slow

SlowMist đã phát hành cảnh báo an ninh cho biết, NEM đã bị tấn công, thiệt hại khoảng 821,920 USD. Nguyên nhân cơ bản là do NemTokenV2 đã ghi nhận số token chuyển vào bể thanh khoản (LP) vào khối lượng bán ra, nhưng không xác minh việc quy đổi và thanh toán.Kẻ tấn công đã lợi dụng lỗ hổng này, thực hiện lệnh chuyển khoản lặp đi lặp lại, gọi skim() để xóa token chuyển vào và gọi flushLpSellRecycle() tổng cộng 42 lần, phá hủy dự trữ ban đầu của bể thanh khoản và làm giảm số dư dự trữ NEM, sau đó bán số NEM còn lại với giá cao hơn, rút USDT.

Cảnh báo an ninh của Slow Mist cho biết, PHP đã phát hành thông báo an ninh vào ngày 20 tháng 10, công bố hai lỗ hổng an ninh nghiêm trọng có thể dẫn đến thực thi mã từ xa (RCE), được đánh số lần lượt là CVE-2026-109618 và CVE-2026-109619, với điểm số CVSS v4 đều là 9.2. Hiện tại, PHP vẫn chưa phát hành bản vá sửa lỗi, các phiên bản bị ảnh hưởng cụ thể và điều kiện khai thác vẫn đang chờ xác nhận.Theo thông tin hiện có, PHP dự kiến sẽ phát hành bản cập nhật an ninh vào lúc 14:00 UTC ngày 21 tháng 10 (22:00 giờ Bắc Kinh). Slow Mist khuyến nghị các tổ chức liên quan nhanh chóng kiểm tra phiên bản PHP trên máy chủ và hệ thống kinh doanh, chú ý đến các dịch vụ PHP công khai, và kịp thời nâng cấp sau khi bản vá được phát hành; các hệ thống không thể nâng cấp tạm thời nên hạn chế nguồn truy cập và thực hiện biện pháp cách ly nếu cần thiết.

Một bài viết từ Slow Mist cho biết, một hoạt động giả mạo "cập nhật firmware Ledger" đang lợi dụng sự kiện chuỗi cung ứng Ledger gần đây để tấn công. Trang lừa đảo này rất giống thật, bao gồm trang "kiểm tra hàng chính hãng", giao diện chọn thiết bị và nút "cập nhật ngay". Slow Mist nhắc nhở, không nên cập nhật thiết bị Ledger qua liên kết trang web và cũng không nên nhập cụm từ khôi phục ở bất kỳ đâu.

Màn Sương phát hành cảnh báo an ninh cho biết, Aave V3 Loop Safe Module xuất hiện lỗ hổng bảo mật, kẻ tấn công đã giả mạo xác thực Safe và lợi dụng Module tùy ý để thực hiện, từ hai ví đa chữ ký Safe đã đánh cắp khoảng 114.09 ETH.Kẻ tấn công đã giả mạo một Safe luôn trả về giá trị đúng để vượt qua xác thực, và lợi dụng router có thể kiểm soát tùy ý và calldata để thực hiện giao dịch module, chuyển nhượng weETH và tài sản thế chấp Aave. Kẻ tấn công đã hoàn trả khoảng 1300 WETH nợ sau khi mở khóa tài sản thế chấp.

Giám đốc điều hành Bitget Gracy Chen đã đăng bài cho biết, Bitget đang hợp tác với chuyên gia độc lập bên thứ ba Mandiant và Slow Mist để tiến hành điều tra toàn diện về sự cố an ninh của nền tảng này. Nền tảng sẽ tiếp tục công bố những tiến triển mới nhất qua các kênh chính thức.Cô nhấn mạnh rằng việc bảo vệ người dùng là nhiệm vụ hàng đầu hiện nay của Bitget, số dư của người dùng sẽ được giữ nguyên, quỹ bảo vệ người dùng Bitget sẽ bao phủ những ảnh hưởng do sự cố trên nền tảng gây ra. Ví Bitget thuộc về ví tự quản lý, sử dụng cơ sở hạ tầng hoàn toàn tách biệt và độc lập với Bitget Exchange, do đó không bị ảnh hưởng bởi sự cố này.Hiện tại, các chức năng nạp tiền, giao dịch và thưởng của Bitget Exchange vẫn hoạt động bình thường. Chức năng rút tiền sẽ tiếp tục bị tạm ngưng trong thời gian kiểm tra an ninh bổ sung, và sẽ được mở lại càng sớm càng tốt sau khi nền tảng xác nhận có thể khôi phục an toàn.

