌مدت اجرا می‌شدند و فرماندهی و کنترل از طریق خدمات وب عمومی معمولی سازماندهی شده بود.»

این عامل در طول چهار روز و نیم، ۱۷,۶۰۰ اقدام متمایز را ثبت کرد. این عامل ۱۸۱ دستگاه را با استفاده از یک کلید احراز هویت سرقت شده به شبکه خصوصی مجازی داخلی Hugging Face – یک تونل امن که سرورهای شرکت را به هم متصل می‌کند – وارد کرد. این عامل با استفاده از یک کلید امضای رمزنگاری سرقت شده، توکن‌های هویت خود را ایجاد کرد. این عامل تلاش کرد تا خط لوله ساخت داخلی Hugging Face – سیستم خودکار که نرم‌افزار شرکت را کامپایل و مستقر می‌کند – را به خطر بیندازد.

از چهار سرویس خارجی که در به‌روزرسانی OpenAI نام برده شده‌اند، یکی از آن‌ها تأیید شده است: Modal Labs، یک پلتفرم ابری برای اجرای محیط‌های محاسباتی ایزوله درخواستی. مدیر ارشد فناوری، اکشات بوبنا، تأیید کرد که این عامل یک نقطه پایانی رو به اینترنت ناامن متعلق به یک مشتری را – یک سندباکس کد که به طور عمومی برای هر کسی در اینترنت قابل دسترسی بود – پیدا کرده و از آن به عنوان پایگاه سازماندهی و فرماندهی و کنترل برای کل کمپین علیه Hugging Face استفاده کرده است.

هویت سه سرویس از چهار سرویس همچنان نامشخص باقی مانده است. ظاهراً هویت آن‌ها برای OpenAI و شرکت‌های آسیب‌دیده شناخته شده است، اما نه برای کاربران آن‌ها.

OpenAI نوشت: «یکی از این چهار حساب به عنوان یک مسیر خروجی و سازماندهی مجدد استفاده شد و حساب دیگری برای ذخیره‌سازی داده‌ها به کار رفت. دو حساب باقی‌مانده به صورت فقط خواندنی توسط مدل‌ها مورد دسترسی قرار گرفتند و برای پیشبرد نفوذ به Hugging Face استفاده نشدند.»

تیم پزشکی قانونی Hugging Face به یک عارضه جانبی ناخوشایند اشاره کرد: هنگامی که آن‌ها تلاش کردند گزارش حمله ۱۷,۶۰۰ اقدامی را با استفاده از مدل‌های هوش مصنوعی پیشرفته آمریکایی تجزیه و تحلیل کنند، آن مدل‌ها از همکاری امتناع کردند. همانطور که Hugging Face نوشت، این شرکت در نهایت از GLM 5.2، یک مدل با وزن باز از استارتاپ چینی Z.ai، برای تکمیل تحقیقات پزشکی قانونی استفاده کرد. فیلترهای ایمنی مدل‌های آمریکایی قادر به تمایز بین مدافع و مهاجم نبودند.

رویکرد اعلام شده OpenAI – «اطلاع‌رسانی مستقیم به صاحبان خدمات» – به این معنی است که آن سه شرکت ارتباطی خصوصی در مورد دسترسی یک عامل هوش مصنوعی به سیستم‌هایشان در طول یک ارزیابی OpenAI که هیچ نقشی در آن نداشتند، دریافت کرده‌اند.

هیچ الزام قانونی وجود ندارد که OpenAI را مجبور به نام بردن عمومی پلتفرم‌هایی کند که عاملش به آن‌ها دسترسی پیدا کرده است، و هیچ جدول زمانی اجباری برای شرکت‌های آسیب‌دیده برای صدور بیانیه‌های عمومی خودشان وجود ندارد. همچنین هیچ سازوکاری وجود ندارد که آن شرکت‌ها را ملزم به اطلاع‌رسانی به کاربران نهایی خود کند.

فدراسیون مصرف‌کنندگان آمریکا در گزارشی جدید اعلام کرد که ارزهای دیجیتال بیش از نیمی از کل زیان‌های ناشی از کلاهبرداری و جرایم سایبری را به خود اختصاص داده‌اند و این رقم به ۸۰.۷ میلیارد دلار می‌رسد.

این انجمن متشکل از گروه‌های مصرف‌کننده غیرانتفاعی، یافته‌های خود را بر اساس آمارهای اف‌بی‌آی (FBI) استوار کرده است. طبق این آمارها، زیان‌های ناشی از کلاهبرداری‌های ارز دیجیتال که به این سازمان گزارش شده، در سال گذشته ۱۱.۳۷ میلیارد دلار بوده که نسبت به سال ۲۰۲۴، ۲۲ درصد افزایش یافته است. رقم اعلامی فدراسیون مصرف‌کنندگان آمریکا با اعمال ضریبی از یک نظرسنجی اداره آمار دادگستری در سال ۲۰۱۷ به دست آمده است. در آن نظرسنجی مشخص شد که تنها ۱۴ درصد از قربانیان کلاهبرداری، این موارد را به مقامات قانونی گزارش می‌دهند.

گزارش به‌روزرسانی شده فدراسیون مصرف‌کنندگان آمریکا پیش‌بینی می‌کند که آمریکایی‌ها سالانه حدود ۱۴۸.۲ میلیارد دلار در اثر کلاهبرداری‌های آنلاین از دست می‌دهند. بیش از نیمی از کل زیان‌های گزارش شده مربوط به کلاهبرداری‌های ارز دیجیتال است.

