slow

Theo cảnh báo của Slow Fog, đã phát hiện hai kẻ tấn công đang sao chép phương pháp tấn công lỗ hổng gần đây của Notional Finance trên chuỗi BSC. Kẻ tấn công đã hoàn thành chuẩn bị ban đầu, sử dụng cùng một mô hình lỗ hổng để tạo ra vị trí fCash độc hại. Hiện tại, cuộc tấn công chưa được thực hiện hoàn toàn, vị trí độc hại đang chờ đến hạn.Một khi đến hạn, kẻ tấn công có thể thanh lý vị trí và rút tài sản từ giao thức. Slow Fog khuyến nghị mạnh mẽ các dự án bị ảnh hưởng ngay lập tức thực hiện các biện pháp giảm thiểu, hoàn thành bảo vệ trước khi vị trí đến hạn.

Theo thông tin từ đội ngũ an ninh Slow Mist, họ đã phát hiện một hoạt động tấn công giả mạo dịch vụ VPS miễn phí, nhắm vào trình duyệt Safari trên iPhone chạy phiên bản iOS 18.4 đến 18.6.2.Kẻ tấn công đã lợi dụng sáu lỗ hổng mang mã DarkSword để hình thành chuỗi tấn công hoàn chỉnh, bao gồm thực thi mã từ xa WebKit, thoát khỏi sandbox và đọc/ghi kernel, có thể lấy được tệp container ứng dụng và dữ liệu chuỗi khóa mà người dùng không hề hay biết, đồng thời ghi lại các đầu vào từ bàn phím khi các ví như imToken, TokenPocket hoặc TronLink đang ở chế độ nền.Đội ngũ Slow Mist cho biết, sáu lỗ hổng trên hiện đã được Apple khắc phục, và cuộc tấn công hiện tại thuộc về việc tái sử dụng chuỗi lỗ hổng n-day. Chỉ việc truy cập vào trang web độc hại không thể chứng minh trực tiếp rằng cụm từ ghi nhớ hoặc khóa riêng đã bị đánh cắp, vẫn cần phải xác minh thông qua việc thu thập chứng cứ từ thiết bị. Khuyến nghị người dùng iOS/iPadOS nhanh chóng nâng cấp hệ thống lên phiên bản 18.7.3 hoặc 26.3 trở lên.

Theo dõi của SlowMist, hợp đồng GebProxyActions đã mất khoảng 5.9436 ETH do thiếu kiểm soát truy cập của người gọi. Người dùng bị ảnh hưởng đã trực tiếp gọi GebProxyActions.quitSystem thay vì ủy quyền gọi thông qua DSProxy, dẫn đến ownsSAFE[safe] được thiết lập thành hợp đồng GebProxyActions.Kẻ tấn công đã trực tiếp gọi GebProxyActions.quitSystem(manager, safe, dst), vượt qua kiểm tra safeAllowed của GebSafeManager, chuyển tài sản thế chấp đến chính mình.

