폴리마켓, $5M 규모의 버그 바운티 프로그램 런칭
https://x.com/cantinasecurity/status/2043753857638093063?s=20
스마트 컨트랙트
Critical: $50,000 to $5,000,000
High: $10,000 to $500,000
Medium: $2,500 to $50,000
Low: $1,000 to $5,000
웹 앱
Critical: $50,000 to $250,000
High: $10,000 to $75,000
Medium: $5,000 to $25,000
Low: $1,000 to $5,000
https://x.com/cantinasecurity/status/2043753857638093063?s=20
스마트 컨트랙트
Critical: $50,000 to $5,000,000
High: $10,000 to $500,000
Medium: $2,500 to $50,000
Low: $1,000 to $5,000
웹 앱
Critical: $50,000 to $250,000
High: $10,000 to $75,000
Medium: $5,000 to $25,000
Low: $1,000 to $5,000
X (formerly Twitter)
Cantina 🪐 (@cantinasecurity) on X
Polymarket Just Opened a $5M Bug Bounty on Cantina
Forwarded from The ticker is ETH (sm-stack)
[스크롤, 보안 위원회 폐지 후 팀 멀티시그로 체인 운영]
스크롤 팀이 체인 컨트랙트 업그레이드 권한을 가지는 보안 위원회를 폐지하고, 업그레이드 권한을 향후 10일 내로 팀 멀티시그로 넘기자는 프로포절을 올렸습니다. 표면적인 이유는 '실제 효용 대비 비용이 너무 크다'입니다.
이렇게 되면, 스크롤은 Stage 1에서 Stage 0로 다운그레이드되는 최초의 롤업이 됩니다. 악의적인 행동을 하는 팀을 견제할 수 있는 유일한 주체가 없어지는 것이기도 하구요. 즉, 이 프로포절이 통과되면 스크롤 팀은 이론적으로 체인의 모든 TVL을 들고 도망갈 수도 있습니다.
스크롤 팀은 불과 며칠 전 OP 메인넷으로 마이그레이션을 수행하는 이더파이에 대해 체인 수수료를 최대 1,280배 올려 "끝까지 수수료를 추출하려했다"는 의혹을 받고 있는데, 그 팀이 이제는 체인의 전체 보안까지 책임지는 꼴입니다.
한편 스크롤 보안 위원회의 일원인 L2Beat는 이에 대해 곧 성명서를 낼 예정이며, 업그레이드 권한 이전에 거부권(Veto)을 던질 것으로 보입니다. 다른 보안 위원회 구성원들의 반응도 궁금하네요.
출처
스크롤 팀이 체인 컨트랙트 업그레이드 권한을 가지는 보안 위원회를 폐지하고, 업그레이드 권한을 향후 10일 내로 팀 멀티시그로 넘기자는 프로포절을 올렸습니다. 표면적인 이유는 '실제 효용 대비 비용이 너무 크다'입니다.
이렇게 되면, 스크롤은 Stage 1에서 Stage 0로 다운그레이드되는 최초의 롤업이 됩니다. 악의적인 행동을 하는 팀을 견제할 수 있는 유일한 주체가 없어지는 것이기도 하구요. 즉, 이 프로포절이 통과되면 스크롤 팀은 이론적으로 체인의 모든 TVL을 들고 도망갈 수도 있습니다.
스크롤 팀은 불과 며칠 전 OP 메인넷으로 마이그레이션을 수행하는 이더파이에 대해 체인 수수료를 최대 1,280배 올려 "끝까지 수수료를 추출하려했다"는 의혹을 받고 있는데, 그 팀이 이제는 체인의 전체 보안까지 책임지는 꼴입니다.
한편 스크롤 보안 위원회의 일원인 L2Beat는 이에 대해 곧 성명서를 낼 예정이며, 업그레이드 권한 이전에 거부권(Veto)을 던질 것으로 보입니다. 다른 보안 위원회 구성원들의 반응도 궁금하네요.