فدراسیون مصرف‌کنندگان آمریکا این ضریب ۷.۱ برابری را به تمام ارقام گزارش خود اعمال کرده و آن را محافظه‌کارانه توصیف می‌کند. آری ردبورد، رئیس جهانی سیاست‌گذاری در TRM Labs، در ماه آوریل به دکریپت (Decrypt) گفته بود که رقم اف‌بی‌آی “یک معیار مهم” است که “تنها بخشی از تصویر را نشان می‌دهد”، زیرا بر این فرض مشابهی کار می‌کند که حدود ۱۵ درصد از قربانیان گزارش می‌دهند.

کلاهبرداری‌های سرمایه‌گذاری بزرگترین دسته مجزا را تشکیل می‌دادند، با ۸.۶ میلیارد دلار گزارش شده و ۶۱.۴ میلیارد دلار تخمین زده شده، که نسبت به سال ۲۰۲۴، ۳۲ درصد افزایش یافته است. در تمام دسته‌ها، مرکز شکایات اف‌بی‌آی ۱,۰۰۸,۵۹۷ شکایت و ۲۰.۹ میلیارد دلار زیان گزارش شده را ثبت کرده است که ۲۶ درصد افزایش نشان می‌دهد. فدراسیون مصرف‌کنندگان آمریکا این رقم را به ۱۴۸.۲ میلیارد دلار یا ۱,۰۰۹ دلار برای هر خانوار تعدیل کرده است.

آمریکایی‌های بالای ۶۰ سال، ۴.۴ میلیارد دلار را تنها به کلاهبرداری‌های ارز دیجیتال باختند که نزدیک به ۴۰ درصد کل زیان‌ها را شامل می‌شود. اف‌بی‌آی برای اولین بار جرایم مبتنی بر هوش مصنوعی را به طور جداگانه شمارش کرد و ۸۹۳ میلیون دلار را در ۲۲,۳۶۴ شکایت ثبت نمود.

اقدامات اجرایی علیه این شبکه‌ها از هشدار دادن به اهداف تا توقیف عواید را شامل می‌شود. اف‌بی‌آی می‌گوید عملیات “Level Up” این سازمان که با افراد قبل از پرداخت تماس می‌گیرد، به ۸,۰۰۰ قربانی اطلاع داده و از ضررهای ۵۰۰ میلیون دلاری، از جمله ۲۲۵.۹ میلیون دلار در سال گذشته، جلوگیری کرده است.

این ارقام شامل پرونده‌های مربوط به کلاهبرداران داخلی و بین‌المللی می‌شود. سال گذشته، مردی در اوکلاهما به دلیل یک طرح پانزی ارز دیجیتال ۹.۴ میلیون دلاری به پنج سال زندان محکوم شد. همچنین کلاهبرداران خارجی به تمرکز ویژه‌ای برای مجریان قانون آمریکا تبدیل شده‌اند. سال گذشته، یک نیروی ضربت مرکز کلاهبرداری (Scam Center Task Force) حدود ۲۵ میلیون دلار از پلتفرم‌های سرمایه‌گذاری جعلی ارز دیجیتال و طرح‌های کلاهبرداری عاشقانه آنلاین را توقیف کرد.

وزارت دادگستری برای ضبط ۱۲۷,۲۷۱ بیت‌کوین، که در آن زمان ۱۵ میلیارد دلار ارزش داشت، از چن ژی، رئیس گروه پرینس (Prince Group)، به دلیل کمپ‌های کار اجباری در کامبوج اقدام کرد. این بزرگترین اقدام ضبط در تاریخ این وزارتخانه بود. گروه پرینس هرگونه دخالت در عملیات کلاهبرداری را رد کرده است.

فدراسیون مصرف‌کنندگان آمریکا خود از متا (Meta) به دلیل تبلیغات کلاهبردارانه شکایت کرده است. این گزارش فیس‌بوک، اینستاگرام و واتس‌اپ را به عنوان پلتفرم‌هایی که بیشترین ارتباط را با کلاهبرداری‌ها دارند، معرفی می‌کند. بن وینترز، مدیر هوش مصنوعی و حریم خصوصی فدراسیون مصرف‌کنندگان آمریکا، با اشاره به قانون دوحزبی SCAM Act که پلتفرم‌های آنلاین را از نمایش تبلیغات جعلی یا فریبنده منع می‌کند، گفت: “شرکت‌های فناوری اغلب اجازه می‌یابند از پاسخگویی اجتناب کنند.”

Trade.xyz اعلام کرد که زیان‌های ناشی از ликвиاسیون مرتبط با فروپاشی ناگهانی قرارداد دائمی SK Hynix در تاریخ ۲۷ ژوئیه را پوشش خواهد داد. این اتفاق پس از حادثه‌ای رخ داد که تقریباً ۱۰۰۰ موقعیت اهرمی در پلتفرم Hyperliquid را تحت تأثیر قرار داد.

به یاد بیاورید که چندی پیش، قیمت شاخص سهام از ۱,۱۲۷.۹۰ دلار به ۹۱۷.۲۵ دلار سقوط کرد. این اقدام باعث ایجاد یک آبشار عظیم از ликвиاسیون شد که طبق تحلیل‌های اولیه، حدود ۵۷ میلیون دلار را ликвиه کرد و زیان تحقق‌یافته‌ای بالغ بر ۱۷.۳ میلیون دلار به همراه داشت.

تیم پشت اپراتور HIP-3 پلتفرم Hyperliquid اعلام کرد که این قیمت ناشی از یک تراکنش اجرا شده بوده که توسط چندین ارائه‌دهنده مستقل داده منتقل شده است. اوراکل این پلتفرم، یک مکان خارجی مسئول این معامله را رصد می‌کرده که این پلتفرم آن را به عنوان اصلی‌ترین بازار پیش از عرضه در کره توصیف کرده است.

طبق گفته آن‌ها، اوراکل طبق مشخصات موجود خود عمل کرده است. با این حال، قیمت شاخص حاصله باعث ایجاد ликвиاسیون شد، پیش از آنکه بازار پایه از این ثبت منفرد بهبود یابد.