Manh Vũ MistTrack cập nhật địa chỉ ví hacker Bitget, thêm 7 địa chỉ mạng Ripple, tổng số dư khoảng 102,926,478 XRP, tương đương khoảng 157 triệu USD.Ngoài ra còn bao gồm 11 địa chỉ EVM và 1 địa chỉ TRON. Trong đó, địa chỉ EVM tổng cộng nắm giữ khoảng 67,980.25 ETH, 5896.58 BNB, 495.625 WETH, 218,022.9 USDT và 99,989.9 USDC; địa chỉ TRON nắm giữ khoảng 20,593,376.5 TRX.

Theo cảnh báo an ninh của Slow Fog, chuỗi công cụ trí nhớ AI thuộc MemTensor đã bị xâm nhập. Kho trí nhớ dài hạn mã nguồn mở MemoryOS (PyPI) dành cho LLM và AI Agent cũng như plugin chính thức kết nối với OpenClaw runtime memtensor/memos-cloud-openclaw-plugin (npm) đã bị nhúng mã nhị phân Go đa nền tảng, chương trình độc hại này sẽ được kích hoạt khi gói được tải hoặc nhập.Các phiên bản bị ảnh hưởng bao gồm: MemoryOS==2.34 trên PyPI, cũng như các plugin npm 0.1.21, 0.1.23, 0.1.25. Trong đó, các plugin npm bị ảnh hưởng cũng có thể gây rò rỉ nội dung prompt của người dùng. Slow Fog khuyến nghị thực hiện các biện pháp xử lý sau: gỡ cài đặt hoặc hạ cấp xuống phiên bản an toàn đã biết (npm 0.1.20, PyPI 2.33); chấm dứt tiến trình sckit; chặn các cơ sở hạ tầng liên quan; kiểm tra hoạt động mạng; và thay đổi thông tin xác thực trong môi trường bị ảnh hưởng.

Công ty an ninh blockchain SlowMist, Giám đốc An ninh Thông tin 23pds cho biết, kẻ tấn công đang lợi dụng lỗ hổng Darksword, thông qua Safari để vượt qua cơ chế an ninh iOS, kiểm soát thiết bị và trích xuất khóa riêng cùng các dữ liệu khác từ ví tiền điện tử tự quản. Lỗ hổng này đã được sử dụng để tấn công người dùng ở Ả Rập Saudi, Thổ Nhĩ Kỳ, Malaysia và Ukraine. Nhóm Tình báo Đe dọa Google trước đó đã tiết lộ, Darksword ban đầu chỉ ảnh hưởng đến các phiên bản iOS từ 18.4 đến 18.7.23pds cho biết, kẻ tấn công đã điều chỉnh nó cho iOS 26.5, nhưng đánh giá này vẫn chưa được xác nhận chính thức. Cuộc tấn công thường bắt đầu từ kỹ thuật xã hội, khi người dùng nhấp vào liên kết độc hại được gửi qua mạng xã hội hoặc ứng dụng giao tiếp, thiết bị có thể bị lấy quyền Root và trích xuất dữ liệu ví. Người dùng nên kịp thời cập nhật hệ thống điện thoại, tránh truy cập vào các liên kết trang web do người lạ gửi; ba nhà đầu tư khác đã mất gần 1,8 triệu đô la Bitcoin do tải xuống ứng dụng ví giả từ App Store chính thức của Apple và đã kiện Apple.

