Keone Hon de Monad pousse un guide OpSec et l'outil de sécurité AI Ultrafuzz

Le co-fondateur de Monad, Keone Hon, a exhorté les équipes de crypto à faire de la sécurité leur priorité absolue, partageant des conseils en matière de sécurité opérationnelle et promouvant l'outil open-source Ultrafuzz de la fondation alors que les attaquants ont accès à une IA de plus en plus performante.

Résumé

• Hon a encouragé les développeurs à exécuter Ultrafuzz sur leurs contrats et à renforcer la sécurité opérationnelle.
• Le guide OpSec de Monad couvre le phishing, la gestion des identifiants, les appareils des employés et les autorisations de compte tiers.
• Ultrafuzz a été rendu open-source en septembre, avant le dernier appel de Hon pour que les équipes l'utilisent.
• Les pertes citées dans le guide liées au détournement de contrôle incluent des clés divulguées et des attaques de la chaîne d'approvisionnement, ainsi que l'ingénierie sociale.

Les ressources de la Fondation Monad couvrent à la fois les logiciels déployés par les équipes et les comptes, appareils et arrangements de signature utilisés pour les gérer. Dans ses publications, Hon a dirigé les lecteurs vers la Bible Crypto OpSec, des conseils sur les comptes administrateurs et des recherches sur la détection des vulnérabilités avec l'IA.

À l'ère des attaquants propulsés par l'IA, la seule voie à suivre pour notre industrie est de continuer à se renforcer. La sécurité devrait être la priorité de chaque équipe.

La Fondation Monad investit massivement dans la sécurité et partage les ressources suivantes avec la communauté :

Tout le monde :

-- Le Crypto... --- Keone Hon (@keoneHD) 30 octobre 2026

"À l'ère des attaquants propulsés par l'IA, la seule voie à suivre pour notre industrie est de continuer à se renforcer," a-t-il écrit. "La sécurité devrait être la priorité de chaque équipe."

Le guide OpSec de Monad cible les échecs de sécurité quotidiens

Écrit par Omar, la Bible Crypto OpSec commence par une frustration face aux compromis récurrents impliquant du code inconnu, du phishing, des identifiants exposés et une mauvaise gestion des appareils.

Le guide cite le tracker Lumos de ChainLight, qui a enregistré 3,31 milliards de dollars de valeur exploitée par détournement de contrôle, contre 983 millions de dollars provenant de vulnérabilités de contrats intelligents, à travers des incidents suivis de janvier 2023 jusqu'à la date limite de rapport du guide.

Sa catégorie de détournement de contrôle inclut l'ingénierie sociale, la fuite de clés privées, l'accès non autorisé, les attaques de la chaîne d'approvisionnement et d'autres échecs de sécurité conventionnels. La comparaison couvre les incidents enregistrés par le tracker et est présentée comme un instantané historique.

Omar soutient que les organisations de crypto ont accordé une attention insuffisante à la sécurité opérationnelle. Ses recommandations incluent la séparation de l'activité personnelle des appareils de travail, le maintien d'un ordinateur ou d'un navigateur propre pour les activités crypto, et la vérification des détails des transactions avant de signer.

Pour les comptes critiques, le guide recommande des clés de sécurité matérielles avec une sauvegarde stockée en toute sécurité, des mots de passe uniques et la séparation des codes d'authentification des mots de passe. Les organisations sont conseillées de maintenir une protection des points de terminaison et d'établir un contact clair pour signaler les incidents de sécurité.

Hon exhorte les développeurs à examiner l'accès des administrateurs

Pour les développeurs de contrats intelligents, Hon a souligné les conseils contre la dépendance à des comptes externes pour les rôles d'administrateur et a attiré l'attention sur l'utilisation d'un ordinateur portable dédié lors de la signature de fonctions administratives.

Sa liste de ressources inclut des travaux sur la vérification formelle et la chasse aux menaces avec de grands modèles de langage. Dans un post séparé, il a encouragé les développeurs à exécuter Ultrafuzz sur leurs contrats, créditant l'expérience d'Antonio Viggiano et invitant les retours.

"Développeurs de contrats intelligents, veuillez exécuter Ultrafuzz sur vos contrats !! C'est open source et disponible pour tout le monde," a écrit Hon.

L'annonce de l'open-source de l'outil a été publiée le 10 septembre. Les derniers posts de Hon renouvellent l'attention sur une version existante, aux côtés des ressources de sécurité opérationnelle de la fondation.

Ultrafuzz combine enquête AI avec test de contrat

Disponible via un dépôt public GitHub, Ultrafuzz coordonne des agents AI spécialisés pour examiner les contrats, cartographier le comportement des utilisateurs, enquêter sur les propriétés de sécurité, exécuter des stratégies de test et préparer des résultats pour révision.

Monad affirme que plus de 20 exécutions sur des projets de l'écosystème ont aidé à façonner la version, qui prend en charge Solidity et Vyper.

Dans sa présentation technique, Viggiano a décrit le développement de l'outil tout en aidant une équipe à se préparer pour un examen de sécurité externe. Le projet manquait de tests de fuzz, ce qui a conduit à un travail sur un flux de travail assisté par IA pour les créer.

Son explication décrit des agents identifiant les conditions qu'un protocole devrait préserver, puis enquêtant sur la question de savoir si des actions ou des séquences particulières les brisent. Les résultats sont combinés, vérifiés et organisés dans un rapport.

Monad demande aux utilisateurs d'exécuter Ultrafuzz sur des machines virtuelles isolées et jetables. Ses agents fonctionnent avec des permissions illimitées, et l'annonce met en garde contre son exécution sur des stations de travail de développeurs ou des machines contenant des identifiants précieux.

Les violations récentes exposent des comptes et des dépendances logicielles

Des incidents antérieurs ont impliqué plusieurs des points d'accès couverts par le guide.

Le 26 octobre, crypto.news a rapporté que le fabricant de portefeuilles Foundation avait subi un compromis de clé API Cloudflare qui a permis l'envoi d'e-mails frauduleux semblant provenir de ses domaines officiels. L'entreprise a révoqué les identifiants et a déclaré que le matériel Passport et les fonds stockés restaient sécurisés.

Un incident de juillet a impliqué un package de développeur Injective compromis. La société de sécurité Socket a déclaré que du code malveillant avait intercepté des fonctions de génération de portefeuilles et transmis des clés privées et des phrases de récupération via une télémétrie frauduleuse. Le PDG d'Injective, Eric Chen, a déclaré que les versions affectées avaient été dépréciées et que le problème avait été corrigé.

Une autre enquête de juillet concernait le malware de vol de portefeuille OkoBot, distribué via des dépôts GitHub déguisés en logiciels légitimes. La campagne a utilisé de faux messages d'erreur et des instructions de réparation pour persuader les victimes d'exécuter des commandes malveillantes. Ses modules comprenaient des écrans de récupération de portefeuille frauduleux, une surveillance du clavier et une surveillance du presse-papiers.