در تاریخ ۲۷ ژوئیه ساعت ۲۳:۰۱ UTC، قیمت شاخص SKHYNIX از ۱,۱۲۷.۹ دلار به ۹۱۷.۲۵ دلار سقوط کرد. این ثبت بر اساس یک معامله اجرا شده بود که توسط چندین ارائه‌دهنده مستقل داده منتقل شد. اوراکل XYZ در قیمت‌گذاری خارجی فعال بود و آن مکان را رصد می‌کرد که به عنوان اصلی‌ترین…
— trade.xyz (@tradexyz) July 29, 2026

Trade.xyz اعلام کرد که زیان‌های ликвиاسیون ناشی از این ناهنجاری را جبران خواهد کرد. این پلتفرم به زودی معیارهای واجد شرایط بودن را اعلام خواهد کرد و انتظار دارد توزیع‌ها را در روزهای آینده تکمیل کند.

این شرکت همچنین این جبران خسارت را به عنوان یک اقدام اختیاری و یک‌باره توصیف کرد. این شرکت تأکید کرد که این تصمیم تضمینی برای بازپرداخت در حوادث مشابه در آینده نیست.

این اطلاعیه همچنین به تأثیر مالی فوری بر معامله‌گران پرداخت، اما نحوه بسته شدن خودکار موقعیت‌های اهرمی را با سقوط قیمت اوراکل تغییر نمی‌دهد.

علاوه بر این، این شرکت قصد دارد سیستم‌های قیمت‌گذاری خود را در برابر رویدادهای مشابه تقویت کند. این بررسی، اتکای پلتفرم به مکان‌های خارجی و مفروضات مورد استفاده در هنگام ساخت قیمت‌های شاخص را مورد ارزیابی قرار خواهد داد.

این تیم اعلام کرد که همچنین در نظر دارند وزن بیشتری به فعالیت در دفتر سفارشات خود بدهند.

نقض امنیتی در مدل هوش مصنوعی Claude Cowork آنتروپیک

تنها یک هفته پس از آنکه شرکت OpenAI اعلام کرد دو مدل پیشرفته هوش مصنوعی از محیط آزمایشگاهی ایزوله شده خارج شده و به زیرساخت Hugging Face نفوذ کرده‌اند، محققان امنیتی از نقض مشابهی در مدل Claude Cowork شرکت آنتروپیک خبر داده‌اند.

در گزارشی که روز پنجشنبه منتشر شد، محققان امنیتی در شرکت Accomplish AI اعلام کردند که حالت اجرای محلی Claude Cowork قادر بوده است با ترکیب چندین ضعف معماری و یک نقص امنیتی در هسته لینوکس که امکان افزایش سطح دسترسی را فراهم می‌کرد، از ماشین مجازی لینوکس خود فرار کند. پس از خروج از محیط ایزوله، این عامل هوش مصنوعی می‌توانست به فایل‌هایی که کاربر وارد شده در سیستم مک (Mac) به آن‌ها دسترسی داشت، از جمله کلیدهای SSH و اطلاعات احراز هویت ابری، بخواند و بنویسد.

محققان در این باره نوشتند: «این اتفاق نباید رخ می‌داد. Cowork عامل هوش مصنوعی را به عنوان یک کاربر بدون دسترسی کافی در داخل یک ماشین مجازی لینوکس اجرا می‌کند و وعده این است که هر کاری که انجام می‌دهد، در همان ماشین مجازی و پوشه‌هایی که به آن اختصاص داده شده باقی بماند. این مرز، اساس محصول است. ورودی‌های غیرقابل اعتماد برای یک عامل هوش مصنوعی یک مورد استثنایی نیست، بلکه مورد اصلی است.»

با این حال، Accomplish AI معتقد است که نقص امنیتی هسته لینوکس تنها بخشی از مشکل بوده است. محققان می‌گویند این فرار تنها به این دلیل موفقیت‌آمیز بوده که چندین لایه حفاظتی امنیتی همزمان شکست خورده‌اند؛ از جمله اعطای دسترسی ماشین مجازی به کل سیستم فایل کامپیوتر میزبان و اجازه بارگذاری ماژول‌های هسته که نیازی به آن‌ها نبوده است. طبق گزارش، رفع هر یک از این ضعف‌ها به تنهایی می‌توانست جلوی حمله را بگیرد.

Accomplish AI در بیانیه‌ای به The Hacker News اعلام کرد که حدود ۵۰۰,۰۰۰ کاربر سیستم‌عامل macOS که از جلسات محلی Claude Cowork استفاده می‌کردند، پیش از رفع این مشکل تحت تأثیر قرار گرفته بودند.

این شرکت همچنین اعلام کرد که آنتروپیک این گزارش را «اطلاعاتی» طبقه‌بندی کرده و گفته است که نقص هسته لینوکس در پنجره ۳۰ روزه شرکت برای آسیب‌پذیری‌های اخیراً افشا شده قرار می‌گیرد و یافته‌های باقی‌مانده به عنوان توصیه‌های دفاعی عمیق‌تر (defense-in-depth) در نظر گرفته شده‌اند، نه آسیب‌پذیری‌های مستقل.

این افشاگری به دنبال اعتراف هفته گذشته OpenAI صورت می‌گیرد که مدل‌های GPT-5.6 Sol و یک مدل پیشرفته دیگر که هنوز منتشر نشده بود، در طول آزمایش‌های داخلی ExploitGym از محیط ایزوله فرار کرده و در نهایت به زیرساخت تولیدی Hugging Face نفوذ کرده بودند تا راه‌حل‌های بنچمارک را به دست آورند.