Tin tức từ ChainCatcher, đội ngũ bảo mật SlowMist đã tiết lộ rằng dự án cầu nối đa chuỗi Allbridge đã bị tấn công vào ngày 19 tháng 8 năm 2026, với thiệt hại khoảng 190.000 USD. Đáng chú ý, cuộc tấn công này không phải là một hành động tức thì, kẻ tấn công đã bắt đầu chuẩn bị từ gần một tháng trước và đã vượt qua cơ chế xác thực bằng cách giả mạo thông điệp đa chuỗi. Theo phân tích của SlowMist, vào ngày 26 tháng 7, kẻ tấn công đã gọi trực tiếp hàm MessageTransmitterV2.sendMessage của Circle trên chuỗi Polygon, tạo ra một thông điệp đa chuỗi giả mạo theo phong cách CCTP, tuyên bố có 1 triệu USDC được chuyển khoản, nhưng thực tế không có bất kỳ hoạt động hủy USDC nào xảy ra. Sau đó, Circle đã tạo ra chứng nhận xác thực hợp lệ cho thông điệp hoàn chỉnh này theo quy trình bình thường.Khoảng 24 ngày sau, vào ngày 19 tháng 8, kẻ tấn công đã chờ đợi Base Router nhận được một khoản gửi CCTP thực sự, số dư tăng lên khoảng 191.000 USDC, chỉ sau 6 giây đã phát động cuộc tấn công. Kẻ tấn công đã sử dụng thông điệp và chứng nhận giả mạo trước đó để gọi hàm receiveCctpMessage của Allbridge, do dự án thiếu kiểm tra quan trọng, hệ thống đã nhầm lẫn thông điệp đa chuỗi giả mạo là khoản gửi thực sự và đã ghi nhận hạn mức 1 triệu USDC. Sau đó, kẻ tấn công đã tạm thời vay khoảng 809.000 USDC thông qua Aave flash loan, làm cho số dư Router khớp với số tiền giả mạo, và đã gọi hàm chuyển khoản bằng cách sử dụng hồ sơ tín dụng nội bộ, cuối cùng đã chuyển ra khoảng 999.000 USDC (trừ 0,1% phí). Sau khi hoàn trả khoản vay flash loan và phí, kẻ tấn công đã thu lợi ròng khoảng 189.800 USD. Nguyên nhân của lỗ hổng này là do Allbridge không xác thực danh tính của bên gửi và nhận thông điệp đa chuỗi, cũng như không xác nhận xem USDC có thực sự được đúc và số dư có thực sự tăng hay không, mà chỉ đơn giản tin tưởng vào số tiền và dữ liệu băm thông điệp do kẻ tấn công tạo ra. SlowMist nhấn mạnh rằng việc xác thực thông điệp trên chuỗi không đồng nghĩa với việc tài sản thực sự đã đến. Các giao thức đa chuỗi không chỉ cần xác thực tính xác thực của thông điệp mà còn phải đảm bảo nguồn gốc của thông điệp là đáng tin cậy, bên nhận là TokenMessengerV2 chính thức của Circle, và chỉ sau khi xác nhận tài sản thực sự được đúc và thay đổi số dư mới có thể tiến hành ghi sổ tài sản. Sự kiện này một lần nữa làm nổi bật rủi ro an ninh trong các khâu xác thực thông điệp và thanh toán tài sản của cầu nối đa chuỗi.

Theo thông tin từ ChainCatcher, theo thông báo chính thức, OKX đã hợp tác với Elliptic, SlowMist, OttoSec để phát hành "Báo cáo An ninh và Quản lý rủi ro Web3 nửa đầu năm 2026". Báo cáo chỉ ra rằng, trọng tâm tấn công Web3 đang dần chuyển từ mã hợp đồng thông minh sang các quy trình ký, thiết bị người dùng, cơ sở hạ tầng vận hành và các tình huống phức tạp hơn như AI Agent.Dữ liệu cho thấy, trong nửa đầu năm 2026, hệ thống quản lý rủi ro của OKX đã chặn tổng cộng hơn 5,7 triệu giao dịch có rủi ro cao, trong đó có khoảng 2,41 triệu giao dịch liên quan đến hacker và trộm cắp, khoảng 1,48 triệu giao dịch liên quan đến lừa đảo, và khoảng 990.000 giao dịch liên quan đến lừa đảo. Thư viện nhãn thông tin trên chuỗi Web3 của OKX hiện đã sở hữu hơn 1 tỷ nhãn, bao phủ hơn 420 chuỗi, và đã tích hợp khả năng kiểm tra địa chỉ, giám sát giao dịch và kiểm soát địa chỉ bị trừng phạt vào các cơ sở hạ tầng như DEX, Exchange OS.Ngoài ra, trong lĩnh vực bảo vệ người dùng, OKX đã chặn hơn 7 triệu lượt truy cập vào các trang web có rủi ro, hoàn thành hơn 200.000 lượt kiểm tra rủi ro thiết bị, nhận diện hơn 60.000 ứng dụng có rủi ro cao, và đã chặn hoặc cảnh báo hơn 4 triệu thao tác ký có rủi ro cao. Báo cáo cũng giới thiệu thiết kế "quản lý rủi ro trước" trong các tình huống như Exchange OS, Outcomes, RWA và Agentic Wallet.

