최근 앱토스에서 치명적인 버그들이 많이 발견되었네요

1. 체인에 임의의 상태 값을 쓸 수 있는 버그가 Hexens에 의해 발견됨. 체인의 상태를 조작가능하다는 건 코인 민팅, 서명자 권한 탈취, 브릿지 메시지 조작 등 정말 모든 것이 조작 가능하다는 것. 해당 공격이 터졌다면 앱토스는 물론이고 앱토스에 연결된 Layerzero, 서클의 cctp, 웜홀 등의 브릿지들로 인해 역사적인 해킹 규모가 됐을 것

해당 취약점은 2월에 발견되어 패치되었으며, 어제 공식 리포트로 공개됨 (리포트). 정확한 버그 바운티 금액이 공개되지는 않았지만 최대 바운티 금액인 $1M는 줘야 하지 않을까 싶은 취약점이네요.

2. Cantina의 보안 연구원인 m4rio가 발견한 스마트 컨트랙트 소유권 탈취 버그. 패치까지는 되었지만 PoC 요구로 인래 아직 보상 받지 못하고 원인도 아직 공개 안된 상태 (트윗)

자체 체인을 구축하는게 이렇게 어렵다는 걸 느낍니다. 그래도 AI의 발전으로 인해 크리티컬한 취약점들이 화이트해커들에 의해 많이 발견되는 것 같습니다

세계 최대의 애니메이션 불법 공유 사이트 HiAnime 운영자 체포

저는 모르는 사이트지만 6년동안 광고수익으로 200억 정도 벌었다네요

https://x.com/IntCyberDigest/status/2073827560048263671?s=20

최근 들어서 Reddit 부터 시작해 저 조차도 손쉽게 구할수 있는 '중국산 API' 에 대한 토큰, 과연 진짜 중국은 알라딘의 마술 램프라도 구해져서 그렇게 파는걸까요?

독일 정보 보안 연구기관인 CISPA 에서 작성한 Real Money, Fake Models: Deceptive Model Claims in Shadow APIs 논문 리뷰 입니다.

https://seungohjung.com/29

요약

대표적인 중국산 api 3개에 대한 실험 결과, 비공식 api는 공식에 비해 성능이 약 30-40%정도 떨어짐. 모델의 정체성을 평가하는 fingerprint 테스트의 경우에도 절반 정도가 검증에 실패함. 일부는 저렴한 하위 모델이나 다른 모델로 바꿔치기해서 서비스중.

알고보니 대학원에 있을 때 파견 연구 갔던 연구실에서 나온 논문이네요. ai 보안쪽으로는 1타 랩실이라 결과는 믿을만할듯 + 스냅샷 기간이 2025년 4분기라 현재는 또 다를수도

‘맞히면 수익’…방미심위, 폴리마켓 사행성 여부 심의 착수

방미심위는 폴리마켓에 대한 시정 요구 여부를 결정하기에 앞서 사업자 의견을 먼저 청취하기로 했다고 6일 밝혔다. 방미심위 통신심의소위원회는 이날 회의에서 폴리마켓 측에 의견진술 기회를 부여한 뒤 시정 요구 여부를 최종 결정하기로 의결했다.

폴리마켓은 정치·경제·선거·스포츠 등 각종 이슈의 결과를 예측해 '예·아니오'(YES·NO) 지분을 거래하는 방식으로 운영된다. 구체적으로 이용자가 미국 달러 기반 스테이블코인인 USDC 등 가상자산을 예치해 거래에 참여하고 예측이 맞으면 수익을 얻고 틀리면 가치가 소멸하는 구조다. 이에 따라 사실상 사행성 도박과 유사하다는 지적이 이어져 왔다.