Màn Sương phát hành cảnh báo an toàn cho biết, gần đây nhận được nhiều báo cáo về việc tài sản của người dùng FomoPeek bị đánh cắp, qua điều tra chung với đội ngũ an ninh OKX phát hiện, một số người dùng bị ảnh hưởng trước đó đã cài đặt hoặc sử dụng phiên bản FomoPeek 1.1--1.2, ứng dụng liên quan chứa mã độc.Màn Sương cho biết, trong FomoPeek có tồn tại các mô-đun không liên quan đến hoạt động bình thường, trong đó có một mô-đun chứa khung khai thác lỗ hổng kernel dành cho hệ điều hành iOS, hỗ trợ 8 phương thức tấn công khác nhau, có thể tự động chọn phương thức khai thác dựa trên kiểu máy và phiên bản iOS. Các hệ thống bị ảnh hưởng bao gồm iOS 12 đến 18.7 và iOS 26 đến 26.1. Nếu khai thác thành công, ứng dụng có thể vượt qua sandbox của iOS và truy cập, giải mã dữ liệu Keychain, dẫn đến việc lộ khóa riêng, cụm từ ghi nhớ, thông tin đăng nhập và các tệp nhạy cảm khác. Ngoài ra, FomoPeek còn kết nối với các máy chủ ẩn không liên quan đến dịch vụ công khai của nó và có thể nhận lệnh từ xa.Màn Sương cho biết, phân tích lưu lượng rõ ràng mà họ thu thập được cho thấy, các chức năng tấn công liên quan hiện đang ở trạng thái kích hoạt và sẽ tự động chạy định kỳ. Màn Sương khuyên những người dùng đã cài đặt hoặc sử dụng phiên bản FomoPeek 1.1--1.2 nên ngay lập tức kiểm tra xem tài sản có bất thường hay không, tạo khóa riêng và cụm từ ghi nhớ mới trên thiết bị đáng tin cậy chưa từng cài đặt ứng dụng này, và nhanh chóng chuyển tài sản sang tài khoản mới, đồng thời nâng cấp lên phiên bản iOS mới nhất, không tiếp tục sử dụng hoặc cài đặt lại FomoPeek.

Theo cảnh báo an ninh của SlowMist, hợp đồng AtomicQueue của ether.fi đã bị đánh cắp khoảng 15.45 ETH do hàm solve() thiếu kiểm soát truy cập.Kẻ tấn công đã lợi dụng updateAtomicRequest() để tạo ra yêu cầu độc hại, buộc địa chỉ nạn nhân trở thành solver, sau đó AtomicQueue gọi hàm finishSolve của nạn nhân và thực hiện want.transferFrom, lạm dụng quyền ủy quyền ERC-20 đã có của nạn nhân để chuyển tiền. SlowMist đã thông báo riêng cho đội ngũ ether.fi, địa chỉ của kẻ tấn công và địa chỉ hợp đồng lỗ hổng đã được công bố.

Theo cảnh báo của Slow Fog, đã phát hiện hai kẻ tấn công đang sao chép phương pháp tấn công lỗ hổng gần đây của Notional Finance trên chuỗi BSC. Kẻ tấn công đã hoàn thành chuẩn bị ban đầu, sử dụng cùng một mô hình lỗ hổng để tạo ra vị trí fCash độc hại. Hiện tại, cuộc tấn công chưa được thực hiện hoàn toàn, vị trí độc hại đang chờ đến hạn.Một khi đến hạn, kẻ tấn công có thể thanh lý vị trí và rút tài sản từ giao thức. Slow Fog khuyến nghị mạnh mẽ các dự án bị ảnh hưởng ngay lập tức thực hiện các biện pháp giảm thiểu, hoàn thành bảo vệ trước khi vị trí đến hạn.

Theo thông tin từ đội ngũ an ninh Slow Mist, họ đã phát hiện một hoạt động tấn công giả mạo dịch vụ VPS miễn phí, nhắm vào trình duyệt Safari trên iPhone chạy phiên bản iOS 18.4 đến 18.6.2.Kẻ tấn công đã lợi dụng sáu lỗ hổng mang mã DarkSword để hình thành chuỗi tấn công hoàn chỉnh, bao gồm thực thi mã từ xa WebKit, thoát khỏi sandbox và đọc/ghi kernel, có thể lấy được tệp container ứng dụng và dữ liệu chuỗi khóa mà người dùng không hề hay biết, đồng thời ghi lại các đầu vào từ bàn phím khi các ví như imToken, TokenPocket hoặc TronLink đang ở chế độ nền.Đội ngũ Slow Mist cho biết, sáu lỗ hổng trên hiện đã được Apple khắc phục, và cuộc tấn công hiện tại thuộc về việc tái sử dụng chuỗi lỗ hổng n-day. Chỉ việc truy cập vào trang web độc hại không thể chứng minh trực tiếp rằng cụm từ ghi nhớ hoặc khóa riêng đã bị đánh cắp, vẫn cần phải xác minh thông qua việc thu thập chứng cứ từ thiết bị. Khuyến nghị người dùng iOS/iPadOS nhanh chóng nâng cấp hệ thống lên phiên bản 18.7.3 hoặc 26.3 trở lên.