출처
❤1
Forwarded from 새우잡이어선 공지방
❤2
This media is not supported in your browser
VIEW IN TELEGRAM
AGW의 대규모 UI/UX 업데이트
https://x.com/abstractchain/status/2044069590955639293?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
AGW가 훨씬 더 직관적이게 변경되었습니다. 세션키의 명확한 권한을 유저가 쉽게 알 수 있으며, 어느 앱이 무슨 요청을 하는지도 훨씬 가시성 있게 알수있도록 변경되었네요
계정 추상화 지갑은 일반 지갑과 다르게 높은 자유도를 구현한만큼 이를 유저에게 어떻게 표현할지에 대한 고민이 많이 필요한데, AGW가 유저들의 피드백을 받으면서 계속해서 개선해나가는 것 같습니다.
https://x.com/abstractchain/status/2044069590955639293?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
AGW가 훨씬 더 직관적이게 변경되었습니다. 세션키의 명확한 권한을 유저가 쉽게 알 수 있으며, 어느 앱이 무슨 요청을 하는지도 훨씬 가시성 있게 알수있도록 변경되었네요
계정 추상화 지갑은 일반 지갑과 다르게 높은 자유도를 구현한만큼 이를 유저에게 어떻게 표현할지에 대한 고민이 많이 필요한데, AGW가 유저들의 피드백을 받으면서 계속해서 개선해나가는 것 같습니다.
❤3
This media is not supported in your browser
VIEW IN TELEGRAM
트위터, 주식과 암호화폐를 위한 캐시태그(CashTags) 기능 추가
https://x.com/nikitabier/status/2044187672969879654?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
게시글 작성 시 정확히 원하는 자산을 선택 가능. 이 경우 게시글에 해당 자산의 차트가 같이 표시 됨
단순히 차트에서 끝나지 않고 추후에는 쉽게 거래 가능하도록 하는 것이 목표. 캐나다의 위탁매매 업체인 Wealthsimple과 협업하여 캐나다인의 경우엔 캐시태그에서 거래가 가능함
https://x.com/nikitabier/status/2044187672969879654?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
게시글 작성 시 정확히 원하는 자산을 선택 가능. 이 경우 게시글에 해당 자산의 차트가 같이 표시 됨
단순히 차트에서 끝나지 않고 추후에는 쉽게 거래 가능하도록 하는 것이 목표. 캐나다의 위탁매매 업체인 Wealthsimple과 협업하여 캐나다인의 경우엔 캐시태그에서 거래가 가능함
❤3
Forwarded from 종명이의 딸깍
이때 bing이 VC 관련된 글 작성자와 AMA를 했었는데, X를 살펴보다보니 Q1에 메가마피아 디앱중에 펀드레이징을 받은 프로젝트들이 꽤 있어서 자신감이 있었던것 같네요.
Supernova도 1분기에 펀딩을 받았다고 함.
+ 슬슬 마피아앱들 펀드레이징 소식이 하나둘 더 추가될듯
https://x.com/nicoypei/status/2042976326437478790
Supernova도 1분기에 펀딩을 받았다고 함.
We have just raised in Q1 and know exactly which VC is investing and which one is not
+ 슬슬 마피아앱들 펀드레이징 소식이 하나둘 더 추가될듯
https://x.com/nicoypei/status/2042976326437478790
❤1
WLFI 신규 락업 제안
https://x.com/worldlibertyfi/status/2044391016103322028
WLFI팀이 시장의 신뢰를 회복하기 위해 락업제안을 발표했습니다. 해당 제안이 통과될 경우 최소 2년간은 622억개의 물량이 시장에 풀리지 않고 락업되게 됩니다.
팀, 어드바이저, 파트너, 기관 물량
- 총 452억개의 $WLFI
- 2년 클리프 + 3년 선형 베스팅 - 10%의 물량 소각 (약 45.2억개의 $WLFI)
초기 서포터 물량
- 총 170.4억 $WLFI
- 2년 클리프 + 2년 선형 베스팅
- 조건 미수락 시 무기한 락업
https://x.com/worldlibertyfi/status/2044391016103322028
WLFI팀이 시장의 신뢰를 회복하기 위해 락업제안을 발표했습니다. 해당 제안이 통과될 경우 최소 2년간은 622억개의 물량이 시장에 풀리지 않고 락업되게 됩니다.
