Атака

Отчет о расследовании инцидента с аппаратными атаками Ledger сообщает, что высокоорганизованная преступная группа в течение нескольких месяцев покупала оригинальные устройства Ledger, разбирала их и встраивала настраиваемые скрытые компоненты для кражи восстановительных мнемонических фраз пользователей при инициализации устройства, а затем перепродавала их через дистрибьюторские каналы в Юго-Восточной Азии.Злоумышленники вложили миллионы долларов в создание инфраструктуры для сбора мнемонических фраз, перевода активов и отмывания денег, а также координировали действия для перемещения активов жертв. Ledger подчеркивает, что этот инцидент не вызван уязвимостями чипов, операционных систем или серверов, а является результатом атак на местные дистрибьюторские каналы после того, как устройства покинули контроль компании. В настоящее время Ledger потребовал от авторизованных дистрибьюторов и реселлеров в Юго-Восточной Азии и Гонконге приостановить продажи и провести выборочную проверку оборудования на складах и в розничных каналах, не обнаружив других подделанных устройств.Кроме того, Ledger потребовал от авторизованных дистрибьюторов не перепродавать любые возвращенные устройства, даже если упаковка в хорошем состоянии; одновременно немедленно запрещено выставлять продукцию на полки или в демонстрационные зоны, требуя хранить устройства в задней части магазина и передавать их при покупке. Компания сотрудничает с правоохранительными органами и сообществом безопасности для отслеживания украденных средств и в дальнейшем предоставит больше технических деталей.

Согласно мониторингу Bitcoin News, Bitcoin News выпустил подкаст, в котором бывший CEO Mt. Gox Марк Карпелес обсуждает с CEO Foundation Заком Хербертом крупнейшую в истории криптоиндустрии атаку на цепочку поставок.Марк Карпелес заявил, что за 3 недели до кражи средств он обнаружил шпионское устройство и связался с Ledger, но не получил ответа. Это устройство было оснащено скрытым сотовым модемом, который мог напрямую считывать мнемонические фразы на экране и проходить проверку Ledger; даже установка парольной фразы не могла предотвратить кражу мнемонических фраз.Марк Карпелес отметил, что если бы у него было 5 миллионов долларов, он мог бы создать устройство, которое можно было бы обнаружить только с помощью рентгеновского аппарата. В программе также обсуждаются модель дистрибьюторов аппаратных кошельков, малайзийский дистрибьютор, стоящий за атакой, онлайновый трекинг украденных криптоактивов, распространение атаки в Европу, причины, по которым Trezor не стал целью, безопасность аппаратных кошельков и решения на основе многопартийных вычислений. Хронология программы показывает, что сумма украденных средств с аппаратных кошельков составила 100 миллионов долларов, из которых 86 миллионов долларов были переведены в течение 24 часов.

Согласно пользователю X @0xJohannes, аппаратный кошелек Ledger, купленный несколько недель назад у официального дистрибьютора в Европе, был обнаружен с несанкционированным шпионским устройством. Внутри устройства имеются подозрительные соединения, которые отсутствуют в оригинальных аппаратных кошельках Ledger, что указывает на возможное физическое вмешательство до продажи.Подозреваемое устройство является старой версией, в то время как новые версии обычно скрывают компоненты за экраном. Средства на затронутых устройствах пока не были украдены. В настоящее время имеются сообщения о подозрительных случаях в Азии, Южной Америке и Европе. Если оригинальные элементы безопасности остаются целыми, программа Ledger Genuine Check не может обнаружить несанкционированные физические модификации.

Анализ безопасности компании CertiK показывает, что устаревший контракт на аукцион keeper MakerDAO был использован, и злоумышленник забрал 200 ETH, стоимостью более 500 тысяч долларов. CertiK утверждает, что корень проблемы заключается в отсутствии контроля доступа к функции 0x8804d1de в реализации контракта keeper.Этот контракт участвовал в ликвидационном кризисе "черного четверга" в марте 2020 года, когда он выиграл ETH по нулевой ставке, при этом 4 лота по 50 ETH каждый так и не были урегулированы, и злоумышленник воспользовался этим, чтобы забрать эти средства, выводя по 10 ETH через Tornado Cash. Этот контракт не является частью текущего ядра экосистемы Sky, но старые контракты, в которых все еще есть средства, могут стать целью для атак.

