Forwarded from Mutt Technologies (Mutt)
10월은 업토버가 아니라 해킹토버일수도?
이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데,
Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님)
Railway 랑 별개로 지금 GitLab에는 임의의 사용자가 깃랩 서버 탈취 및 원격코드실행을 할 수 있는 CVSS 10.0 취약점이 올라와서 초긴급 패치가 요구되는 상황.
이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데,
Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님)
Railway 랑 별개로 지금 GitLab에는 임의의 사용자가 깃랩 서버 탈취 및 원격코드실행을 할 수 있는 CVSS 10.0 취약점이 올라와서 초긴급 패치가 요구되는 상황.
X (formerly Twitter)
Railway (@Railway) on X
An urgent notice from the Railway team
https://t.co/niUAhTAQJM
https://t.co/niUAhTAQJM
Mutt Technologies
10월은 업토버가 아니라 해킹토버일수도?
+ 최근 추가 발견된 취약점
- Node.js 26, 24, 22에서 RCE 취약점 발견 및 패치
- QUIC 프로토콜 특정 라이브러리 사용하는 서버를 누구나 임의로 꺼버릴 수 있는 제로데이 발견 (패치 안된것도 있는듯)
- Oracle Java에서 자격증명 우회 취약점 발견 및 패치
- Node.js 26, 24, 22에서 RCE 취약점 발견 및 패치
- QUIC 프로토콜 특정 라이브러리 사용하는 서버를 누구나 임의로 꺼버릴 수 있는 제로데이 발견 (패치 안된것도 있는듯)
- Oracle Java에서 자격증명 우회 취약점 발견 및 패치
nodejs.org
Node.js — Wednesday, October 21, 2026 Security Releases
Node.js® is a free, open-source, cross-platform JavaScript runtime environment that lets developers create servers, web apps, command line tools and scripts.
아르키움이 이번에 출시한 MPC 기반 기밀 컴퓨팅 프레임워크 Blackthorn에 대한 아티클을 쓰게되었습니다.
이전에 TEE쪽을 많이 봐왔던만큼 현재 AI 기밀 컴퓨팅 환경을 구축하는 데에 있어서 TEE가 얼마나 접근성에 있어서 한계점을 갖는지를 적절히 다루는 데에 힘을 좀 썼는데, 납득이 가는 글이었으면 좋겠네요.
https://research.4pillars.io/ko/research/blackthorn-the-frontier-of-confidential-ai
이전에 TEE쪽을 많이 봐왔던만큼 현재 AI 기밀 컴퓨팅 환경을 구축하는 데에 있어서 TEE가 얼마나 접근성에 있어서 한계점을 갖는지를 적절히 다루는 데에 힘을 좀 썼는데, 납득이 가는 글이었으면 좋겠네요.
https://research.4pillars.io/ko/research/blackthorn-the-frontier-of-confidential-ai
FP RESEARCH
[Article] 아르키움 블랙손(Blackthorn): 기밀 AI의 최전선을 향해 | FP RESEARCH
본 글에서는 AI 서비스에서 프롬프트가 평문으로 처리되는 문제와 반복적으로 뚫려 온 x86 CPU TEE의 한계를 짚고, CPU TEE 대신 MPC와 NVIDIA GPU 기밀 컴퓨팅 모드를 결합한 Arcium Blackthorn의 구조, 성능, 시장 가능성, 한계에 대해 살펴봅니다.
