Forwarded from 정열맨김봉봉
㈜ 청년열정마라두바이쫀득민트초코손맛푸드
1. Privy에서 돈빼기
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
X에서 내용 대충 살펴보니까 Privy 자체의 문제가 아니고 Predictfun api docs의 프론트를 공격해서 탈취한듯?
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
정열맨김봉봉
Predictfun api docs의 프론트를 공격해서 탈취
저도 프레딕펀 사고 관련해서는 서드파티가 호스팅하는 api docs 페이지가 탈취당했다라고 알고 있었는데, 팀에서 정확한 정황을 아직 공개를 안해서 키가 탈취되었는지 여부까지는 알려지지 않은 상황입니다.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
이번 로빈후드 어닝콜 보고나서 든 로빈후드 생태계에 대한 개인적인 생각을 정리해보았습니다.
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
X (formerly Twitter)
c4lvin on X: "Some Thoughts on the Robinhood Ecosystem After its Q3 Earnings Call" / X
👍4
Forwarded from Steve’s Catallaxy
스탠리 드러켄밀러가 투자한 Trade [XYZ]에 대해서 리서치를 한 회사는 전 세계에 아마 저희 아니면 블록웍스가 전부일 겁니다.
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
FP RESEARCH
[Report] Trade[xyz] Q1 2026 리포트 | FP RESEARCH
Trade[XYZ]는 이 프레임워크 아래 가장 먼저 배포한 팀이며, 지금까지도 압도적인 1위 자리를 지키고 있다. 전체 HIP-3 거래량의 약 85~90%를 차지한다. 일일 수십억 달러 규모의 거래량을 처리하고 있고, 진정한 주말 가격 디스커버리의 초기 신호들이 나타나고 있다는 점은 단
Forwarded from ㈜ 청년열정마라두바이쫀득민트초코손맛푸드
[ 간밤에 있던 일 대충 정리 ]
자기 전에 분위기 좋았는데 일어나니 가격이 좀 이상하죠.. 지금부터 하는 말을 놀라지 말고 잘 들으세요
1/ 간밤에 인텔이 실적발표 이후 주가 -22%을 맞았습니다.
2/ 바이낸스가 해킹을 당했습니다. 출금도 되지 않는 상태입니다.
3/ 존나 크게 해킹당했습니다. 역사상 압도적 최대 해킹이었던 바이빗 해킹이 1.5B이 안됐는데 바이낸스 해킹은 현재 추정되기로 거의 6B정도가 해킹되었습니다....
4/ 다행히 해킹된 자산중 3B에 가까운 금액의 자산이 동결처리가 되었습니다.
5/ 하지만 계속해서 각종 알트가 덤핑대고 있고, 비트나 이더같은건 애초 동결도 안되는 자산입니다....
6/ 짱펑자오는 해킹이 맞긴 하고, 털린 자금에 대해서는 충분히 감당할 수 있다고 트윗을 한 상태입니다
7/ 제일 궁금한건 뭐 먹을건 없었냐겠죠? 어쩌피 깨어 있어도 할 수 있는 플레이는 거의 없었습니다. 같이 밤 샌 모두가 손가락만 빠느라 엄지가 통통해진 상태입니다
자기 전에 분위기 좋았는데 일어나니 가격이 좀 이상하죠.. 지금부터 하는 말을 놀라지 말고 잘 들으세요
1/ 간밤에 인텔이 실적발표 이후 주가 -22%을 맞았습니다.
2/ 바이낸스가 해킹을 당했습니다. 출금도 되지 않는 상태입니다.
3/ 존나 크게 해킹당했습니다. 역사상 압도적 최대 해킹이었던 바이빗 해킹이 1.5B이 안됐는데 바이낸스 해킹은 현재 추정되기로 거의 6B정도가 해킹되었습니다....
4/ 다행히 해킹된 자산중 3B에 가까운 금액의 자산이 동결처리가 되었습니다.
5/ 하지만 계속해서 각종 알트가 덤핑대고 있고, 비트나 이더같은건 애초 동결도 안되는 자산입니다....