Согласно Galaxy Research, адрес из эпохи Сатоши Накамото после 16 лет молчания перевел 100,02 BTC (стоимостью 8,55 миллиона долларов), адрес: 1J3A7HovGXxK1GoCGMJpXGKa5sSwCrNHJ3.Основатель Bankless Дэвид Хоффман отметил, что этот перевод может быть направлен на подготовку к квантовым атакам.

Согласно мониторингу компании безопасности Blockaid, на базе происходит атака на один из хранилищ. Злоумышленники добавили новый контракт в белый список хранилища, после чего взяли в долг aBaswstETH и перевели его на контракт злоумышленника.В настоящее время атака продолжается, уже произошло около 4 транзакций, в результате которых было украдено около 2,02 миллиона долларов.

Соучредитель NEAR Иллия Полосухин заявил, что NEAR Intents и near.com снова доступны, но некоторые связанные услуги затронутых сетей все еще ограничены.Иллия сообщил, что атака на сумму около 3,8 миллиона долларов использовала уязвимость в инфраструктуре Omni для пополнения и вывода средств, а также во взаимодействии с умными контрактами NEAR Intents, при этом влияние ограничивалось только USDT на BSC. Основной протокол NEAR, токены NEAR и другие приложения не пострадали, пострадавшие пользователи получат полное возмещение.

Руководитель Bitget в Большом Китае Се Цзяньинь недавно в прямом эфире ответил на беспокойства сообщества. Он отметил, что за 8 лет существования Bitget безопасность активов пользователей всегда была наивысшим приоритетом, и компания успешно противостояла множеству попыток кибератак, сохраняя долгосрочную запись безопасной работы. Этот инцидент стал первой безопасной кризисной ситуацией за 8 лет развития платформы.После полного расследования было установлено, что данный инцидент является специальной атакой на цепочку поставок программного обеспечения третьих сторон, в ходе которой злоумышленники использовали уязвимость стороннего продукта для получения внутренних учетных данных, однако закрытые ключи не были раскрыты, а активы холодного кошелька не пострадали. В настоящее время Bitget совместно с безопасными агентствами Mandiant и SlowMist проводит независимую проверку и полностью обновит стандарты мониторинга и управления компонентами третьих сторон. Мы не только стремимся к полному восстановлению после этого инцидента, но и будем способствовать более безопасному, стабильному и здоровому развитию отрасли через постоянные технологические итерации и обновления системы.

В сегодняшней трансляции в сообществе генеральный директор Bitget Грейси ответила на недавние инциденты безопасности и финансовое состояние платформы. Она откровенно заявила, что это первый инцидент безопасности за 8 лет существования Bitget. После полного расследования выяснилось, что хакеры украли внутренние учетные данные через уязвимость стороннего продукта безопасности, подделали команды на вывод средств в системе кошельков, обманув кошелек и выполнив аномальный перевод, минуя проверку рисков. Грейси подчеркнула, что в ходе этого инцидента закрытые ключи не были скомпрометированы, холодные кошельки не пострадали, а конкретные технические детали будут подробно раскрыты в официальном отчете о безопасности.Грейси отметила, что подтвержденные после инцидента убытки находятся в пределах покрытия защитного фонда, безопасность средств пользователей не пострадала. Собственные средства платформы превышают 1,4 миллиарда долларов, из которых около 464 миллионов долларов составляют средства защиты пользователей. Платформа продолжит выполнять свои обязательства по безопасности, взятые при создании защитного фонда в 2022 году, и планирует в течение недели продолжать пополнять фонд до базового уровня в 300 миллионов долларов."Защитный фонд — это не просто лозунг, а важный механизм, который обеспечивает реальную защиту пользователей в случае экстремальных инцидентов безопасности", — заявила Грейси. Она добавила, что в условиях внезапных вызовов безопасности комплексная сила платформы и способность брать на себя ответственность являются важными критериями для оценки ее способности к управлению рисками и долгосрочной надежности. Bitget будет продолжать выполнять свои долгосрочные обязательства по приоритету интересов пользователей.