👍2
아이폰 듀오 하드웨어 테스트 리뷰 영상이 핫하네요. 사진은 1만번 접은 뒤인데 생각보다 주름이 좀 지는듯
https://x.com/mediastorm_en/status/2112940762291941794?s=46
https://x.com/mediastorm_en/status/2112940762291941794?s=46
V12 팀에서 x402 코드베이스에서 25개 취약점 발견 (3 critical / 13 high / 9 mid-low, 8월에 제보해 패치 완료)
crit1: 솔라나용 타입스크립트 퍼실리테이터가 인스트럭션 검증 부실로 인해 approval 트랜잭션을 transfer로 오인시켜 결제 완료 처리해버릴 수 있음
crit2: 지갑 로그인 사용하는 클라이언트가 서버로부터 402 응답과 함께 전달받은 로그인 메시지를 서명할 때 메시지 내 도메인과 uri가 실제 접속한 사이트와 일치하는지 검증하지 않음. 공격자가 악의적으로 타겟의 월렛 계정에 임의로 로그인해버릴 수 있는 취약점
crit3: 문서상 기본 클라이언트 설정에 1회 결제 한도나 지출 예산 정책이 구현되어있지 않음. 서버가 제시한 결제 옵션의 금액을 그대로 서명 모듈에 전달하기 때문에 서버가 탈취당하거나 하는 경우 신뢰하던 서비스에 서명하고 밸런스를 다 빨려버릴 수 있음
https://v12.sh/blog/x402
crit1: 솔라나용 타입스크립트 퍼실리테이터가 인스트럭션 검증 부실로 인해 approval 트랜잭션을 transfer로 오인시켜 결제 완료 처리해버릴 수 있음
crit2: 지갑 로그인 사용하는 클라이언트가 서버로부터 402 응답과 함께 전달받은 로그인 메시지를 서명할 때 메시지 내 도메인과 uri가 실제 접속한 사이트와 일치하는지 검증하지 않음. 공격자가 악의적으로 타겟의 월렛 계정에 임의로 로그인해버릴 수 있는 취약점
crit3: 문서상 기본 클라이언트 설정에 1회 결제 한도나 지출 예산 정책이 구현되어있지 않음. 서버가 제시한 결제 옵션의 금액을 그대로 서명 모듈에 전달하기 때문에 서버가 탈취당하거나 하는 경우 신뢰하던 서비스에 서명하고 밸런스를 다 빨려버릴 수 있음
https://v12.sh/blog/x402
🤔1
Please open Telegram to view this post
VIEW IN TELEGRAM
오픈AI에서 지수시간가설(Expoential Time Hypothesis)이 거짓임을 증명하고, 이를 Lean으로 검증까지 마쳤다고 공개해 수학/컴공학계에 충격을 주고있습니다.
지수시간가설은 난제(np-complete)의 해를 찾는 알고리즘의 하한선을 제시하는 데에 주로 쓰이는 개념인데, 난제급 문제라면 아무리 효율적인 알고리즘을 짜더라도 2^O(n), 즉 지수시간보다 빠르게 풀 수 없음을 못박아두는 가설입니다.
오픈AI에서는 이중 일부의 집합에 대해 지수시간가설이 틀렸음을 증명했다고 주장하고 있는데, 사실이라면 지수시간가설에 기반해 결론을 냈던 수많은 문제들의 최적해가 뒤집힐 수 있는 가능성이 생깁니다. 내가 보고있는게 맞나..
https://x.com/danintheory/status/2114833682469122314?s=20
지수시간가설은 난제(np-complete)의 해를 찾는 알고리즘의 하한선을 제시하는 데에 주로 쓰이는 개념인데, 난제급 문제라면 아무리 효율적인 알고리즘을 짜더라도 2^O(n), 즉 지수시간보다 빠르게 풀 수 없음을 못박아두는 가설입니다.
오픈AI에서는 이중 일부의 집합에 대해 지수시간가설이 틀렸음을 증명했다고 주장하고 있는데, 사실이라면 지수시간가설에 기반해 결론을 냈던 수많은 문제들의 최적해가 뒤집힐 수 있는 가능성이 생깁니다. 내가 보고있는게 맞나..
https://x.com/danintheory/status/2114833682469122314?s=20
Forwarded from Steve’s Catallaxy
AI가 발전할수록 콘텐츠의 질은 나빠질 수도 있겠다는 생각.
물론 이것도 과도기에 발생하는 문제일 수도 있겠지만, AI가 콘텐츠 크리에이션 과정에 상당 부분 참여하니까 사람은 주어진 시간 내에 최대한 좋은 퀄리티의 콘텐츠를 더 많이 찍어내고 싶어 하고, 그게 오히려 주의력을 분산시켜서 애매한 콘텐츠를 양산하는 경우도 많은 것 같습니다.
