Forwarded from AI MASTERS
[ 속보 ] 유명 Web App Deploy 플랫폼 'Vercel'이 현재 데이터들이 유출 되었다고 합니다.
바이브코딩 하면서 Vercel 에 민감한 데이터 (ex: GPT API, 개인 Env Var..등등) 은 새로 발급 받으시는걸 추천 드립니다.
원본 트윗
바이브코딩 하면서 Vercel 에 민감한 데이터 (ex: GPT API, 개인 Env Var..등등) 은 새로 발급 받으시는걸 추천 드립니다.
원본 트윗
❤1
Defillama 창업자가 말하는 KelpDAO 현실적인 대안 3개
1. 모두가 연대책임으로 두들겨맞자
2. rsETH만 죽이자
3. 스냅샷이용해서 일부를 살리자
https://x.com/0xngmi/status/2045990123414970662
1. 모두가 연대책임으로 두들겨맞자
2. rsETH만 죽이자
3. 스냅샷이용해서 일부를 살리자
https://x.com/0xngmi/status/2045990123414970662
❤1
Forwarded from 인후는 외롭지 않아요. (inhu|기웃기웃)
폐지줍기 연구소
레이어제로, KelpDAO 사태 관련 사고보고서 ON https://x.com/LayerZero_Core/status/2046081551574983137
레이어제로, 사건보고서 간단요약
-이번 해킹은 LayerZero 자체 문제가 아닌 KelpDAO의 rsETH 설정 문제
-1-of-1 DVN 설정 문제이며 프라이빗 키 탈취가 아닌 DVN이 의존하던 하위 RPC 인프라를 오염시켰음
-op-geth 바이너리 바꿔치기, RPC 스푸핑 공격, 정상 RPC 대상 DDos 공격 등 복합적인 공격이 발생함
-이로 인해 DVN이 실제 발생하지 않은 허위 트랜잭션까지 승인하게 된 검증 경로 교란 공격에 가까움
-사후 RPC 교체했고 1-of-1 DVN 쓰는 고객 앱들 대상 멀티 DVN 교체 요구했으며 1-of-1 DVN 앱에는 DVN이 서명하지 않도록 개선함
원문
폐지줍기 연구소
레이어제로, 사건보고서 간단요약 -이번 해킹은 LayerZero 자체 문제가 아닌 KelpDAO의 rsETH 설정 문제 -1-of-1 DVN 설정 문제이며 프라이빗 키 탈취가 아닌 DVN이 의존하던 하위 RPC 인프라를 오염시켰음 -op-geth 바이너리 바꿔치기, RPC 스푸핑 공격, 정상 RPC 대상 DDos 공격 등 복합적인 공격이 발생함 -이로 인해 DVN이 실제 발생하지 않은 허위 트랜잭션까지 승인하게 된 검증 경로 교란 공격에 가까움 …
이걸 근데 100% KelpDAO의 잘못으로 볼 수 있을까?
1. 1-of-1 DVN에 대한 조치가 왜 없었나
1-of-1 DVN이 구조적으로 취약하다는 것은 이미 레이어제로 팀에서도 알고 있었으면 권고 수준이 아니라 설정 단계에 기본적으로 1-of-1을 못하도록 설정했어야 하는 것 아닌지?
2. 결국은 DVN의 문제
결과적으로 Kelp DAO의 DVN 키 유출 문제가 아니라 RPC 오염 공격으로 DVN이 위조 메시지를 승인한 문제면 검증 프로세스 문제인데 이걸 온전히 KelpDAO의 셋업 문제로 치부하기엔 좀 문제가 있지않나
1. 1-of-1 DVN에 대한 조치가 왜 없었나
1-of-1 DVN이 구조적으로 취약하다는 것은 이미 레이어제로 팀에서도 알고 있었으면 권고 수준이 아니라 설정 단계에 기본적으로 1-of-1을 못하도록 설정했어야 하는 것 아닌지?
2. 결국은 DVN의 문제
결과적으로 Kelp DAO의 DVN 키 유출 문제가 아니라 RPC 오염 공격으로 DVN이 위조 메시지를 승인한 문제면 검증 프로세스 문제인데 이걸 온전히 KelpDAO의 셋업 문제로 치부하기엔 좀 문제가 있지않나
❤2
Forwarded from Mutt Technologies (Mutt)
근데 전체적인 내용을 읽어보면 핵심은
• LayerZero 가 직접 운영하는 DVN이 털림
• 근데 Kelp는 rsETH 를 세팅할때 이 DVN 만 전적으로 신뢰하도록 구성함
• LayerZero Labs: 하여간 우리는 이렇게 하지말라고 했다 그니까 우리탓 0%이고 싹다 니들탓. 보상은 언급도 안함
이란 건데
• 애초에 왜 1-of-1 구성이 허용이 되었고 (그리고 자기들 탓 아니라면서 이제와서는 1-of-1 은 못쓰게 정책 바꿀 거라고 예고함)
• 가짜 메시지가 주장한 브릿지 출발체인이었던 Unichain 에는 애초에 42 rsETH밖에 없었는데 110,000 rsETH 를 꺼내가는걸 허용할 정도로 sanity check 가 엉망이고 (https://x.com/banteg/status/2045614712381923530)
• 애초에 털린건 LayerZero 가 운영하는 DVN인게 맞는데 자기들 책임이 0% 라고 하는게 맞는건가??