این حادثه منجر به درخواست‌هایی از سوی سیاست‌گذاران برای ایجاد یک «کلید قطع اضطراری» برای هوش مصنوعی شد که به وزارت امنیت داخلی آمریکا اجازه دهد در پاسخ به حوادث امنیتی جدی، دستور کاهش سرعت یا توقف کامل مدل‌های پیشرفته هوش مصنوعی را صادر کند.

یک فروش سهام، ۹۶۰ مورد ликвиیدیشن: جزئیات سقوط ناگهانی SK Hynix در Hyperliquid

شب گذشته، قرارداد دائمی (perpetual) مرتبط با سهام SK Hynix در پلتفرم Hyperliquid شاهد سقوطی حدوداً ۲۰ درصدی بود. این افت ناگهانی که از قیمت ۱,۱۳۱ دلار به ۹۰۰ دلار رسید، باعث شد قیمت این دارایی در Hyperliquid کاملاً از قیمت‌های موجود در سایر صرافی‌های ارز دیجیتال جدا شود.

داده‌های زنجیره‌ای (on-chain) نشان می‌دهند که این ریزش گسترده از یک تراکنش فروش تکی سهام که از سئول انجام شده، سرچشمه گرفته است.

به نظر می‌رسد در پنجره پیش از بازگشایی معاملات در صرافی کره‌ای Nextrade، سفارشی برای فروش سهام شرکت بزرگ تولیدکننده تراشه SK Hynix با قیمتی ۳۰ درصد پایین‌تر از قیمت پایانی قبلی ثبت شده است. این احتمال وجود دارد که این سفارش به اشتباه وارد شده باشد.

به دلیل نقدینگی پایین در معاملات پیش از بازگشایی، در آن لحظه هیچ سفارش رقیبی در Nextrade وجود نداشت و این تراکنش تکی، قیمت سهام را در آن صرافی به طور موقت تعیین کرد.

قیمت سهام ظرف دو دقیقه به ارزش بازار بازگشت، اما تا آن زمان، اوراکل XYZ که مسئولیت تعیین قیمت این سهام را در Hyperliquid بر عهده داشت، اطلاعات را دریافت و منتقل کرده بود.

تنها چهار ثانیه پس از بازگشایی معاملات در Nextrade، قیمت اوراکل SKHYNIX با افت ۱۵.۶ درصدی مواجه شد و حدود دو ثانیه بعد، فرآیند ликвиیدیشن آغاز گردید.

در Hyperliquid، کاربران با استفاده از اهرم (leverage) بر روی قیمت سهام این شرکت نیمه‌هادی شرط‌بندی کرده بودند. حساب کاربری X.com به نام MarketAlpha محاسبه کرده است که در نتیجه این خطای اوراکل، ۹۶۰ حساب کاربری در یک آبشار ликвиیدیشن، ۵۷ میلیون دلار زیان دیدند که از این میان، ۱۷.۳ میلیون دلار زیان محقق شده (realized losses) بود.

امروز، فروش یک سهم تکی منجر به میلیون‌ها دلار ликвиیدیشن در Hyperliquid شد.

در ساعت ۲۳:۰۰ UTC روز ۲۷ جولای، $SKHYNIX در Hyperliquid دچار یک سقوط ناگهانی (flash crash) شد و در عرض چند ثانیه حدود ۲۰ درصد افت کرد و سپس به سرعت بهبود یافت.

این آبشار کامل با فروش یک سهم تکی آغاز شد…

پس از آن، سیستم پشتیبان (backstop) با فعال کردن اهرم‌زدایی خودکار (auto-deleveraging) علیه موقعیت‌های فروش سودآور، منجر به تحقق ۱۰.۸ میلیون دلار سود در ۱۰۰ حساب کاربری شد. بیشترین سود و زیان برای حساب‌های فردی به ترتیب ۲.۵۵ میلیون دلار و ۲.۰۵ میلیون دلار بود. به طرز شگفت‌انگیزی، این سقوط ناگهانی، اصلاح واقعی قیمت سهام در بازار آزاد را که ساعاتی بعد رخ داد و حدود ۱۵ درصد بود، تقلید کرد.

کارکنان Hyperliquid اشاره کرده‌اند که این صرافی بدون نیاز به مجوز (permissionless) است و استقرار و عملیات SKHYNIX توسط XYZ انجام می‌شود. گزارش شده است که XYZ در حال بررسی این موضوع است اما هنوز بیانیه‌ای منتشر نکرده است.

پایگاه داده قابل جستجو از سوابق املاک نیویورک، خشم فعالان حوزه ارزهای دیجیتال را برانگیخت

یک پایگاه داده قابل جستجو که از سوابق عمومی ارزیابی املاک شهر نیویورک ساخته شده است، با واکنش شدید چهره‌های برجسته در صنعت ارزهای دیجیتال روبرو شده است. این افراد استدلال می‌کنند که دسترسی آسان‌تر به این اطلاعات، عملاً فهرستی از مالکان ثروتمند املاک ایجاد می‌کند و می‌تواند آنها را در معرض خطر جانی قرار دهد.

این جنجال بر سر داده‌هایی است که توسط دپارتمان مالی شهر نیویورک منتشر شده است. این نهاد سالانه ارزش‌های ارزیابی شده را که برای محاسبه مالیات املاک در سراسر شهر استفاده می‌شود، منتشر می‌کند. فهرست ارزیابی سال مالی ۲۰۲۷، داده‌های ارزش بازار تکمیلی و راهنمای مالیات املاک این نهاد از طریق پورتال داده‌های باز شهر به صورت عمومی در دسترس است.

منتقدان در پلتفرم X (توییتر سابق) اعلام کردند که مشکل اصلی، عمومی بودن سوابق نیست، بلکه تجمیع و سازماندهی آنها در یک پایگاه داده قابل جستجو است که شناسایی مالکان املاک گران‌قیمت را بسیار آسان‌تر می‌کند.