Согласно отчету Cointelegraph, компания по безопасности блокчейнов SlowMist заявила, что ее расследование пока не связывает недавнюю атаку на Safari для iPhone, вызвавшую предупреждение о безопасности, с подтвержденными случаями кражи криптовалюты.SlowMist сообщила Cointelegraph, что пока не было независимо подтверждено, что жертвы пострадали из-за конкретных образцов атак Safari, которые она анализировала, и что имеющиеся у нее самые сильные технические доказательства охватывают версии iOS от 18.4 до 18.6.2. Компания утверждает, что распространенный внешний диапазон "iOS 13 до 26.5" следует рассматривать как предварительное суждение, и до получения воспроизводимых технических доказательств она склонна избегать утверждений о том, что iOS 26.5 была затронута.SlowMist отметила, что эта атака на Safari использовала ранее раскрытую цепочку эксплуатации уязвимости DarkSword и была независима от другого расследования FomoPeek, связанного с встраиванием вредоносных компонентов в приложения App Store. Команда угроз Google (GTIG) ранее в марте раскрыла DarkSword, назвав ее цепочкой эксплуатации уязвимости iOS, используемой несколькими злоумышленниками с ноября 2025 года.

Согласно мониторингу Blockaid, Limit Break на Ethereum подвергается постоянным атакам, злоумышленники используют Limit Break Payment Processor V2, выдавая себя за владельцев NFT и покупая авторизованные NFT по нулевой цене, в настоящее время около 3 сделок привели к краже NFT на сумму около 1,7 миллиона долларов.Blockaid напоминает, что пользователи, которые ранее авторизовали Payment Processor V2 как NFT Operator, должны немедленно отозвать соответствующие полномочия, просто отмена ордеров или Master Nonce не сможет отменить эти права.

Генеральный директор Bitget Грейси Чен в прямом эфире вопрос-ответ по вопросам безопасности платформы заявил, что предварительное расследование показало, что некоторые связанные IP-адреса совпадают с VPN-сервисом, используемым одной из северокорейских хакерских группировок, а также что схема атаки похожа на предыдущие действия северокорейских хакеров, поэтому не исключается участие этой группы в атаке, затрагивающей около 351,6 миллиона долларов. Связанные выводы все еще находятся на стадии предварительного расследования.Грейси Чен отметила, что Bitget в настоящее время не считает, что это событие связано с действиями внутренних сотрудников. Злоумышленники напрямую вторглись в систему платформы и перевели средства, не подделывая запросы пользователей на вывод средств, и не получив приватные ключи холодного и горячего кошельков. Следователи все еще подтверждают конкретные затронутые системы и методы вторжения злоумышленников.

Космос экосистема DEX Astroport опубликовала сообщение, в котором говорится, что атака, произошедшая на Neutron, могла привести к краже прав администратора контракта Astroport. Neutron приостановил работу цепочки для проведения расследования.Astroport рекомендует пользователям вывести ликвидность из всех пулов Astroport.

Согласно мониторингу аналитика PeckShield (@PeckShieldAlert), тот же злоумышленник последовательно использовал уязвимость контракта моста SingularityNET для незаконного выпуска 260 миллионов AGIX и 53.83 миллиона WMTx на Ethereum.В настоящее время злоумышленник владеет криптоактивами на сумму около 16.77 миллиона долларов, включая 198.3 миллиона AGIX (около 14.42 миллиона долларов), 649 ETH (около 1.67 миллиона долларов) и 33.58 миллиона WMTx (около 627 тысяч долларов).