팀, 어드바이저, 파트너, 기관 물량
- 총 452억개의 $WLFI
- 2년 클리프 + 3년 선형 베스팅 - 10%의 물량 소각 (약 45.2억개의 $WLFI)
초기 서포터 물량
- 총 170.4억 $WLFI
- 2년 클리프 + 2년 선형 베스팅
- 조건 미수락 시 무기한 락업
X (formerly Twitter)
WLFI (@worldlibertyfi) on X
We’ve just posted a governance proposal to the forum for community discussion, and we believe it represents one of the strongest long-term governance alignment signals in DeFi.
Here's what it doe…
Here's what it doe…
캡의 1분기 리캡
https://x.com/capmoney_/status/2044531186161356920?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
- 1분기에 세계에서 가장 큰 고빈도 트레이딩 회사 중 하나에게 100M 규모의 온체인 신용 시설을 제공
- BTC 시장으로 성공적으로 확장. 분기말까지 예치금 1억 6천만달러 이상
- 다른 온체인 프로토콜들이 USDC에 대해 3% 미만의 수익을 보여주는 것과는 다르게 Cap은 전통적인 신용 시장을 이용하여 5%이상의 APR을 확보
- 시장에서 공공자금을 모금하는 ICO와 초기 예치자들에게 스테이블을 12M 규모로 에드해주는 Stabledrop은 아쉽게도 아직 일정이 정해지지 않음. 현재는 사업 확장에 집중이며 기회가 생길 경우 언제든 진행 할 수 있음
https://x.com/capmoney_/status/2044531186161356920?s=46&t=oeMcOtn2ZCZ8Ysr-XAov5g
- 1분기에 세계에서 가장 큰 고빈도 트레이딩 회사 중 하나에게 100M 규모의 온체인 신용 시설을 제공
- BTC 시장으로 성공적으로 확장. 분기말까지 예치금 1억 6천만달러 이상
- 다른 온체인 프로토콜들이 USDC에 대해 3% 미만의 수익을 보여주는 것과는 다르게 Cap은 전통적인 신용 시장을 이용하여 5%이상의 APR을 확보
- 시장에서 공공자금을 모금하는 ICO와 초기 예치자들에게 스테이블을 12M 규모로 에드해주는 Stabledrop은 아쉽게도 아직 일정이 정해지지 않음. 현재는 사업 확장에 집중이며 기회가 생길 경우 언제든 진행 할 수 있음
티오리의 AI 코드 분석 도구 Xint, Mythos를 넘어 시스템을 말하다
https://x.com/xint_official/status/2044521476490203316?s=20
- AI 모델 자체보다, 그 모델을 실제 보안 제품으로 작동하게 만드는 시스템이 더 중요함
- 앤트로픽의 Mythos 발표가 보여준 건 강력한 모델 성능이지만, 실제 성과를 만든 핵심은 어디를 스캔할지 정하고, 결과를 검증하고, false positive를 걸러내고, 개발자가 바로 조치할 수 있게 정리하는 전체 파이프라인
- Theori의 Xint Code를 앤트로픽이 예시로 든 동일한 코드베이스들(FreeBSD, OpenBSD, FFmpeg, Firecracker)의 취약한 버전, 커밋에 돌렸고, 앤트로픽이 공개한 대표 취약점들을 동일하게 찾음
- 또한 앤트로픽의 공개 내용에 없던 추가적인 12개의 0-day 취약점도 발견
- Xint Code의 구조는 크게 네 단계로 설명됨. 먼저 공격 표면을 찾아 우선순위를 정하고, 그다음 모델이 후보 코드 경로를 깊게 분석하며, 이어서 exploitability를 검증하고, 마지막으로 심각도/재현 절차/워크플로 연동이 포함된 구조화된 결과를 생성