6/ 짱펑자오는 해킹이 맞긴 하고, 털린 자금에 대해서는 충분히 감당할 수 있다고 트윗을 한 상태입니다
7/ 제일 궁금한건 뭐 먹을건 없었냐겠죠? 어쩌피 깨어 있어도 할 수 있는 플레이는 거의 없었습니다. 같이 밤 샌 모두가 손가락만 빠느라 엄지가 통통해진 상태입니다
으아아악 글쓰는 사이 ENA도 던져진다😱
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from 돈포하 I Dont focus on hype
이번 사건에 대해 관심이 많으신 분은 꼭 이 글 읽어보셨으면 좋겠고,
몇가지 캐치할만한 게 있긴 함.
몇가지 캐치할만한 게 있긴 함.
1. 처음에 해커가 해킹 당일 전날에 토네이도 캐시에서 자금을 받아 미리 테스트해본 점.
(= 앞으로 거래소가 "토네이도 캐시 펀디드 지갑" 전담 직원이나 팀을 두는 것도 경제적으로 기대 가치가 높으면 높지, 적진 않을듯 )
2. 해커가 바이낸스 XRP Network, RLUSD 출금 -> XRP 출금 순서로 진행했는데 리플은 특성 상 XRP를 보내지 않으면 계좌가 활성화되지 않아 RLUSD 출금에 실패했음. (= 해커도 실수는 한다)
바낸 해커가 실수로 뉴턴 토큰 컨트랙트에 1M치 토큰을 전송함. 너네 이 많은걸 아직도 복붙해서 전송하니..
https://x.com/spreekaway/status/2116034505396162885?a=UPKragXS24HROJzutE4
https://x.com/spreekaway/status/2116034505396162885?a=UPKragXS24HROJzutE4
악의적으로 조작된 렛저를 팔았던 CryptoBills에서 트레저도 팔았던 것으로.. 렛저와 비슷한 방식으로 개조되었다고함
https://trezor.io/blog/news/implant-reported-in-a-trezor-sold-by-cryptobilis
https://trezor.io/blog/news/implant-reported-in-a-trezor-sold-by-cryptobilis
Forwarded from .dms (Pe Pe .dms)
조사 업데이트: 초기 조사 결과 보안 사고가 손상된 노트북과 관련되었을 가능성이 있음을 시사했으나, 후속 조사에서 추가 침투 지점이 드러났습니다.
https://x.com/binance/status/2116089661408108712?a=O6mydt5_x64jAQjdl3I&s=20
https://x.com/binance/status/2116089661408108712?a=O6mydt5_x64jAQjdl3I&s=20
CFTC 의장: 거래소들 CFTC에 등록하고 연방 규제 받아라.. 이참에 규제공백 채우자
https://x.com/AggrNews/status/2116193720248811574?a=ZM-HNNoZDdJyXYFEYZ0&s=20
https://x.com/AggrNews/status/2116193720248811574?a=ZM-HNNoZDdJyXYFEYZ0&s=20
Ambire에서 하드웨어 월렛을 출시했네요. 시점이 공교롭긴 하지만..
특이하게도 오픈 소프트웨어 / 오픈 하드웨어 / 오픈 펌웨어로, 따로 돈주고 구매하지 않더라도 제작에 필요한 파일을 내려받아 직접 제작할 수 있다는 것.. 환경이 된다면 만들어써봐도 되겠네요.
프리오더가 열려있길래 저는 재미삼아 하나 예약해봤습니다.
https://x.com/ambire/status/2116166101000151238?a=Z3-IFSe9Flw8ff8W0ok&s=20
특이하게도 오픈 소프트웨어 / 오픈 하드웨어 / 오픈 펌웨어로, 따로 돈주고 구매하지 않더라도 제작에 필요한 파일을 내려받아 직접 제작할 수 있다는 것.. 환경이 된다면 만들어써봐도 되겠네요.
프리오더가 열려있길래 저는 재미삼아 하나 예약해봤습니다.
https://x.com/ambire/status/2116166101000151238?a=Z3-IFSe9Flw8ff8W0ok&s=20
Forwarded from ㈜ 청년열정마라두바이쫀득민트초코손맛푸드
지캐시 홀더들은 알면 좋은 지캐시의 ZCG 거버넌스 이야기
1/ 지캐시는 초기 인센티브로 블록보상의 20%가 개발자나 초기투자자, 팀원들에게 돌아가는 구조가 존재했어요.