제 자신이 그런 것 같은데. PPT를 만들더라도 클로드 디자인이 알아서 해주니까 디테일한 부분들(클로드가 자체적으로 가져온 데이터)은 제가 검수하지도 않고 PPT로 만들어지는 부분들도 있는 것 같고, 장표를 만들 때도 오히려 피그마에서 한 땀 한 땀 만들었던 시절보다 정확도가 떨어지는 느낌.
동시에 여러 가지를 만들다 보니 중구난방이고 콘텐츠의 논리적 일관성도 부족하다고 느껴지고. 이런 거 검수 없이 나가면 이제 대참사가 벌어지는 건데, 결국 AI가 애매하게 좋은 상황에서는 AI를 사용하는 사람들의 주의력이 분산돼서 콘텐츠의 양은 많아질 수 있어도 절대적인 질 측면에서는 떨어지는 현상이 목격되는 것 같네요.
제 최근 콘텐츠들을 보면서 스스로 느끼고 있는 부분입니다.
AI를 쓰더라도 하나의 작업물에 오롯이 집중하려는 습관을 들여야 할 것 같네요.
물론 이것도 과도기에 발생하는 문제일 수도 있겠지만, AI가 콘텐츠 크리에이션 과정에 상당 부분 참여하니까 사람은 주어진 시간 내에 최대한 좋은 퀄리티의 콘텐츠를 더 많이 찍어내고 싶어 하고, 그게 오히려 주의력을 분산시켜서 애매한 콘텐츠를 양산하는 경우도 많은 것 같습니다.
제 자신이 그런 것 같은데. PPT를 만들더라도 클로드 디자인이 알아서 해주니까 디테일한 부분들(클로드가 자체적으로 가져온 데이터)은 제가 검수하지도 않고 PPT로 만들어지는 부분들도 있는 것 같고, 장표를 만들 때도 오히려 피그마에서 한 땀 한 땀 만들었던 시절보다 정확도가 떨어지는 느낌.
동시에 여러 가지를 만들다 보니 중구난방이고 콘텐츠의 논리적 일관성도 부족하다고 느껴지고. 이런 거 검수 없이 나가면 이제 대참사가 벌어지는 건데, 결국 AI가 애매하게 좋은 상황에서는 AI를 사용하는 사람들의 주의력이 분산돼서 콘텐츠의 양은 많아질 수 있어도 절대적인 질 측면에서는 떨어지는 현상이 목격되는 것 같네요.
제 최근 콘텐츠들을 보면서 스스로 느끼고 있는 부분입니다.
AI를 쓰더라도 하나의 작업물에 오롯이 집중하려는 습관을 들여야 할 것 같네요.
👍3
Forwarded from 정열맨김봉봉
㈜ 청년열정마라두바이쫀득민트초코손맛푸드
1. Privy에서 돈빼기
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
X에서 내용 대충 살펴보니까 Privy 자체의 문제가 아니고 Predictfun api docs의 프론트를 공격해서 탈취한듯?
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
정열맨김봉봉
Predictfun api docs의 프론트를 공격해서 탈취
저도 프레딕펀 사고 관련해서는 서드파티가 호스팅하는 api docs 페이지가 탈취당했다라고 알고 있었는데, 팀에서 정확한 정황을 아직 공개를 안해서 키가 탈취되었는지 여부까지는 알려지지 않은 상황입니다.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
이번 로빈후드 어닝콜 보고나서 든 로빈후드 생태계에 대한 개인적인 생각을 정리해보았습니다.
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
X (formerly Twitter)
c4lvin on X: "Some Thoughts on the Robinhood Ecosystem After its Q3 Earnings Call" / X
👍4
Forwarded from Steve’s Catallaxy
스탠리 드러켄밀러가 투자한 Trade [XYZ]에 대해서 리서치를 한 회사는 전 세계에 아마 저희 아니면 블록웍스가 전부일 겁니다.