- Xint는 해커의 해킹 방식을 모방한 시스템을 바탕으로, 적은 토큰으로도 효율적으로 취약점을 찾아내는 AI 코드 분석 도구
https://x.com/xint_official/status/2044521476490203316?s=20
- AI 모델 자체보다, 그 모델을 실제 보안 제품으로 작동하게 만드는 시스템이 더 중요함
- 앤트로픽의 Mythos 발표가 보여준 건 강력한 모델 성능이지만, 실제 성과를 만든 핵심은 어디를 스캔할지 정하고, 결과를 검증하고, false positive를 걸러내고, 개발자가 바로 조치할 수 있게 정리하는 전체 파이프라인
- Theori의 Xint Code를 앤트로픽이 예시로 든 동일한 코드베이스들(FreeBSD, OpenBSD, FFmpeg, Firecracker)의 취약한 버전, 커밋에 돌렸고, 앤트로픽이 공개한 대표 취약점들을 동일하게 찾음
- 또한 앤트로픽의 공개 내용에 없던 추가적인 12개의 0-day 취약점도 발견
- Xint Code의 구조는 크게 네 단계로 설명됨. 먼저 공격 표면을 찾아 우선순위를 정하고, 그다음 모델이 후보 코드 경로를 깊게 분석하며, 이어서 exploitability를 검증하고, 마지막으로 심각도/재현 절차/워크플로 연동이 포함된 구조화된 결과를 생성
- Xint는 해커의 해킹 방식을 모방한 시스템을 바탕으로, 적은 토큰으로도 효율적으로 취약점을 찾아내는 AI 코드 분석 도구
❤6
Forwarded from 어이 청진기
Forwarded from ㈜ 청년열정마라두바이쫀득민트초코손맛푸드
게임스탑에서 디지털 TCG 판매에 뛰어드는데, 이걸 가장 권위있는 카드등급 인증기관인 PSA랑 손잡고 하는 모양이네요 😊 😊 😊
'파워팩'이라는 이름의 이 플랫폼은 디지털 상으로 팩을 까고, ⓐ그걸 바로 실물로 배송받거나 ⓑ즉시 판매해서 유동화하거나 ⓒ혹은 그냥 볼트에 보관한채로 사고팔기등이 가능해요.
즉, 단순히 팩을 까는것 뿐 아니라 언제든 실물로 교환할 수 있는 디지털 상태에서의 매매도 지원한다는 것. (TCG를 옛날에 해봤으면 이게 얼마나 편할지 감이 오실 것이고)
이 PowerPacks LLC는 지분부터 게임스탑과 PSA가 반반씩 넣고 완전히 깐부모드로 가는거같고, 사실상 PSA가 직접 운영하는 금고보다 더 신뢰도 높은 TCG 볼트가 존재할 수 없으니... 이거이거... 크립토에서 TCG 팔려던 플젝들 사형선고에 가까운 소식이네요.😊 😊
'파워팩'이라는 이름의 이 플랫폼은 디지털 상으로 팩을 까고, ⓐ그걸 바로 실물로 배송받거나 ⓑ즉시 판매해서 유동화하거나 ⓒ혹은 그냥 볼트에 보관한채로 사고팔기등이 가능해요.
즉, 단순히 팩을 까는것 뿐 아니라 언제든 실물로 교환할 수 있는 디지털 상태에서의 매매도 지원한다는 것. (TCG를 옛날에 해봤으면 이게 얼마나 편할지 감이 오실 것이고)
이 PowerPacks LLC는 지분부터 게임스탑과 PSA가 반반씩 넣고 완전히 깐부모드로 가는거같고, 사실상 PSA가 직접 운영하는 금고보다 더 신뢰도 높은 TCG 볼트가 존재할 수 없으니... 이거이거... 크립토에서 TCG 팔려던 플젝들 사형선고에 가까운 소식이네요.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from BZCF | 비즈까페
90년대생 조만장자들. 모두 한 회사 출신임.
Alexandr Wang (1997년생)
• 현재 Meta AI총괄, Scale AI 창업자 겸 CEO. 개인 자산 약 5조 원 추정.