هایدن آدامز، بنیانگذار Uniswap، این اقدام را “بدترین افشای اطلاعات جمعی که تاکنون دیده‌ام” خواند و گفت که این پایگاه داده تقریباً تمام واحدها در برخی از ساختمان‌های آپارتمانی لوکس، از جمله محل سکونت اصلی افرادی که او می‌شناسد را فهرست کرده است. او استدلال کرد که این پروژه بیش از حد گسترده عمل کرده و آن را “به طرز باورنکردنی خطرناک” توصیف کرد.

آدامز نوشت: “نه تنها واحدهای آنها فهرست شده بود، بلکه تقریباً تمام واحدهای کل ساختمان فهرست شده بود. آنها به وضوح دیدگاه بسیار گسترده‌ای از ‘ممکن است’ اتخاذ کرده و درصد عظیمی از تمام آپارتمان‌های گران‌قیمت در شهر نیویورک را افشا کرده‌اند.”

مرت ممتاز، مدیرعامل Helius، این پایگاه داده را “نگران‌کننده” خواند و گفت که با تبدیل سوابق پراکنده عمومی به یک منبع متمرکز که به طور مؤثر افراد ثروتمند را هدف قرار می‌دهد، از خط قرمز عبور کرده است.

او نوشت: “در حالی که این داده‌ها پیش از این به شکلی نامرتب تا حد زیادی عمومی بودند، آنها این داده‌ها را پاکسازی، سازماندهی، ‘ثروتمندان’ را هدف قرار داده و به طور گسترده توزیع کرده‌اند. این تنها یکی از ۵۰ نشانه امسال است که حریم خصوصی به طور فزاینده‌ای کمیاب می‌شود.”

نیک کارتر، شریک Castle Island Ventures، هشدار داد که یک پایگاه داده قابل جستجو از مالکان ثروتمند املاک می‌تواند شناسایی قربانیان بالقوه را آسان‌تر کند و به آدم‌ربایی‌ها و حملات خشونت‌آمیز اخیر مرتبط با ارزهای دیجیتال در اروپا اشاره کرد.

کارتر در X نوشت: “بنابراین این فهرستی از افراد ثروتمند و آدرس‌های آنهاست. همانطور که در فرانسه و سوئد دیده‌ایم، این منجر به آدم‌ربایی، شکنجه و قتل‌های مرتبط با ارزهای دیجیتال می‌شود. بله، سوابق املاک نیمه عمومی هستند، اما این یک پایگاه داده قابل جستجو و فهرست اهداف آسان است.”

این انتقادات در حالی مطرح می‌شود که حملات فیزیکی یا “آچار” که افراد دارنده ارز دیجیتال را هدف قرار می‌دهند، همچنان رو به افزایش است و شامل مواردی مانند آدم‌ربایی، شکنجه، یورش به منازل و تجاوز جنسی می‌شود.

در ماه فوریه، شرکت امنیتی بلاکچین CertiK گزارش داد که در سال ۲۰۲۵، ۷۲ حمله تأیید شده “آچار” مرتبط با ارزهای دیجیتال در سراسر جهان رخ داده است که ۷۵ درصد نسبت به سال قبل افزایش داشته و بیش از ۴۰.۹ میلیون دلار خسارت به بار آورده است.

در ماه آوریل، مقامات فرانسوی در یک سرکوب گسترده علیه آدم‌ربایی‌های خشونت‌آمیز مرتبط با ارزهای دیجیتال، ۸۸ مظنون از جمله بیش از ۱۰ نفر زیر سن قانونی را متهم کردند. در ماه مه، دادستانان آمریکا سه مرد را به اتهام انجام مجموعه‌ای از یورش‌های مسلحانه به منازل در سراسر کالیفرنیا که ادعا می‌شود میلیون‌ها دلار ارز دیجیتال سرقت کرده‌اند، متهم کردند. در ماه ژوئن، دو برادر تگزاسی به آدم‌ربایی یک خانواده مینه‌سوتا و مجبور کردن قربانیان به انتقال بیش از ۸ میلیون دلار ارز دیجیتال اعتراف کردند.

تا ماه ژوئیه، CertiK اعلام کرد که مهاجمان در نیمه اول سال ۲۰۲۶، ۵۲ حمله تأیید شده “آچار” مرتبط با ارزهای دیجیتال را انجام داده‌اند و میزان خسارات مالی ثبت شده در این حملات، تقریباً دوازده برابر نسبت به سال قبل به ۱۲۴ میلیون دلار رسیده است.

NOWPayments و BlockSec چک‌لیست رایگان امنیت پرداخت رمزارزی را منتشر کردند

چک‌لیست جامع برای امنیت و انطباق فنی پرداخت‌های رمزارزی

آمستردام، هلند – ۲۷ جولای ۲۰۲۶ – شرکت NOWPayments، ارائه‌دهنده پیشرو درگاه پرداخت رمزارزی، در همکاری با BlockSec، شرکت متخصص در امنیت و انطباق بلاکچین، چک‌لیستی رایگان را منتشر کرده است. این چک‌لیست شامل ۲۵ کنترل امنیتی است که در ۹ حوزه کلیدی امنیت و انطباق فنی توزیع شده‌اند و به کسب‌وکارها کمک می‌کند تا جریان پرداخت‌های رمزارزی خود را ایمن سازند.

پرداخت با رمزارزها به راحتی قابل فعال‌سازی است، اما حفظ امنیت کامل جریان پرداخت در برابر عواملی چون به خطر افتادن کلیدهای خصوصی، تراکنش‌های مشکوک، تصاحب حساب یا مسدود شدن استیبل‌کوین‌ها، چالش‌برانگیز است.