Theo dõi của SlowMist, hợp đồng GebProxyActions đã mất khoảng 5.9436 ETH do thiếu kiểm soát truy cập của người gọi. Người dùng bị ảnh hưởng đã trực tiếp gọi GebProxyActions.quitSystem thay vì ủy quyền gọi thông qua DSProxy, dẫn đến ownsSAFE[safe] được thiết lập thành hợp đồng GebProxyActions.Kẻ tấn công đã trực tiếp gọi GebProxyActions.quitSystem(manager, safe, dst), vượt qua kiểm tra safeAllowed của GebSafeManager, chuyển tài sản thế chấp đến chính mình.

Tin tức từ ChainCatcher, đội ngũ bảo mật SlowMist đã tiết lộ rằng dự án cầu nối đa chuỗi Allbridge đã bị tấn công vào ngày 19 tháng 8 năm 2026, với thiệt hại khoảng 190.000 USD. Đáng chú ý, cuộc tấn công này không phải là một hành động tức thì, kẻ tấn công đã bắt đầu chuẩn bị từ gần một tháng trước và đã vượt qua cơ chế xác thực bằng cách giả mạo thông điệp đa chuỗi. Theo phân tích của SlowMist, vào ngày 26 tháng 7, kẻ tấn công đã gọi trực tiếp hàm MessageTransmitterV2.sendMessage của Circle trên chuỗi Polygon, tạo ra một thông điệp đa chuỗi giả mạo theo phong cách CCTP, tuyên bố có 1 triệu USDC được chuyển khoản, nhưng thực tế không có bất kỳ hoạt động hủy USDC nào xảy ra. Sau đó, Circle đã tạo ra chứng nhận xác thực hợp lệ cho thông điệp hoàn chỉnh này theo quy trình bình thường.Khoảng 24 ngày sau, vào ngày 19 tháng 8, kẻ tấn công đã chờ đợi Base Router nhận được một khoản gửi CCTP thực sự, số dư tăng lên khoảng 191.000 USDC, chỉ sau 6 giây đã phát động cuộc tấn công. Kẻ tấn công đã sử dụng thông điệp và chứng nhận giả mạo trước đó để gọi hàm receiveCctpMessage của Allbridge, do dự án thiếu kiểm tra quan trọng, hệ thống đã nhầm lẫn thông điệp đa chuỗi giả mạo là khoản gửi thực sự và đã ghi nhận hạn mức 1 triệu USDC. Sau đó, kẻ tấn công đã tạm thời vay khoảng 809.000 USDC thông qua Aave flash loan, làm cho số dư Router khớp với số tiền giả mạo, và đã gọi hàm chuyển khoản bằng cách sử dụng hồ sơ tín dụng nội bộ, cuối cùng đã chuyển ra khoảng 999.000 USDC (trừ 0,1% phí). Sau khi hoàn trả khoản vay flash loan và phí, kẻ tấn công đã thu lợi ròng khoảng 189.800 USD. Nguyên nhân của lỗ hổng này là do Allbridge không xác thực danh tính của bên gửi và nhận thông điệp đa chuỗi, cũng như không xác nhận xem USDC có thực sự được đúc và số dư có thực sự tăng hay không, mà chỉ đơn giản tin tưởng vào số tiền và dữ liệu băm thông điệp do kẻ tấn công tạo ra. SlowMist nhấn mạnh rằng việc xác thực thông điệp trên chuỗi không đồng nghĩa với việc tài sản thực sự đã đến. Các giao thức đa chuỗi không chỉ cần xác thực tính xác thực của thông điệp mà còn phải đảm bảo nguồn gốc của thông điệp là đáng tin cậy, bên nhận là TokenMessengerV2 chính thức của Circle, và chỉ sau khi xác nhận tài sản thực sự được đúc và thay đổi số dư mới có thể tiến hành ghi sổ tài sản. Sự kiện này một lần nữa làm nổi bật rủi ro an ninh trong các khâu xác thực thông điệp và thanh toán tài sản của cầu nối đa chuỗi.