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
FP RESEARCH
[Report] Trade[xyz] Q1 2026 리포트 | FP RESEARCH
Trade[XYZ]는 이 프레임워크 아래 가장 먼저 배포한 팀이며, 지금까지도 압도적인 1위 자리를 지키고 있다. 전체 HIP-3 거래량의 약 85~90%를 차지한다. 일일 수십억 달러 규모의 거래량을 처리하고 있고, 진정한 주말 가격 디스커버리의 초기 신호들이 나타나고 있다는 점은 단
Forwarded from ㈜ 청년열정마라두바이쫀득민트초코손맛푸드
[ 간밤에 있던 일 대충 정리 ]
자기 전에 분위기 좋았는데 일어나니 가격이 좀 이상하죠.. 지금부터 하는 말을 놀라지 말고 잘 들으세요
1/ 간밤에 인텔이 실적발표 이후 주가 -22%을 맞았습니다.
2/ 바이낸스가 해킹을 당했습니다. 출금도 되지 않는 상태입니다.
3/ 존나 크게 해킹당했습니다. 역사상 압도적 최대 해킹이었던 바이빗 해킹이 1.5B이 안됐는데 바이낸스 해킹은 현재 추정되기로 거의 6B정도가 해킹되었습니다....
4/ 다행히 해킹된 자산중 3B에 가까운 금액의 자산이 동결처리가 되었습니다.
5/ 하지만 계속해서 각종 알트가 덤핑대고 있고, 비트나 이더같은건 애초 동결도 안되는 자산입니다....
6/ 짱펑자오는 해킹이 맞긴 하고, 털린 자금에 대해서는 충분히 감당할 수 있다고 트윗을 한 상태입니다
7/ 제일 궁금한건 뭐 먹을건 없었냐겠죠? 어쩌피 깨어 있어도 할 수 있는 플레이는 거의 없었습니다. 같이 밤 샌 모두가 손가락만 빠느라 엄지가 통통해진 상태입니다
자기 전에 분위기 좋았는데 일어나니 가격이 좀 이상하죠.. 지금부터 하는 말을 놀라지 말고 잘 들으세요
1/ 간밤에 인텔이 실적발표 이후 주가 -22%을 맞았습니다.
2/ 바이낸스가 해킹을 당했습니다. 출금도 되지 않는 상태입니다.
3/ 존나 크게 해킹당했습니다. 역사상 압도적 최대 해킹이었던 바이빗 해킹이 1.5B이 안됐는데 바이낸스 해킹은 현재 추정되기로 거의 6B정도가 해킹되었습니다....
4/ 다행히 해킹된 자산중 3B에 가까운 금액의 자산이 동결처리가 되었습니다.
5/ 하지만 계속해서 각종 알트가 덤핑대고 있고, 비트나 이더같은건 애초 동결도 안되는 자산입니다....
6/ 짱펑자오는 해킹이 맞긴 하고, 털린 자금에 대해서는 충분히 감당할 수 있다고 트윗을 한 상태입니다
7/ 제일 궁금한건 뭐 먹을건 없었냐겠죠? 어쩌피 깨어 있어도 할 수 있는 플레이는 거의 없었습니다. 같이 밤 샌 모두가 손가락만 빠느라 엄지가 통통해진 상태입니다
으아아악 글쓰는 사이 ENA도 던져진다😱
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from 돈포하 I Dont focus on hype
이번 사건에 대해 관심이 많으신 분은 꼭 이 글 읽어보셨으면 좋겠고,
몇가지 캐치할만한 게 있긴 함.
몇가지 캐치할만한 게 있긴 함.
1. 처음에 해커가 해킹 당일 전날에 토네이도 캐시에서 자금을 받아 미리 테스트해본 점.
(= 앞으로 거래소가 "토네이도 캐시 펀디드 지갑" 전담 직원이나 팀을 두는 것도 경제적으로 기대 가치가 높으면 높지, 적진 않을듯 )
2. 해커가 바이낸스 XRP Network, RLUSD 출금 -> XRP 출금 순서로 진행했는데 리플은 특성 상 XRP를 보내지 않으면 계좌가 활성화되지 않아 RLUSD 출금에 실패했음. (= 해커도 실수는 한다)
바낸 해커가 실수로 뉴턴 토큰 컨트랙트에 1M치 토큰을 전송함. 너네 이 많은걸 아직도 복붙해서 전송하니..
https://x.com/spreekaway/status/2116034505396162885?a=UPKragXS24HROJzutE4
https://x.com/spreekaway/status/2116034505396162885?a=UPKragXS24HROJzutE4