방미심위는 "폴리마켓의 위법성 여부와 서비스 운영 방식 등을 충실히 확인하기 위해 의견진술 기회를 부여하기로 했다"며 "제출받은 의견과 관련 자료를 종합 검토한 뒤 시정요구 여부를 최종 심의·의결할 예정"이라고 밝혔다.

https://www.sisajournal.com/news/articleView.html?idxno=378820

Summerfi에서 6M 익스플로잇 발생

https://x.com/blockaid_/status/2074004564060045459?s=20

요즘 게임 외 목적으로 디스코드 쓰는 분들 거의 없을 것 같긴 한데, 지금 디스코드 AI 필터링 시스템에 버그가 있어서 마인크래프트 인벤토리 창 이미지 같은 그리드 이미지를 전송하면 아동성착취 미디어 전송을 이유로 계정이 정지된다고 합니다. 조심

https://x.com/Lewis15798820/status/2073918036554215494?s=20

스트래티지 3588 BTC 매도

블랙햇 그룹 scattered spider의 멤버 Peter Stokes의 체포 과정에서 알려진 윈도우OS 내 정보 수집 방식

- 윈도우 설치시 각 기기에 GDID라는 영구 아이디가 부여됨. 각 GDID 별로 ip 주소나 웹 활동기록, ngrok 사용, 게임 활동까지 마이크로소프트에 보고됨.

- GDID는 OS 완전 재설치 전까지 유지. 기존에는 azure 문서에 내부 활용 식별자 정도로 아주 간단하게만 써져있었고 세부적인 동작은 이번에 처음 법원 문서를 통해 공개됨

- 마이크로소프트는 FBI와의 협동수사에 공격자의 GDID를 활용

gdid 자체는 윈도우의 자체 진단 시스템 내부에 들어가있는 식별자라 따로 끌 수 있는 옵션이 있는지는 모르겠네요. 단순 진단데이터 치고는 너무 많이 수집하는건 맞는듯..

https://x.com/vxunderground/status/2073427396535963967?s=46

리눅스에도 기기별로 machine-id가 설정되어 (각자가 init daemon을 수정해 사용하지 않는한) 읽기 권한이 있는 어플리케이션(예: 크롬)이 언제든 기기 진단 정보를 긁어갈 수 있다는 것입니다

그리고 이런 OS ID말고도 하드웨어마다 달린 수많은 ID를 엮어 PC를 특정하고 개인을 추적할 수 있다는 것.. 오싹오싹

systemd 대신 OpenRC를 사용해 이걸 회피하는 사람도 있다는데 그런 일반인은 없다는 것입니다..

결론적으로 그냥 바닐라 os 깔아서 쓰는 일반인은 이론적으로 앱이나 os 벤더사에 추적 데이터를 전송하고 있다고 보면 될듯

오잉

봉크에 보안사고 발생 정황이 있다고 하네요. 알아볼 예정

bonk 공지 이거관련인가

https://x.com/mert/status/2074169853422735555?s=46&t=YD54CNVaP0rH5Xhy6ne_eg

디파이널리스트에서 얘기해주셔서 찾아보니 마침 오후쯤 실행된 프로포절이 존재.

임의의 주소로 bonk 19M어치 이동시키는 프로포절

https://app.realms.today/dao/84pGFuy1Y27ApK67ApethaPvexeDWA66zNV8gm38TVeQ/proposal/6wR1jdhhJ31bbdRNXva8MxqsgsNLKTxargcdAyZ7FcRj


https://www.bonkdao.com/

정확히는 봉크다오의 메타데이터를 Sowellian BonkDAO로 교체하고, 다오가 들고있던 토큰 전체를 다른 주소로 옮기는 프로포절. Yes 투표에 들어간게 4M정도니 거버넌스 공격이 맞는거같긴 한데..

프로포절 내용이 뭐 아무것도 안숨기고 대놓고 공격인데 뭐지 싶네요..

정황상 맞는거 같은데 도대체 무슨깡으로 바이빗지갑서 솔라나 받고, 봉크는 또 오켁스로 보낸거지?