Theo thông tin từ ChainCatcher, theo thông báo chính thức, OKX đã hợp tác với Elliptic, SlowMist, OttoSec để phát hành "Báo cáo An ninh và Quản lý rủi ro Web3 nửa đầu năm 2026". Báo cáo chỉ ra rằng, trọng tâm tấn công Web3 đang dần chuyển từ mã hợp đồng thông minh sang các quy trình ký, thiết bị người dùng, cơ sở hạ tầng vận hành và các tình huống phức tạp hơn như AI Agent.Dữ liệu cho thấy, trong nửa đầu năm 2026, hệ thống quản lý rủi ro của OKX đã chặn tổng cộng hơn 5,7 triệu giao dịch có rủi ro cao, trong đó có khoảng 2,41 triệu giao dịch liên quan đến hacker và trộm cắp, khoảng 1,48 triệu giao dịch liên quan đến lừa đảo, và khoảng 990.000 giao dịch liên quan đến lừa đảo. Thư viện nhãn thông tin trên chuỗi Web3 của OKX hiện đã sở hữu hơn 1 tỷ nhãn, bao phủ hơn 420 chuỗi, và đã tích hợp khả năng kiểm tra địa chỉ, giám sát giao dịch và kiểm soát địa chỉ bị trừng phạt vào các cơ sở hạ tầng như DEX, Exchange OS.Ngoài ra, trong lĩnh vực bảo vệ người dùng, OKX đã chặn hơn 7 triệu lượt truy cập vào các trang web có rủi ro, hoàn thành hơn 200.000 lượt kiểm tra rủi ro thiết bị, nhận diện hơn 60.000 ứng dụng có rủi ro cao, và đã chặn hoặc cảnh báo hơn 4 triệu thao tác ký có rủi ro cao. Báo cáo cũng giới thiệu thiết kế "quản lý rủi ro trước" trong các tình huống như Exchange OS, Outcomes, RWA và Agentic Wallet.

ChainCatcher thông báo, theo báo cáo "Báo cáo chống gian lận 2026" được công bố chung bởi Bitget và SlowMist, cho thấy khi tài chính kỹ thuật số tiếp tục mở rộng sang cổ phiếu, tài sản token hóa và công cụ AI, giao dịch đa tài sản đang dần trở thành xu hướng quan trọng cho người dùng tham gia thị trường. Tỷ lệ người dùng phân bổ đa tài sản đã tăng từ dưới 1% vào giữa năm 2025 lên hơn 10% vào tháng 5 năm 2026.Báo cáo chỉ ra rằng các phương thức gian lận đang chuyển từ tấn công đơn lẻ sang chuỗi tấn công phức tạp, kết hợp nội dung do AI tạo ra, giả mạo sâu, sao chép giọng nói và kỹ thuật xã hội đa kênh. Trong khoảng thời gian từ tháng 7 năm 2025 đến tháng 6 năm 2026, hệ thống an ninh của Bitget đã chặn hơn 150 triệu yêu cầu độc hại, nhận diện hơn 13,000 IP độc hại có nguy cơ cao, và hỗ trợ người dùng thu hồi khoảng 32.3 triệu đô la Mỹ liên quan đến các sự kiện an ninh và hoạt động gian lận.Giám đốc điều hành Bitget, Gracy Chen, cho biết năm nay là năm thứ ba của hoạt động tháng chống gian lận, Bitget sẽ tiếp tục phát hành nội dung giáo dục an ninh, hướng dẫn nhận diện rủi ro và các hoạt động hợp tác trong ngành, giúp người dùng nâng cao khả năng nhận diện và bảo vệ trước gian lận AI, tấn công lừa đảo và lừa đảo trong các tình huống đa tài sản.