2/ 지캐시는 10년역사의 코인으로, 꾸준히 이 구조가 변화했는데.. 아무튼 이 20%의 Dev Fund중 8%는 그랜츠 몫으로.. 'ZCG'이라는 곳으로 흘러들어가거든요.
3/ ZCG는 'Zcash Community Grants' 의 줄임으로, 지캐시 커뮤니티 그랜츠에요. 지캐시 생태계를 지원하기 위한 그랜츠 자금을 위한 프로그램인데...
4/ 문제는 $ZCASH가 최근에 굉장히 급등을 했죠? 예전에 여기에 8%를 할당하기로 정했던 시점 대비 가격이 너무 높아진거에요.
5/ 이에 지캐시의 파운더, Sean Bowe가 이걸 이제 그만두자는 의견을 낸게 이 논쟁의 시작이에요.
6/ 현재 이거에 대해 여러 절충안이나 의견들이 올라오며 지캐시도 내부적으로 살짝의 갈등도 생긴 상황. 왜 갈등이 생기냐면..
7/ 이걸 강력하게 주장하는 녀석들중엔 지캐시의 채굴관련해서 강력한 경제적 이해관계가 있는 사람들이 (=대표적으로 윙클보스 형제) 많기도 하고, 지캐시엔 여전히 그랜츠가 여전히 필요하다고 생각하는 사람도 있고.. 아무튼 다양한 생각과 의견이 교차중인 상황이에요.
8/ 다양한 의견이 있는데 주된 내용을 조금 정리하자면...
이정도만 읽어봐도 좋을듯.
정말 겉핥기로만 적어봤는데, 혹시 이 거버넌스에 대해 더 궁금하신 분들은 뱅크리스에서 역사부터 논란의 배경, 각종 제안들을 잘 정리해뒀어요. 더 궁금하신 분들만 읽어보시면 됩니다.
하하.. 늘 이런거 쓰기 전에 "알아서 뭐하냐" 하는 반응이 나올거같아 저어스럽다가도, 이런거 다 가격과도 밀접한 이야기니깐...
1/ 지캐시는 초기 인센티브로 블록보상의 20%가 개발자나 초기투자자, 팀원들에게 돌아가는 구조가 존재했어요.
2/ 지캐시는 10년역사의 코인으로, 꾸준히 이 구조가 변화했는데.. 아무튼 이 20%의 Dev Fund중 8%는 그랜츠 몫으로.. 'ZCG'이라는 곳으로 흘러들어가거든요.
3/ ZCG는 'Zcash Community Grants' 의 줄임으로, 지캐시 커뮤니티 그랜츠에요. 지캐시 생태계를 지원하기 위한 그랜츠 자금을 위한 프로그램인데...
4/ 문제는 $ZCASH가 최근에 굉장히 급등을 했죠? 예전에 여기에 8%를 할당하기로 정했던 시점 대비 가격이 너무 높아진거에요.
5/ 이에 지캐시의 파운더, Sean Bowe가 이걸 이제 그만두자는 의견을 낸게 이 논쟁의 시작이에요.
6/ 현재 이거에 대해 여러 절충안이나 의견들이 올라오며 지캐시도 내부적으로 살짝의 갈등도 생긴 상황. 왜 갈등이 생기냐면..
7/ 이걸 강력하게 주장하는 녀석들중엔 지캐시의 채굴관련해서 강력한 경제적 이해관계가 있는 사람들이 (=대표적으로 윙클보스 형제) 많기도 하고, 지캐시엔 여전히 그랜츠가 여전히 필요하다고 생각하는 사람도 있고.. 아무튼 다양한 생각과 의견이 교차중인 상황이에요.
8/ 다양한 의견이 있는데 주된 내용을 조금 정리하자면...
ⓐ Sean Bowe 의 최초 의견 - ZCG 자금유입을 끊자
https://x.com/ebfull/status/2114911107718742451
ⓑ Sean Bowe + Zooko 타협안
https://x.com/ebfull/status/2116188168005582914
ⓒ ZCG 측의 공식대응 + 일부 포기안
https://x.com/ZcashCommGrants/status/2115806903184101544
이정도만 읽어봐도 좋을듯.
정말 겉핥기로만 적어봤는데, 혹시 이 거버넌스에 대해 더 궁금하신 분들은 뱅크리스에서 역사부터 논란의 배경, 각종 제안들을 잘 정리해뒀어요. 더 궁금하신 분들만 읽어보시면 됩니다.