NOWPayments که از بیش از ۳۵۰ ارز دیجیتال و بیش از ۳۰ استیبل‌کوین پشتیبانی می‌کند، با ارائه پشتیبانی گسترده از دارایی‌ها، تبدیل خودکار و گزینه‌های تسویه انعطاف‌پذیر، به تجار، پلتفرم‌های آنلاین و شرکت‌های بزرگ کمک می‌کند تا پرداخت‌های رمزارزی را در مقیاس وسیع مدیریت کنند. این شرکت با همکاری BlockSec، چک‌لیست “امنیت و انطباق فنی سیستم پرداخت رمزارزی” را تدوین کرده است.

این راهنما، اصول کلی امنیتی را به مجموعه‌ای از بررسی‌های عملی تبدیل می‌کند که تیم‌های امنیتی، عملیاتی، انطباق و محصول می‌توانند به طور مشترک آن‌ها را اجرا کنند. این چک‌لیست می‌تواند پیش از شروع پذیرش پرداخت‌های رمزارزی توسط یک کسب‌وکار، در طول بازبینی فروشندگان یا معماری سیستم، یا به عنوان بخشی از ارزیابی‌های دوره‌ای کنترل‌ها مورد استفاده قرار گیرد.

پایه‌ای برای استفاده روزمره

این چک‌لیست شامل ۲۵ کنترل در ۹ حوزه مختلف است. هر مورد به عنوان یک کنترل قابل تأیید تعریف شده است، نه یک توصیه کلی. تیم‌ها می‌توانند هر مورد را تأیید شده علامت‌گذاری کنند، شواهد پشتیبان را اضافه کنند، مسئول تعیین کنند و اقدامات لازم بعدی را ثبت نمایند. این رویکرد، بحث‌های کلی امنیتی را به جلسات کاری با مسئولیت‌های مشخص تبدیل می‌کند و می‌تواند شکاف‌های موجود بین دپارتمان‌ها را پیش از تبدیل شدن به مشکلات عملیاتی یا مالی آشکار سازد.

این چک‌لیست به کسب‌وکارها کمک می‌کند تا به سوالاتی از این قبیل پاسخ دهند:

اندی ژو، هم‌بنیان‌گذار BlockSec و استاد دانشگاه چینی هنگ‌کنگ، در این باره می‌گوید: «رایج‌ترین اشتباه این است که پرداخت رمزارزی را با یک پرداخت آنلاین معمولی اشتباه بگیرند. انتقال‌های آن‌چین نهایی هستند، بنابراین مدیریت ضعیف کلیدها، تأیید تراکنش‌های بدون بررسی یا چک‌های انطباق سطحی می‌تواند یک اشتباه را به ضرر دائمی تبدیل کند.»

از اصول امنیتی تا عملیات روزمره

ریسک‌های مربوط به پرداخت‌های رمزارزی به ندرت به یک دپارتمان محدود می‌شوند. تیم مهندسی ممکن است زیرساخت تأیید تراکنش‌ها را مدیریت کند، تیم انطباق تراکنش‌ها را غربالگری کند و تیم عملیات مسئولیت پاسخگویی در زمان فعال شدن هشدارها را بر عهده داشته باشد. این چک‌لیست، یک رکورد مشترک از کنترل‌های موجود، شواهد، مسئولیت‌ها و گام‌های بعدی را در اختیار این تیم‌ها قرار می‌دهد. برای تجار، بازارها، اپراتورهای بازی و iGaming، شرکت‌های SaaS و پلتفرم‌های Web3، این امر بازبینی‌های امنیتی را به یک فرآیند تکرارپذیر تبدیل می‌کند، نه یک تمرین یک‌باره.

ژو افزود: «قابلیت مشاهده در لحظه، عامل کلیدی برای پاسخگویی سریع به حوادث است. این می‌تواند تفاوت بین مهار ضرر و از دست دادن وجوه به دلیل مبادلات، پل‌ها یا نقاط نقدینگی باشد.»

در صورت ردیابی وجوه سرقت شده به یک صرافی یا سرویس رمزارزی، پنجره زمانی برای اقدام کوتاه است. ژو توصیه می‌کند: «کسب‌وکارها باید هش تراکنش‌ها و آدرس‌ها را حفظ کنند، جریان وجوه را ردیابی کرده و در اسرع وقت از طریق کانال رسمی امنیتی یا انطباق صرافی با آن تماس بگیرند.»

این چک‌لیست یک منبع آموزشی است و نه گواهینامه یا جایگزینی برای مشاوره حقوقی. اصول آن به گونه‌ای طراحی شده‌اند که با تغییر زیرساخت‌های پرداخت و تهدیدات امنیتی، همچنان مفید باقی بمانند.

امنیت بدون اصطکاک اضافی

کنترل‌های قوی باید به کسب‌وکارها کمک کنند تا عملیات رمزارزی خود را بدون پیچیده کردن غیرضروری کارهای روزمره، توسعه دهند. NOWPayments همچنین پرداخت‌های بدون کارمزد را ارائه می‌دهد که به کسب‌وکارها امکان ارسال پرداخت‌های انبوه به کیف پول‌های ChangeNOW Pro را بدون هیچ هزینه‌ای می‌دهد. در یک تست عمومی، پرداخت‌ها در عرض چند ثانیه تکمیل شدند و گیرندگان پیش از انتقال وجوه، هر انتقال را از طریق ایمیل تأیید کردند.

برای برنامه‌های همکاری، بازارها، پلتفرم‌های خالق محتوا، تیم‌های دورکار، پروژه‌های بازی و جوامع Web3، این دو محصول بخش‌های مختلفی از یک فرآیند را پوشش می‌دهند: چک‌لیست به تقویت کنترل‌ها کمک می‌کند، در حالی که جریان پرداخت، کارمزدها، جمع‌آوری دستی آدرس کیف پول و کارهای تکراری را کاهش می‌دهد.