ChainCatcher thông báo, theo báo cáo "Báo cáo chống gian lận 2026" được công bố chung bởi Bitget và SlowMist, cho thấy khi tài chính kỹ thuật số tiếp tục mở rộng sang cổ phiếu, tài sản token hóa và công cụ AI, giao dịch đa tài sản đang dần trở thành xu hướng quan trọng cho người dùng tham gia thị trường. Tỷ lệ người dùng phân bổ đa tài sản đã tăng từ dưới 1% vào giữa năm 2025 lên hơn 10% vào tháng 5 năm 2026.Báo cáo chỉ ra rằng các phương thức gian lận đang chuyển từ tấn công đơn lẻ sang chuỗi tấn công phức tạp, kết hợp nội dung do AI tạo ra, giả mạo sâu, sao chép giọng nói và kỹ thuật xã hội đa kênh. Trong khoảng thời gian từ tháng 7 năm 2025 đến tháng 6 năm 2026, hệ thống an ninh của Bitget đã chặn hơn 150 triệu yêu cầu độc hại, nhận diện hơn 13,000 IP độc hại có nguy cơ cao, và hỗ trợ người dùng thu hồi khoảng 32.3 triệu đô la Mỹ liên quan đến các sự kiện an ninh và hoạt động gian lận.Giám đốc điều hành Bitget, Gracy Chen, cho biết năm nay là năm thứ ba của hoạt động tháng chống gian lận, Bitget sẽ tiếp tục phát hành nội dung giáo dục an ninh, hướng dẫn nhận diện rủi ro và các hoạt động hợp tác trong ngành, giúp người dùng nâng cao khả năng nhận diện và bảo vệ trước gian lận AI, tấn công lừa đảo và lừa đảo trong các tình huống đa tài sản.

ChainCatcher tin tức, theo giám sát của SlowMist, Little Boy Plus đã bị tấn công, thiệt hại khoảng 377,642 USDT (khoảng 610.555 BNB). Nguyên nhân của lỗ hổng là do hàm _update của hợp đồng LBPHashrate có thể được kích hoạt thông qua việc gọi transferFrom với giá trị bằng không, vượt qua kiểm tra ủy quyền của OpenZeppelin, kẻ tấn công có thể gọi hàm này mà không cần ủy quyền, kích hoạt _harvest và thông qua LBP.mintReward để đúc token LBP vào địa chỉ PancakePair. Việc đúc LBP làm tăng số dư trong bể nhưng không thay đổi dự trữ, kẻ tấn công sau đó đã cạn kiệt USDT thông qua PancakePair.swap.

Tin tức từ ChainCatcher, người sáng lập Slow Mist, Yu Xian, đã viết rằng cuộc tấn công mà Asterix gặp phải tương tự như cuộc tấn công vào Flooring Protocol và BMP hôm qua (giao thức nền tảng một cái là DN404, một cái là BT404), thao tác dịch chuyển ID NFT ở vị trí cao bị tràn và tái sử dụng. Có vẻ như kẻ tấn công đang tìm kiếm các điểm chung trong lỗ hổng.Theo thông tin, Asterix hôm qua đã công bố một sự kiện tấn công ảnh hưởng đến hợp đồng mã thông báo ASTX, cho biết rằng bể thanh khoản Uniswap v4 của họ đã bị tấn công vào ngày 8 tháng 6, kẻ tấn công đã đánh cắp khoảng 30 ETH thông qua 242 giao dịch. Lỗ hổng xuất phát từ việc thiếu kiểm tra giới hạn ID mã thông báo cho các thao tác phê duyệt trong phiên bản đầu tiên của DN404, kẻ tấn công đã lợi dụng việc phê duyệt mã thông báo đã hết hạn, bán mã thông báo trong bể để lấy ETH, sau đó rút mã thông báo tương đương bằng cách giả mạo ID, thao tác lặp đi lặp lại dẫn đến việc cạn kiệt vốn.Hợp đồng thông minh không thể thay đổi và không thể sửa chữa, đội ngũ khuyên người dùng ngừng tương tác với bể và mã thông báo hiện tại, và đang lên kế hoạch triển khai mã thông báo an toàn. Đội ngũ nghi ngờ rằng kẻ tấn công đã sử dụng công cụ AI phiên bản jailbreak để thực hiện kiểm thử mờ nhằm phát hiện các đường dẫn logic không thông thường.

Tin tức từ ChainCatcher, Slow Mist cho biết trên nền tảng X rằng sự kiện tiêm độc vào các công cụ tìm kiếm giả như Codex, Claude Code gần đây đã gia tăng. Họ cho biết đã nhiều lần nhắc nhở rằng kết quả tìm kiếm của Google và các dịch vụ như Google Sites bị lợi dụng bởi các hoạt động đen và xám, nhưng Google vẫn chưa có biện pháp xử lý đối với những phương pháp tiêm độc rõ ràng này.