Команда DeBot объявила о прогрессе в расследовании инцидента с безопасностью, подтвердив, что ранее произошедший инцидент с кошельком был атакой APT (продвинутой постоянной угрозы), в настоящее время не обнаружено связанных с этим потерь средств.В объявлении говорится, что после анализа несколькими командами безопасности и поставщиками облачных услуг в системе были обнаружены следы вторжения, связанные приватные ключи все еще представляют собой риск безопасности, поэтому платформа продолжит осуществлять автоматическую изоляцию средств. В настоящее время DeBot работает в полностью изолированной среде, пользователи по-прежнему могут нормально торговать и выводить средства, но другие операции, связанные с приватными ключами, приостановлены и будут постепенно восстановлены после завершения аудита безопасности. Новый план безопасности находится на стадии обновления и проходит аудит командой SlowMist и поставщиками облачных услуг. DeBot заявляет, что этот инцидент выявил проблемы безопасности проекта, и команда будет дальше улучшать меры безопасности.

На Ethereum MEV-робот под названием Yoink провел фронт-ран по атаке на уязвимость кошелька Safe, PeckShield назвал это событие атакой на сумму около 7,81 миллиона долларов в rsETH. Записи в блокчейне показывают, что сделка Yoink получила 2,900 rsETH и отправила 2,882.37 rsETH на адрес 0xC70f00CD7E461686b04B0E912E309becA8b80ea0, текущий баланс которого составляет 2,882.36740883 rsETH.Та же сделка также отправила 17.63 rsETH в Uniswap v4 Pool Manager, который отправил 18.95 ETH на контракт Yoink, который затем передал 18.93 ETH строителю блока. Сделка Yoink и оригинальная атакующая сделка обе попали в блок Ethereum 25980525, сделка Yoink находится на первом месте в блоке, оригинальная сделка была отменена, что соответствует оценке фронт-рана со стороны исследователей безопасности.BlockSec приписывает уязвимость недостаткам проверки полномочий в контракте исполнителя, связанном с активированными модулями Safe, вызовы, контролируемые злоумышленником, могут выполняться через доверенного исполнителя. Blockaid сообщает, что злоумышленник использовал публичные многократные вызовы keeper, чтобы направить пользовательский модуль ликвидности Uniswap v4 в созданный злоумышленником хук-пул, который затем распаковал aEthrsETH в rsETH.

Согласно мониторингу Blockaid, была обнаружена атака на мультиподписной кошелек Safe неопределенного пользователя на Ethereum. Злоумышленник через открытый keeper multicall внедрил пользовательский модуль Uni V4 LP Safe в созданный им пул с крючком, после чего этот крючок распаковал aEthrsETH в rsETH, а Yoink MEV завершил извлечение в блоке. В настоящее время две транзакции подтверждены и привели к убыткам примерно в 7,73 миллиона долларов в rsETH.

После атаки на нефтепровод Восток-Запад в Саудовской Аравии он временно закрыт, и количество судов, проходящих через Ормузский пролив, в четверг снизилось до 7. Ирак подтвердил, что атака беспилотников на Саудовскую Аравию была осуществлена с его территории, и Саудовская Аравия по просьбе Ирака пока не предпринимает ответных действий.

Официальное заявление проекта DePIN TON сети PinGo сообщает, что команда подтвердила, что недавняя атака связана с асинхронным механизмом выполнения TON блокчейна. Для дальнейшего повышения безопасности протокола и предотвращения повторения подобных проблем, PinGo проведет обновление контрактов проекта.Кроме того, команда PinGo заявила, что в настоящее время ведет переговоры с соответствующими экосистемными партнерами и биржами и будет способствовать как можно более быстрому восстановлению услуги пополнения $PINGO на биржах. После завершения обновления контрактов и необходимых проверок безопасности команда будет продолжать раскрывать дальнейшие обновления.