Scott Wu (1997년생)
• Cognition AI 창업자 겸 CEO. 세계 최초의 자율형 AI 소프트웨어 엔지니어 ‘Devin’을 개발했으며, 자산 약 2.5조 원 추정.
Jeffrey Yan (1995년생)
• Hyperliquid 창업자 겸 CEO. 단 11명의 인원으로 연간 이익 1조 원을 달성한 천재이며, 개인 자산 약 6조 원 추정.
Jesse Zhang (1998년생)
• Decagon 창업자 겸 CEO. 엔터프라이즈 AI CS 자동화 시장을 선점하며 급성장 중인 유니콘의 수장으로, 자산 약 1조 원 추정.
이들이 다닌 회사는 세계 최고의 퀀트 트레이딩 기업인 HRT(Hudson River Trading). 모두 동일한 인턴 기수 출신.
• 인턴 주급만 약 800만 원($5,800)에 달하며, 출근 첫날 지급되는 사이닝 보너스가 약 3,400만 원($25,000)
• 약 8~10주간의 인턴십을 마치면 대학생이 한 기수에 1억 원($70k~$80k) 이상을 벌어간다고.
• 매년 15,000~20,000명이 지원하지만, 최종 합격자는 단 20명 내외
• 코딩 테스트는 기본이고, 수학/통계학적 직관력이 인간의 한계를 시험하는 수준으로 알려져 있음.
Alexandr Wang (1997년생)
• 현재 Meta AI총괄, Scale AI 창업자 겸 CEO. 개인 자산 약 5조 원 추정.
Scott Wu (1997년생)
• Cognition AI 창업자 겸 CEO. 세계 최초의 자율형 AI 소프트웨어 엔지니어 ‘Devin’을 개발했으며, 자산 약 2.5조 원 추정.
Jeffrey Yan (1995년생)
• Hyperliquid 창업자 겸 CEO. 단 11명의 인원으로 연간 이익 1조 원을 달성한 천재이며, 개인 자산 약 6조 원 추정.
Jesse Zhang (1998년생)
• Decagon 창업자 겸 CEO. 엔터프라이즈 AI CS 자동화 시장을 선점하며 급성장 중인 유니콘의 수장으로, 자산 약 1조 원 추정.
이들이 다닌 회사는 세계 최고의 퀀트 트레이딩 기업인 HRT(Hudson River Trading). 모두 동일한 인턴 기수 출신.
• 인턴 주급만 약 800만 원($5,800)에 달하며, 출근 첫날 지급되는 사이닝 보너스가 약 3,400만 원($25,000)
• 약 8~10주간의 인턴십을 마치면 대학생이 한 기수에 1억 원($70k~$80k) 이상을 벌어간다고.
• 매년 15,000~20,000명이 지원하지만, 최종 합격자는 단 20명 내외
• 코딩 테스트는 기본이고, 수학/통계학적 직관력이 인간의 한계를 시험하는 수준으로 알려져 있음.
❤1
오늘 메타마스크 팀이 디너에 초대해줘서 비채나에 다녀왔습니다. MetaMask는 워낙 잘 알려진 프로덕트라 굳이 더 홍보할 게 있을까 싶었는데, 최근 출시한 Perp DEX 통합과 앞으로 선보일 여러 기능들에 대한 피드백을 듣고 싶었다고 하더라고요.
특히 인상적이었던 건, 메타마스크가 이제 단순한 지갑을 넘어 mUSD 스테이블코인, 결제, 예측마켓, Perp DEX 등으로 확장하며 슈퍼앱 형태를 지향하고 있다는 점이었습니다. 다만 많은 사람들이 아직도 메타마스크를 “지갑”으로만 인식하고 있어서, 이걸 어떻게 더 효과적으로 알릴지 팀 내부에서도 고민이 많아 보였습니다.