뱅크리스 글 https://www.bankless.com/read/zcashs-dev-fund-has-a-success-problem
Forwarded from ㈜ 청년열정마라두바이쫀득민트초코손맛푸드
Shaw는 결국 펌프펀 리버스 엔지니어링을 성공했군요. 아예 바이트 숫자까지 같은 완전히 똑같은 코드로 구현했다는듯.
이걸 재미로만 하는게 아니라, Shaw는 프로젝트를 오픈코드화 한다음 AI에이전트들에게 수없이 스트레스 테스트를 시키는 것이 최고의 해킹방지 방법이라고 생각하는듯. (자기가 할 수 있으면, 북한도 당연히 가능하다는 논리)
다음 리버스 엔지니어링 도전은 '하이퍼리퀴드'라고 합니다.
https://x.com/shawmakesmagic/status/2116914208541696119
이걸 재미로만 하는게 아니라, Shaw는 프로젝트를 오픈코드화 한다음 AI에이전트들에게 수없이 스트레스 테스트를 시키는 것이 최고의 해킹방지 방법이라고 생각하는듯. (자기가 할 수 있으면, 북한도 당연히 가능하다는 논리)
다음 리버스 엔지니어링 도전은 '하이퍼리퀴드'라고 합니다.
https://x.com/shawmakesmagic/status/2116914208541696119
㈜ 청년열정마라두바이쫀득민트초코손맛푸드
다음 리버스 엔지니어링 도전은 '하이퍼리퀴드'라고 합니다.
Shaw의 다음 타켓이 하이퍼리퀴드라고 얘기해서 얘기해보자면, 하이퍼리퀴드 밸리데이터 노드 클라이언트에 대한 리버스 엔지니어링 시도는 꽤나 긴 기간동안 이어지고 있습니다.
그 중에서 제일 적극적이고, 의미있는 결과를 낸 것은 전 HypurrFi 파운더 androolloyd를 필두로 한 팀인데, 올해 4월부터 거의 반년동안 리버싱을 해오고 있습니다. 거의 완성돼서 블록 검증하면서 따라잡고 있는 것 같은데, 들리는 말에 의하면 하리 팀에서의 코드 업데이트 빈도가 잦아 리버싱으로 최신 노드를 상시 따라잡기는 어려운 것 같다고 하네요.
무튼 다양한 팀들이 하이퍼리퀴드 리버싱을 시도해왔고, 현실적으로 가능하고, 현재 완성 단계에 이르렀으나 아직 적국으로부터 유의미한 공격은 성공하지 못했다.. 가 현재의 상황인 것 같습니다. 세계 최고의 화이트햇들이 지키고 있는 하이퍼리퀴드
리버스 엔지니어링 하고있는 androolloyd 팀에서 올려준 리서치 독스가 있네요. 궁금하면 읽어보시면 될듯
https://github.com/lastdotnet/hyperliquid-rust-docs
그 중에서 제일 적극적이고, 의미있는 결과를 낸 것은 전 HypurrFi 파운더 androolloyd를 필두로 한 팀인데, 올해 4월부터 거의 반년동안 리버싱을 해오고 있습니다. 거의 완성돼서 블록 검증하면서 따라잡고 있는 것 같은데, 들리는 말에 의하면 하리 팀에서의 코드 업데이트 빈도가 잦아 리버싱으로 최신 노드를 상시 따라잡기는 어려운 것 같다고 하네요.
무튼 다양한 팀들이 하이퍼리퀴드 리버싱을 시도해왔고, 현실적으로 가능하고, 현재 완성 단계에 이르렀으나 아직 적국으로부터 유의미한 공격은 성공하지 못했다.. 가 현재의 상황인 것 같습니다. 세계 최고의 화이트햇들이 지키고 있는 하이퍼리퀴드
리버스 엔지니어링 하고있는 androolloyd 팀에서 올려준 리서치 독스가 있네요. 궁금하면 읽어보시면 될듯
https://github.com/lastdotnet/hyperliquid-rust-docs
GitHub
GitHub - lastdotnet/hyperliquid-rust-docs: Public docs export for the private hyperliquid-rust research repo
Public docs export for the private hyperliquid-rust research repo - lastdotnet/hyperliquid-rust-docs
👍8