این راهنما برای کسب‌وکارهایی طراحی شده است که در حال حاضر رمزارز می‌پذیرند، قصد راه‌اندازی آن را دارند، یا به دنبال بازنگری در تنظیمات موجود پرداخت و پرداخت خود هستند. تیم‌ها می‌توانند از آن برای شناسایی شکاف‌های کنترلی، تخصیص مسئولیت‌ها و ایجاد فهرستی عملی از گام‌های بعدی، پیش از تبدیل شدن این شکاف‌ها به حوادث، استفاده کنند.

درباره NOWPayments:
NOWPayments یکی از بهترین درگاه‌های پرداخت رمزارزی است که از بیش از ۳۵۰ ارز دیجیتال و بیش از ۳۰ استیبل‌کوین پشتیبانی می‌کند. اکوسیستم جامع کسب‌وکار رمزارزی آن، پوشش گسترده دارایی‌ها، تبدیل خودکار و گزینه‌های تسویه انعطاف‌پذیر را ترکیب می‌کند و آن را برای تجار، پلتفرم‌های آنلاین و کسب‌وکارهای جهانی مناسب می‌سازد.

درباره BlockSec:
BlockSec ارائه‌دهنده تمام‌عیار امنیت بلاکچین و انطباق رمزارزی است که تحقیقات را با محصولات و خدماتی برای حسابرسی قراردادهای هوشمند، نظارت امنیتی در لحظه، جلوگیری از حملات، انطباق و تحقیقات آن‌چین ترکیب می‌کند.

روز هکرها: سه پروتکل رمزارزی در ۲۴ ساعت ۳۵ میلیون دلار دارایی خود را از دست دادند

در اتفاقی که بسیاری آن را «روز هکرها» نامیده‌اند، سه پروتکل رمزارزی در ۲۴ ساعت گذشته هدف حملات سایبری قرار گرفته و در مجموع بیش از ۳۵ میلیون دلار دارایی دیجیتال خود را از دست داده‌اند.

حمله به AFX Trade

شرکت امنیتی PeckShieldAlert اعلام کرد که در تاریخ ۲۲ ژوئیه، حمله‌ای به پروتکل AFX مستقر در شبکه Arbitrum شناسایی شده است. بر اساس تخمین‌ها، این حمله منجر به از دست رفتن حدود ۲۴.۱۵ میلیون دلار USDC شده است. این شرکت امنیتی در ادامه افزود که مهاجمان وجوه سرقت شده را از Arbitrum به شبکه Ethereum منتقل کرده و سپس آن‌ها را با ۱۲,۴۶۷.۵ واحد ETH مبادله کرده‌اند.

هک BSquaredNetwork

کمتر از یک ساعت بعد، PeckShieldAlert گزارش داد که مهاجمان، پروتکل BSquaredNetwork را در شبکه BNB Chain هدف قرار داده و ۸.۵۹ میلیون توکن B2 را به سرقت برده‌اند که ارزشی تقریبی معادل ۳.۸۶ میلیون دلار داشته است. هکرها به سرعت این توکن‌ها را با بیش از ۵,۰۰۰ واحد WBNB مبادله کرده، آن‌ها را به ۱,۱۲۸ واحد ETH تبدیل کرده و از طریق NEAR Intents وجوه را خارج کرده‌اند. این حمله تأثیر سریعی بر بازار داشت و قیمت توکن B2 پس از این اتفاق بیش از ۱۵ درصد سقوط کرد.

آسیب‌پذیری پروتکل Verus

شرکت امنیتی بلاکچین Lookonchain نیز از وقوع حادثه‌ای دیگر خبر داد که این بار پروتکل Verus، یک پل ارتباطی بین‌شبکه‌ای (cross-chain bridge) مستقر در شبکه Ethereum را تحت تأثیر قرار داد. در این حمله، مهاجمان موفق به سرقت ۷.۵۵ میلیون دلار شدند.

این جدیدترین حمله در حالی رخ می‌دهد که حدود دو ماه پیش نیز پروتکل Verus در حادثه‌ای جداگانه حدود ۱۱.۵۸ میلیون دلار دارایی خود را از دست داده بود. شرکت امنیتی Blockaid اعلام کرد که حمله اخیر به نظر می‌رسد با حمله قبلی مرتبط باشد، زیرا هر دو مورد شامل قرارداد پل ارتباطی یکسان، مسیر ورودی مشابه و کلاس باگ یکسان بوده‌اند.

استیون گلدفدر، یکی از مشارکت‌کنندگان در Arbitrum، تأیید کرده است که پل ارتباطی مورد نفوذ، به طور مستقل توسط AFX اداره می‌شده و یکی از پل‌های ارتباطی بومی خود Arbitrum نبوده است.

نگرانی‌ها درباره امنیت AFX

در همین حال، تیلور موناهان، کارشناس امنیت بلاکچین، با طرح این سوال که چرا اصلاً ۲۴ میلیون دلار در پل ارتباطی AFX وجود داشته است، نگرانی‌هایی را مطرح کرده است. وی فاش کرد که پس از بررسی یک حسابرسی اخیر از این پل، جزئیات «وحشتناکی» را کشف کرده است. به گفته او، این پروتکل پوشش آزمایشی تقریباً هیچ داشته، چندین مسئله‌ای که توسط حسابرسان شناسایی شده بود، پذیرفته شده اما هرگز رفع نشده و حسابرسان حتی نتوانسته‌اند به طور کامل کد را بررسی کنند، زیرا تنها بخش‌هایی از آن را دریافت کرده بودند.