SlowMist has issued a security alert, detecting an active npm supply chain attack targeting @redhat-cloud-services related packages. Currently, over 31 packages have been confirmed affected, with a weekly download volume of approximately 116,000 times, and stolen credentials exist in more than 300 GitHub repositories. This attack method is highly similar to the previous "Shai-Hulud" npm attack, including credential theft, creation of malicious repositories, and automated secret leakage. New suspicious repositories continue to emerge, indicating that the attack is still ongoing, and developers are still being continuously infected.Potential harms include: theft of GitHub/npm tokens, leakage of AWS/GCP/Azure cloud credentials, collection of SSH keys and Kubernetes secrets, leakage of local environment and wallet data, creation of malicious repositories and persistence operations, and even potentially destructive actions after tokens are revoked. It is recommended to immediately remove or downgrade affected @redhat-cloud-services package versions, conduct a comprehensive audit of CI/CD workflows and dependency installations, rotate all GitHub, npm, cloud service, SSH, and wallet-related keys, retain logs, and rebuild exposed developer machines or Runners from clean images while maintaining a high level of vigilance.

The founder of Slow Fog, Yu Xian, posted on the X platform to interpret the Squid security incident. He stated that sampling found that the related Safe wallets were all single-signature, and the owners were all different, but the issue was not with the private keys; the problem lay in the modules (SquidRouterModule) used by these Safe addresses, which had vulnerabilities. Attackers could forge messages, easily bypass relevant validations, and initiate subsequent exchange operations to transfer funds from the target Safe wallet. In addition, Yu Xian also disclosed information about the address where the attackers' profits were deposited.Previously, it was reported that a third-party Gnosis Safe module was exploited on Base and Ethereum, resulting in a loss of approximately $3.2 million, with the victims being 86 Gnosis Safes that had added this contract as a trusted Safe Module. The contract was named "SquidRouterModule" on Basescan, and subsequently, Squid clarified that it was not affected by the Gnosis Safe-related vulnerability incident.

Slow Fog's Yu Xian posted on the X platform stating that the reason for the Verus theft may be that the attacker constructed a forged Merkle proof, which passed the verification of the Verus Ethereum bridge (not open source), thus successfully withdrawing funds (ETH/tBTC/USDC). Specific details need to be further verified.

The slow fog余弦 social media stated that the high-risk iOS attack framework DarkSword has been publicly leaked on channels such as GitHub and is being used for large-scale espionage attacks targeting cryptocurrency wallet holders.This attack program targets devices running iOS versions 18.4 to 18.7, utilizing vulnerabilities in the Safari browser through malicious web pages to achieve remote code execution, thereby stealing users' sensitive data. Attackers launch attacks using bait web pages that impersonate pornographic live streams, Tron energy stations, refund processes, and more.iPhone users running older versions of iOS, once they access such web pages using the Safari browser (even if they do not close the page), may have sensitive information such as plaintext private keys and mnemonic phrases stolen by malicious JavaScript code when unlocking the wallet app, which is then transmitted in real-time through channels like Telegram bots.

The Chief Information Security Officer of Slow Fog, 23pds, disclosed on platform X that node-ipc has been compromised again. The released three malicious versions of node-ipc (9.1.6, 9.2.3, 12.1) carry the same credential-stealing payload, with the package being downloaded over 10 million times per week.

Delphi Digital published a report stating that the variable rate Series A perpetual preferred stock STRC of Strategy has an authorized issuance limit of approximately $28.3 billion. If this value is reached without expanding the limit, the accumulation rate of Bitcoin by Strategy may slow down.On Monday, Strategy purchased 535 Bitcoins for $43 million, with most of the funds raised through the sale of Class A common stock MSTR. Currently, Strategy's market net asset value is 1.25 times. Researchers pointed out that when mNAV is low, Strategy uses STRC as the main accumulation tool, and if mNAV expands, it may acquire Bitcoin through the sale of MSTR. Strategy has a cash reserve of $2.25 billion, and the next significant cash obligation will mature in September 2027.

