Кеоне Хон з Monad закликає до посібника з операційної безпеки та інструменту безпеки AI Ultrafuzz

Співзасновник Monad Кеоне Хон закликав команди криптовалют зробити безпеку своїм пріоритетом, поділившись рекомендаціями з операційної безпеки та просуваючи відкритий інструмент Ultrafuzz фонду, оскільки зловмисники отримують доступ до більш потужного AI.

Резюме

• Хон закликав розробників запускати Ultrafuzz на своїх контрактах та зміцнювати операційну безпеку.
• Посібник з операційної безпеки Monad охоплює фішинг, управління обліковими даними, пристрої співробітників та дозволи на облікові записи третіх осіб.
• Ultrafuzz був відкритий у вересні, перед останнім закликом Хона до команд використовувати його.
• У посібнику наведені втрати від захоплення контролю, включаючи витік ключів та атаки на ланцюг постачання разом із соціальною інженерією.

Ресурси Фонду Monad охоплюють як програмне забезпечення, яке команди впроваджують, так і облікові записи, пристрої та угоди підписання, які використовуються для його управління. У своїх дописах Хон направив читачів до Біблії крипто-операційної безпеки, рекомендацій щодо облікових записів адміністраторів та досліджень з виявлення вразливостей за допомогою AI.

У цю епоху зловмисників, наділених AI, єдиний шлях вперед для нашої галузі - це продовжувати зміцнювати безпеку. Безпека повинна бути головним пріоритетом кожної команди.

Фонд Monad інвестує значні кошти в безпеку та ділиться наступними ресурсами з громадою:

Усі:

-- Крипто... --- Кеоне Хон (@keoneHD) 30 жовтня 2026 року

"У цю епоху зловмисників, наділених AI, єдиний шлях вперед для нашої галузі - це продовжувати зміцнювати безпеку," - написав він. "Безпека повинна бути головним пріоритетом кожної команди."

Посібник з операційної безпеки Monad націлений на повсякденні помилки безпеки

Написаний Омаром, Біблія крипто-операційної безпеки починається з розчарування через повторювані компрометації, пов'язані з незнайомим кодом, фішингом, відкритими обліковими даними та поганим управлінням пристроями.

У посібнику наводиться трекер Lumos від ChainLight, який зафіксував 3,31 мільярда доларів США в експлуатованій вартості від захоплення контролю, порівняно з 983 мільйонами доларів США від вразливостей смарт-контрактів, за інцидентами, відстеженими з січня 2023 року до терміну звіту посібника.

Його категорія захоплення контролю включає соціальну інженерію, витік приватних ключів, несанкціонований доступ, атаки на ланцюг постачання та інші звичайні помилки безпеки. Порівняння охоплює зафіксовані інциденти трекера та подається як історичний знімок.

Омар стверджує, що криптоорганізації недостатньо уваги приділили операційній безпеці. Його рекомендації включають розділення особистої діяльності від робочих пристроїв, підтримку чистого комп'ютера або браузера для криптоактивності та перевірку деталей транзакцій перед підписанням.

Для критичних облікових записів посібник рекомендує апаратні ключі безпеки з надійно збереженою резервною копією, унікальні паролі та зберігання кодів аутентифікації окремо від паролів. Організаціям рекомендується підтримувати захист кінцевих точок та встановити чіткий контакт для повідомлення про інциденти безпеки.

Хон закликає розробників переглянути доступ адміністратора

Для розробників смарт-контрактів Хон підкреслив рекомендації проти покладання на зовнішні облікові записи для адміністративних ролей і звернув увагу на використання спеціального ноутбука під час підписання адміністративних функцій.

Його список ресурсів включає роботи з формальної верифікації та виявлення загроз за допомогою великих мовних моделей. У окремому дописі він закликав розробників запускати Ultrafuzz на своїх контрактах, відзначаючи досвід Антоніо Вігіано та запрошуючи зворотний зв'язок.

"Розробники смарт-контрактів, будь ласка, запускайте Ultrafuzz на своїх контрактах!! Це відкритий код і доступний для всіх," - написав Хон.

Оголошення про відкриття інструменту було опубліковано 10 вересня. Останні дописи Хона відновлюють увагу до існуючого випуску, поряд з ресурсами фонду з операційної безпеки.

Ultrafuzz поєднує розслідування AI з тестуванням контрактів

Доступний через публічний репозиторій GitHub, Ultrafuzz координує спеціалізовані AI-агенти для перевірки контрактів, картування поведінки користувачів, розслідування властивостей безпеки, проведення стратегій тестування та підготовки висновків для перегляду.

Monad стверджує, що більше 20 запусків на екосистемних проектах допомогли сформувати випуск, який підтримує Solidity та Vyper.

У своєму технічному огляді Вігіано описав розробку інструменту під час допомоги команді в підготовці до зовнішнього огляду безпеки. Проект не мав тестів на фуззинг, що спонукало до роботи над робочим процесом з підтримкою AI для їх створення.

Його пояснення описує агентів, які визначають умови, які протокол повинен зберігати, а потім розслідують, чи порушують певні дії або послідовності їх. Висновки об'єднуються, перевіряються та організуються в звіт.

Monad інструктує користувачів запускати Ultrafuzz на одноразових, ізольованих віртуальних машинах. Його агенти працюють з необмеженими дозволами, а оголошення попереджає про небезпеку запуску його на робочих станціях розробників або машинах, що містять цінні облікові дані.

Нещодавні порушення виявляють облікові записи та програмні залежності

Раніше інциденти стосувалися кількох точок доступу, охоплених посібником.

26 жовтня crypto.news повідомив, що виробник гаманців Foundation зазнав компрометації ключа API Cloudflare, що дозволило шахрайським електронним листам з'являтися з його офіційних доменів. Компанія відкликала облікові дані та заявила, що апаратне забезпечення Passport та збережені кошти залишаються в безпеці.

Інцидент у липні стосувався скомпрометованого пакету розробника Injective. Компанія безпеки Socket повідомила, що шкідливий код перехоплював функції генерації гаманців та передавав приватні ключі та фрази відновлення через фальшиву телеметрію. Генеральний директор Injective Ерік Чен заявив, що уражені випуски були застарілими, а проблема була виправлена.

Ще одне розслідування в липні стосувалося шкідливого програмного забезпечення OkoBot, яке викрадало гаманці, розповсюджуючи через репозиторії GitHub, замасковані під легітимне програмне забезпечення. Кампанія використовувала фальшиві повідомлення про помилки та інструкції з ремонту, щоб переконати жертв виконати шкідливі команди. Її модулі включали шахрайські екрани відновлення гаманців, моніторинг клавіатури та спостереження за буфером обміну.