موناهان گفت: «صادقانه بگویم، آن‌ها تیمی بسیار آرام به نظر می‌رسند. آه بله، احتمالاً مشکلی نیست، فقط منتظر می‌مانیم و اگر لازم شد دستی ارسال می‌کنیم.»

موناهان معتقد است که بزرگترین پرچم‌های قرمز، آسیب‌پذیری‌های فنی بود که رویکرد تیم به امنیت را آشکار می‌کرد و این وضعیت نشان‌دهنده فرهنگی بود که اولویت چندانی برای امنیت قائل نبود.

سقوط ۹۹ درصدی بالانس کوین (BLC) پس از حمله به پروتکل ۴۲DAO

ارز دیجیتال بالانس کوین (BLC) روز سه‌شنبه شاهد سقوط بیش از ۹۹ درصدی بود. این اتفاق پس از آن رخ داد که پروتکل دیفای (DeFi) ۴۲DAO مورد یک سوءاستفاده امنیتی قرار گرفت که به تخمین پژوهشگران امنیتی، حدود ۹۱۵ هزار دلار از این پلتفرم خارج شده است.

این حمله باعث شد قیمت BLC به طور ناگهانی از حدود ۱ دلار به کسری از سنت سقوط کند و بدین ترتیب، نامی دیگر به فهرست رو به رشد پروتکل‌های رمزارزی که در سال ۲۰۲۶ مورد نفوذ قرار گرفته‌اند، اضافه شد.

این حادثه اولین بار توسط شرکت امنیتی بلاکچین PeckShield شناسایی شد که گزارش داد ۴۲DAO حدود ۹۱۵ هزار دلار مورد سوءاستفاده قرار گرفته است. شرکت SlowMist بعداً جزئیات بیشتری منتشر کرد و زیان را نزدیک به ۹۱۲ هزار دلار تخمین زد و علت اصلی را به اوراکل مدین (Median Oracle) پروتکل ۴۲DAO نسبت داد که ظاهراً قیمت به طور غیرعادی پایینی از BTCB را به سیستم وارد کرده است.

بر اساس گزارش SlowMist، مهاجم از تابع Spotter poke پروتکل برای وارد کردن مستقیم این قیمت دستکاری شده به قرارداد VAT استفاده کرده است، زیرا Spotter فاقد چندین سازوکار حفاظتی از جمله بررسی انحراف قیمت، محدودیت‌های حداکثر افت قیمت و حفاظت از حداقل قیمت کف بود.

پس از ورود قیمت دستکاری شده به سیستم حسابداری پروتکل، ماژول Dog آن را بدون هیچ گونه تأخیر در تصفیه یا اعتبارسنجی قیمت اوراکل دریافت کرد و این امر به مهاجم اجازه داد تا در یک تراکنش، تصفیه‌های فوری را در چندین خزانه BTCB آغاز کند. SlowMist کیف پول عامل مخرب را 0x9d8d…231c و قرارداد قربانی را 0x973a…a9c0c شناسایی کرده است، در حالی که قراردادهای Spotter و Dog مورد سوءاستفاده در آدرس‌های 0x849d…29288 و 0x0010…1f634e قرار دارند.

واکنش بازار سریع بود. داده‌های GeckoTerminal نشان می‌دهد که در زمان نگارش این خبر، BLC با قیمت حدود ۰.۰۰۲۵ دلار معامله می‌شود که در ۲۴ ساعت گذشته ۹۹.۷۵ درصد کاهش یافته است. پیش از این، این ارز با قیمت حدود ۰.۹۹۷ دلار معامله می‌شد. ارزش بازار این توکن نیز به حدود ۱۲ هزار دلار سقوط کرده است و حجم معاملات با ۹۴ هزار و ۹۰۰ دلار در بیش از ۱۶۰۰ تراکنش ثبت شده است که بیش از ۱۰۰۰ مورد از آن‌ها خرید و مابقی فروش بوده‌اند.

۴۲DAO جدیدترین مورد در میان حملات متعدد به پروتکل‌های دیفای و پل‌های ارتباطی در سال جاری است. از دیگر موارد اخیر می‌توان به حمله به Allbridge، یک پل استیبل‌کوین بین‌زنجیره‌ای اشاره کرد که در ۲۰ جولای پس از آنکه هکری ۱.۶۵ میلیون دلار را به سرقت برد، مجبور به توقف فعالیت شد. به گفته بازرسان، سارق با استفاده از تراکنش‌های تأمین مالی شده توسط وام فلش، نسبت‌های استخر استیبل‌کوین Allbridge را دستکاری کرده و سپس وجوه را از استخرهای نقدینگی تحریف شده برداشت کرده است.

در ماه ژوئن، Syscoin نیز مورد حمله پل ارتباطی قرار گرفت که به مهاجم اجازه داد تا ۵ میلیارد توکن SYS را ضرب کند؛ اقدامی که منجر به افت نزدیک به ۲۰ درصدی قیمت این دارایی شد. یک ماه قبل از آن، پروتکل Echo پس از سوءاستفاده‌ای که شامل ضرب ۱۰۰۰ eBTC بود، مجبور به تعلیق تراکنش‌های بین‌زنجیره‌ای شد. آن حادثه خاص نیز به توکن بومی Echo آسیب رساند و ارزش آن بلافاصله بیش از ۱۲ درصد کاهش یافت.

اگرچه جزئیات فنی ممکن است متفاوت باشد، اما حادثه ۴۲DAO از الگوی آشنایی پیروی کرد که در آن سوءاستفاده به شکستن رمزنگاری یا سرقت کلیدها متکی نبود، بلکه از سازوکارهای حفاظتی از دست رفته در اطراف فیدهای قیمت و تصفیه‌ها سوءاستفاده می‌کرد.