According to the blockchain security organization SlowMist (@SlowMist_Team), a highly complex npm worm named "Mini Shai-Hulud" is spreading through well-known developer projects such as TanStack, UiPath, and DraftLab, as monitored by their threat monitoring system MistEye. Attackers hijack GitHub credentials to publish malicious packages disguised as legitimate updates, embedding a hidden script router_init.js that runs silently in CI/CD environments like GitHub Actions, specifically designed to steal CI/CD keys, cloud infrastructure keys, and cryptocurrency wallet information, using GitHub's own infrastructure for data exfiltration.SlowMist has synchronized relevant threat intelligence (IOC) with clients and recommends that projects using the affected packages immediately check their CI/CD pipelines for the presence of the router_init.js file, rotate all exposed GitHub, cloud service, and cryptocurrency credentials, and continuously monitor for abnormal background activities in the development environment.

SlowMist has issued a security warning stating that a high-risk phishing activity targeting TRON wallet users has been discovered. Attackers created a fake Chrome extension for the TronLink wallet, using Unicode bidirectional control characters and Cyrillic homographs to disguise the brand name. After installation, the extension loads a complete phishing page through a remote iframe, forming a "shell-core separation" credential theft chain.The malicious extension name uses homographs for disguise, and its Chrome Store page inherits the high user count and positive reviews of the real extension, lowering the review threshold. There is very little local code, only loading remote pages, making static analysis nearly impossible to detect malicious behavior. The remote phishing page perfectly replicates the official TronLink web wallet interface, stealing mnemonic phrases, private keys, Keystore files, and passwords, and relaying them in real-time via a Telegram Bot.Built-in anti-analysis features disable right-click, developer tools, drag-and-drop, and printing, and redirect based on the geographic and language settings of Russian users to evade detection. SlowMist recommends immediately uninstalling suspicious extensions, clearing local storage, checking for abnormal traffic, and if credentials have been entered, creating a new wallet and transferring assets immediately.

In February this year, several Chinese citizens were raided by the police at a rented villa in Country Heights, Kajang, Malaysia. The police claimed to suspect that the Chinese citizens were involved in fraud, and subsequently, the Chinese citizens were forced to transfer about $50,000 (approximately 200,000 ringgit) in USDT. The police later arrested 12 officers involved in the case and removed them from frontline duties, but the investigation still awaits technical reports and digital evidence results, and there has been no breakthrough to date.Lawyer Charles, representing eight Chinese victims, stated that the investigation is progressing too slowly. Since the arrest of the 12 involved police officers, there has been no further information, raising suspicions of internal interference attempting to suppress the case. He warned that if there is internal protection, he will file a complaint with the Malaysian Anti-Corruption Commission.

BTC IV 39%, ETH IV 55%; ETH Skew is at a critical turning point------the mid to long term stabilizes at +2 to +5, while the short term has repeatedly dropped to -10 but quickly returned to zero. If ETH stabilizes above $2,400, the short term turning positive will resonate with the mid to long term, confirming a shift from event hedging to upward chasing. The BTC/ETH GEX Term Structure shows that the near-month Gamma has clearly turned positive, with ETF inflows and Call accumulation driving a positive Gamma slow bull structure------under a Long Gamma environment for market makers, the short term is inclined towards high-level fluctuations and slow increases, with IV retreating. Bull Call Spread and selling Put strategies are dominant, but the far month retains negative Gamma reflecting ongoing tail hedging demand. In terms of block trades, 1,001.8 BTC 5/8 expiration $88K Calls were traded, and 14,288 ETH 5/15 expiration $2,600 Calls were traded, indicating clear bullish signals from institutions.Gate has launched the "Rising Star Trader Support Program" for options, with a total prize pool of $25,000 USDT. During the event, users can earn multiple rewards through options trading, inviting friends, and participating in KOL incubation camps: the highest reward for meeting trading volume standards can reach $3,000, and the highest commission for inviting can reach $2,000. Meanwhile, the platform also provides high-quality traders with 1-on-1 options hedging training, exclusive rate discounts, and traffic support, helping traders enhance their strategy capabilities and market influence, and providing a more competitive trading environment and growth opportunities for professional options users.

The Chief Information Security Officer of Slow Fog, 23pds, disclosed that a privilege escalation vulnerability named Dirty Frag has been exposed in Linux systems, with complete details and exploit code now public. This vulnerability allows any local low-privilege user to directly obtain root privileges on almost all mainstream Linux distributions. It is classified as a deterministic logic flaw, and the attack does not rely on complex race conditions, resulting in a very high success rate without causing kernel crashes, posing significant danger. Linux users are advised to upgrade their systems promptly.