저 역시 사실 메타마스크를 주로 지갑 용도로만 써왔고, 앱 안에서 Perp DEX나 스왑을 자주 쓰진 않았습니다. 왜 그럴까 생각해보니 속도, 기존 메타마스크 스왑의 높은 수수료에 대한 인식, 그리고 이런 기능들이 있다는 점 자체를 잘 모른다는 문제가 있었던 것 같습니다. 이런 부분들을 팀에도 그대로 이야기했는데, 팀에서도 최근 속도 개선에 힘쓰고 있으며 Perp DEX의 경우 수수료도 Hyperliquid 대비 크게 부담되는 수준은 아니고, 원클릭으로 간편하게 거래할 수 있다는 점을 강조하더라고요. 포인트 리워드 프로그램이 있다는 점도 흥미로웠고요.
실제로 이번 기회에 모바일 MetaMask 앱에서 Perp DEX를 잠깐 써봤는데, 이더리움뿐 아니라 BSC, Base, Abstract 같은 EVM 체인에 있는 자산으로 바로 Hyperliquid의 선물 포지션(크립토, 주식, 금 등)을 열 수 있다는 점이 꽤 큰 장점으로 느껴졌습니다. 모바일에서 원클릭에 가깝게 거래할 수 있다는 점은 꽤 직관적이었고, 개인적으로는 Toss 같은 사용성을 떠올리게 했습니다.
메타마스크 카드도 이번에 실물로 처음 봤는데, 스틸 소재라 확실히 존재감이 있었습니다. 최근에는 mUSD라는 자체 스테이블코인도 출시했는데, 생태계 안에서 자연스럽게 사용하고 결제에도 연결할 수 있는 방향으로 확장 중이라는 점이 흥미로웠고, 앞으로 mUSD를 어떻게 키워갈지도 궁금하더라고요.
전반적으로 메타마스크는 앞으로 속도 개선, 리워드 프로그램, Web2 결제 인프라 연계 등 소비자 UX 측면을 계속 강화해나갈 것 같았습니다. 여전히 많은 사람들에게는 “지갑” 이미지가 강하지만, 그 이상을 보여주려는 시도는 분명히 하고 있는 것 같아요. 특히 리워드 프로그램이 향후 토큰과도 연결된다면 정말 빅띵이 될 것 같습니다. 앞으로는 의식적으로 Perp dex 거래를 메마로 해보게 될 것 같네요.
특히 인상적이었던 건, 메타마스크가 이제 단순한 지갑을 넘어 mUSD 스테이블코인, 결제, 예측마켓, Perp DEX 등으로 확장하며 슈퍼앱 형태를 지향하고 있다는 점이었습니다. 다만 많은 사람들이 아직도 메타마스크를 “지갑”으로만 인식하고 있어서, 이걸 어떻게 더 효과적으로 알릴지 팀 내부에서도 고민이 많아 보였습니다.
저 역시 사실 메타마스크를 주로 지갑 용도로만 써왔고, 앱 안에서 Perp DEX나 스왑을 자주 쓰진 않았습니다. 왜 그럴까 생각해보니 속도, 기존 메타마스크 스왑의 높은 수수료에 대한 인식, 그리고 이런 기능들이 있다는 점 자체를 잘 모른다는 문제가 있었던 것 같습니다. 이런 부분들을 팀에도 그대로 이야기했는데, 팀에서도 최근 속도 개선에 힘쓰고 있으며 Perp DEX의 경우 수수료도 Hyperliquid 대비 크게 부담되는 수준은 아니고, 원클릭으로 간편하게 거래할 수 있다는 점을 강조하더라고요. 포인트 리워드 프로그램이 있다는 점도 흥미로웠고요.
실제로 이번 기회에 모바일 MetaMask 앱에서 Perp DEX를 잠깐 써봤는데, 이더리움뿐 아니라 BSC, Base, Abstract 같은 EVM 체인에 있는 자산으로 바로 Hyperliquid의 선물 포지션(크립토, 주식, 금 등)을 열 수 있다는 점이 꽤 큰 장점으로 느껴졌습니다. 모바일에서 원클릭에 가깝게 거래할 수 있다는 점은 꽤 직관적이었고, 개인적으로는 Toss 같은 사용성을 떠올리게 했습니다.
