软件漏洞

ChainCatcher 消息，OpenAI 表示其即将推出的 Astra 模型能够在无需人工干预的情况下自主发现此前未知的软件漏洞并将其转化为可用的攻击手段，成为该公司首个达到“严重”（Critical）网络安全能力等级门槛的模型。OpenAI 在周二发布的博文中称，根据其 Preparedness Framework，达到该等级意味着模型能够在无需人工介入的情况下，在加固的真实系统中发现零日漏洞并开发出可用的利用代码，或仅凭一个高层级目标即可设计并执行攻击。在测试中，Astra 在基于已知漏洞开发利用代码的基准测试中取得 100% 的成绩，并在另一项内部测试中发现了两个此前未知的漏洞。此外，该模型还成功突破了加固的浏览器沙箱并在宿主机上执行命令，同时通过组合操作系统中的多个弱点获得了 root 权限。OpenAI 表示，已推迟 Astra 的部分开发进度以增加安全防护措施，并计划将其最先进的网络安全能力仅向经过筛选的测试人员开放。这一能力对加密行业尤为相关，因为软件漏洞可在数分钟内被转化为资金损失。CoinDesk 今年 6 月曾报道，日益强大的 AI 模型可将搜索代码、发现错误配置并组装攻击的过程从数天或数周压缩至机器速度。安全研究人员当时指出，更大的变化并非出现全新类别的攻击，而是现有弱点被发现和利用的速度大幅提升。

ChainCatcher 消息，据 Protos 报道，Bitcoin Core 开发人员发布了一个新的高危警告，称每六个比特币节点中就有一个存在软件漏洞。周四，负责维护在超过 98% 的可达全节点上运行的软件的开源 Bitcoin Core 项目的工作人员披露，运行在网络 17% 节点上的软件存在重大安全问题。具体而言，所有低于 Bitcoin Core 版本 24.0.1 的软件均存在风险。根据 Bitnodes 的监控估算，这个拒绝服务漏洞影响了可访问的比特币完整节点的 19,200 个自称用户代理中的大约 3,330 个。 在 24.0.1 版本之前的 Bitcoin Core 软件中，恶意行为者可以使用低难度的 header 链向节点发送垃圾邮件。通过强制节点下载和存储极长的 header 链，攻击可能会通过占用过多带宽或设备存储空间使节点崩溃。开发人员在 Bitcoin Core 拉取请求（PR）编号 25717 中修复了这个漏洞，并在 2022 年 12 月 12 日随着 v24.0.1 版本的发布将其合并到生产中。当前的 Bitcoin Core 节点软件版本（现为 27.1）包含此漏洞和其他漏洞的修复。 虽然这个漏洞相当严重，但公开记录中已知的利用该漏洞的攻击案例很少。由于生成和广播区块 header 链以执行拒绝服务攻击的成本相当高，因此该漏洞对攻击者来说几乎没有经济利益。

ChainCatcher 消息，针对今日凌晨 1 时比特币链上某单笔交易费用达 19.82枚 BTC ，自托管钱包 Casa 联合创始人兼首席技术官 Jameson Lopp 在 X 平台上表示：“这疑似是一个带有漏洞软件的交易所或支付公司，他们收到了超过 60,000 个交易并从相同的地址发送了超过 60,000 个交易（不良实践），而且很可能错误地计算了找零输出。发生费用计算错误的地址具有仅用于提现的企业热钱包的特征。看起来它只时不时地从一个地址接收存款以随时补充余额。” 此前消息，链上数据显示，北京时间今日 1:10:01，比特币链上出现单笔费用高达 19.82  BTC（价值近 51 万美元）的交易，创历史纪录。