아무리 법적으로 여지 하나도 안주고 방어를 하고 싶다지만 논조가 싸가지가 없음
• LayerZero 가 직접 운영하는 DVN이 털림
• 근데 Kelp는 rsETH 를 세팅할때 이 DVN 만 전적으로 신뢰하도록 구성함
• LayerZero Labs: 하여간 우리는 이렇게 하지말라고 했다 그니까 우리탓 0%이고 싹다 니들탓. 보상은 언급도 안함
이란 건데
• 애초에 왜 1-of-1 구성이 허용이 되었고 (그리고 자기들 탓 아니라면서 이제와서는 1-of-1 은 못쓰게 정책 바꿀 거라고 예고함)
• 가짜 메시지가 주장한 브릿지 출발체인이었던 Unichain 에는 애초에 42 rsETH밖에 없었는데 110,000 rsETH 를 꺼내가는걸 허용할 정도로 sanity check 가 엉망이고 (https://x.com/banteg/status/2045614712381923530)
• 애초에 털린건 LayerZero 가 운영하는 DVN인게 맞는데 자기들 책임이 0% 라고 하는게 맞는건가??
아무리 법적으로 여지 하나도 안주고 방어를 하고 싶다지만 논조가 싸가지가 없음
X (formerly Twitter)
banteg (@banteg) on X
it's really crazy that layerzero doesn't have some redundant sanity check and allows to bridge 116,500 rseth from a chain with a supply of 49
anyway here is my investigation https://t.co/4J0f7fsc…
anyway here is my investigation https://t.co/4J0f7fsc…
❤4
Forwarded from 약국
Billions 에어드랍 등록
기간이 매우짧으니 에드작하신분들은 바로바로 등록 고고혓
https://community.billions.network/
등록기간
4월 20일 오후 5시~
4월 24일 오후 5시 까지
기간이 매우짧으니 에드작하신분들은 바로바로 등록 고고혓
❤2
🟢 Sealcoin, 프로젝트 소개 및 Spacedrop 오픈 소식 🎆 🎇
잠시 후 코인소년님과의 AMA도 있다고 하니 관심있으시 분들은 참여해보시면 좋을 듯 합니다.
웹사이트|트위터|텔레그램(공식)|텔레그램(KR)
✅ Sealcoin?
-IoT 기기간 검증된 데이터를 전송하고 이를 바탕으로 자율적으로 거래, 정산할 수 있는 인프라
-IoT + AI + BlockChain을 연결하는 Machine Economy 인프라 지향
✅ 주요 포인트: WISeKey
-WISeKey의 보안 기술 기반으로 기기 내부에 지갑과 Secure Element를 직접 넣는 구조
-소프트웨어 기반이 아닌 기기 자체가 신뢰 가능한 디지털 ID를 갖도록 설계
✅ 기타특징
-Hedera를 기반으로 처리속도, 수수료 안정성, 거버넌스 측면에서 실제 산업 적용 염두 (예측 가능한 수수료를 기반으로 실사용 서비스에서 이점)
-$QAIT은 단순 거래용이 아닌 유틸리티 + 결제 기능을 함께 지원하며 PoSy(Pool of Security) 기반으로 기기를 직접 보유하지 않아도 네트워크 참여 가능
✅ Spacedrop
-미션을 통해 Sealcoin 생태계에 직접 참여하여 포인트 및 SBT를 획득할 수 있는 구조
-해당 페이지를 통해 참여 가능
잠시 후 코인소년님과의 AMA도 있다고 하니 관심있으시 분들은 참여해보시면 좋을 듯 합니다.
웹사이트|트위터|텔레그램(공식)|텔레그램(KR)
Please open Telegram to view this post
VIEW IN TELEGRAM
🟢 KelpDAO 사태 익스포저 간단 정리
트위터로 입장표명한 곳 위주로 간단하게 정리해봤습니다. 팔로업 못한 곳이 꽤 많으니 참고용도로만...
트위터로 입장표명한 곳 위주로 간단하게 정리해봤습니다. 팔로업 못한 곳이 꽤 많으니 참고용도로만...
✅ 직접 노출된 곳
-KelpDAO
-Aave V3
-Compound V3
-Euler (1M 미만)
✅ 상품 및 전략 직접 노출
-Lido earnETH
-Upshift High Growth ETH / Kelp Gain vaults
-Pendle
-Beefy
-Yearn
✅ 노출 되지 않은 곳
-SparkLend (동결조치만)
-Morpho (동결조치만)
-Fluid (동결조치만)
-Reserve
-Venus
-Kamino
-Gauntlet Vaults / Strategies
-Yearn
-Ethena
-Treehouse
❤1