ChainCatcher tin tức, theo giám sát của SlowMist, Little Boy Plus đã bị tấn công, thiệt hại khoảng 377,642 USDT (khoảng 610.555 BNB). Nguyên nhân của lỗ hổng là do hàm _update của hợp đồng LBPHashrate có thể được kích hoạt thông qua việc gọi transferFrom với giá trị bằng không, vượt qua kiểm tra ủy quyền của OpenZeppelin, kẻ tấn công có thể gọi hàm này mà không cần ủy quyền, kích hoạt _harvest và thông qua LBP.mintReward để đúc token LBP vào địa chỉ PancakePair. Việc đúc LBP làm tăng số dư trong bể nhưng không thay đổi dự trữ, kẻ tấn công sau đó đã cạn kiệt USDT thông qua PancakePair.swap.

Tin tức từ ChainCatcher, người sáng lập Slow Mist, Yu Xian, đã viết rằng cuộc tấn công mà Asterix gặp phải tương tự như cuộc tấn công vào Flooring Protocol và BMP hôm qua (giao thức nền tảng một cái là DN404, một cái là BT404), thao tác dịch chuyển ID NFT ở vị trí cao bị tràn và tái sử dụng. Có vẻ như kẻ tấn công đang tìm kiếm các điểm chung trong lỗ hổng.Theo thông tin, Asterix hôm qua đã công bố một sự kiện tấn công ảnh hưởng đến hợp đồng mã thông báo ASTX, cho biết rằng bể thanh khoản Uniswap v4 của họ đã bị tấn công vào ngày 8 tháng 6, kẻ tấn công đã đánh cắp khoảng 30 ETH thông qua 242 giao dịch. Lỗ hổng xuất phát từ việc thiếu kiểm tra giới hạn ID mã thông báo cho các thao tác phê duyệt trong phiên bản đầu tiên của DN404, kẻ tấn công đã lợi dụng việc phê duyệt mã thông báo đã hết hạn, bán mã thông báo trong bể để lấy ETH, sau đó rút mã thông báo tương đương bằng cách giả mạo ID, thao tác lặp đi lặp lại dẫn đến việc cạn kiệt vốn.Hợp đồng thông minh không thể thay đổi và không thể sửa chữa, đội ngũ khuyên người dùng ngừng tương tác với bể và mã thông báo hiện tại, và đang lên kế hoạch triển khai mã thông báo an toàn. Đội ngũ nghi ngờ rằng kẻ tấn công đã sử dụng công cụ AI phiên bản jailbreak để thực hiện kiểm thử mờ nhằm phát hiện các đường dẫn logic không thông thường.

Tin tức từ ChainCatcher, Slow Mist cho biết trên nền tảng X rằng sự kiện tiêm độc vào các công cụ tìm kiếm giả như Codex, Claude Code gần đây đã gia tăng. Họ cho biết đã nhiều lần nhắc nhở rằng kết quả tìm kiếm của Google và các dịch vụ như Google Sites bị lợi dụng bởi các hoạt động đen và xám, nhưng Google vẫn chưa có biện pháp xử lý đối với những phương pháp tiêm độc rõ ràng này.

SlowMist has issued a security alert, detecting an active npm supply chain attack targeting @redhat-cloud-services related packages. Currently, over 31 packages have been confirmed affected, with a weekly download volume of approximately 116,000 times, and stolen credentials exist in more than 300 GitHub repositories. This attack method is highly similar to the previous "Shai-Hulud" npm attack, including credential theft, creation of malicious repositories, and automated secret leakage. New suspicious repositories continue to emerge, indicating that the attack is still ongoing, and developers are still being continuously infected.Potential harms include: theft of GitHub/npm tokens, leakage of AWS/GCP/Azure cloud credentials, collection of SSH keys and Kubernetes secrets, leakage of local environment and wallet data, creation of malicious repositories and persistence operations, and even potentially destructive actions after tokens are revoked. It is recommended to immediately remove or downgrade affected @redhat-cloud-services package versions, conduct a comprehensive audit of CI/CD workflows and dependency installations, rotate all GitHub, npm, cloud service, SSH, and wallet-related keys, retain logs, and rebuild exposed developer machines or Runners from clean images while maintaining a high level of vigilance.