메타마스크 카드도 이번에 실물로 처음 봤는데, 스틸 소재라 확실히 존재감이 있었습니다. 최근에는 mUSD라는 자체 스테이블코인도 출시했는데, 생태계 안에서 자연스럽게 사용하고 결제에도 연결할 수 있는 방향으로 확장 중이라는 점이 흥미로웠고, 앞으로 mUSD를 어떻게 키워갈지도 궁금하더라고요.
전반적으로 메타마스크는 앞으로 속도 개선, 리워드 프로그램, Web2 결제 인프라 연계 등 소비자 UX 측면을 계속 강화해나갈 것 같았습니다. 여전히 많은 사람들에게는 “지갑” 이미지가 강하지만, 그 이상을 보여주려는 시도는 분명히 하고 있는 것 같아요. 특히 리워드 프로그램이 향후 토큰과도 연결된다면 정말 빅띵이 될 것 같습니다. 앞으로는 의식적으로 Perp dex 거래를 메마로 해보게 될 것 같네요.
❤14
Forwarded from 캘빈의 감금원
렛저 나노 S+ 위조품이 온라인 마켓에 상당량 유통되었다는 이야기가 올라왔는데, 요즘은 위조품도 진품이랑 거의 구분이 안될 정도라고 하네요. 껍데기는 물론이고 펌웨어도 가짜, 전용 소프트웨어인 Ledger Live도 가짜버전으로 만들어두었다고 합니다.
이런 짭렛저들은 펌웨어 내 백도어를 통해 공격자에게 시드구문과 PIN을 전송하도록 되어있고, 결국 이걸 사용하는 구매자는 무조건 자산을 잃게 됩니다.
누가 하드웨어 월렛을 공홈에서 안사고 아마존 쿠팡에서 사냐고 할수도 있지만 최근 피해량이 상당하다고 하네요.
https://x.com/TFTC21/status/2044905447342366728?s=20
이런 짭렛저들은 펌웨어 내 백도어를 통해 공격자에게 시드구문과 PIN을 전송하도록 되어있고, 결국 이걸 사용하는 구매자는 무조건 자산을 잃게 됩니다.
누가 하드웨어 월렛을 공홈에서 안사고 아마존 쿠팡에서 사냐고 할수도 있지만 최근 피해량이 상당하다고 하네요.
https://x.com/TFTC21/status/2044905447342366728?s=20
❤2
Kelp의 rsETH 해킹 사태 현재까지 정리된 상황
1. LayerZero는 앱이 직접 DVN(Security Stack)을 설정하는 구조
2. 이번 케이스에서는 Kelp측에서 브릿지 앱을 구성할 때 DVN을 단일 주체인 Layerzrero 노드 하나로 구성했고 (1-of-1), 해당 노드가 소스체인에서 생성되지 않은 메시지를 서명하면서 문제가 발생함
3. 즉 Unichain -> 이더리움으로 rsETH를 전송하는 메시지가 실제로 발생하지도 않았는데 가짜 메시지를 Layerzero가 운영하는 dvn 노드가 수락한 사건
4. 문제는 크게 두가지 포인트:
1) Kelp가 DVN을 LZ DVN하나만 믿는 형태로 구성한 것 (안일한 보안 환경 구성)
2) LZ DVN이 가짜 메시지를 수락한 것 (이건 아직 명확한 원인이 공개되지 않음)
5. Layerzero 측에서 운영하는 DVN에서 문제가 생겼기 때문에 해당 DVN을 사용하는 다른 프로토콜들도 사건 원인이 명확해지기 까지 잠시 브릿지 비활성화
1. LayerZero는 앱이 직접 DVN(Security Stack)을 설정하는 구조
2. 이번 케이스에서는 Kelp측에서 브릿지 앱을 구성할 때 DVN을 단일 주체인 Layerzrero 노드 하나로 구성했고 (1-of-1), 해당 노드가 소스체인에서 생성되지 않은 메시지를 서명하면서 문제가 발생함
3. 즉 Unichain -> 이더리움으로 rsETH를 전송하는 메시지가 실제로 발생하지도 않았는데 가짜 메시지를 Layerzero가 운영하는 dvn 노드가 수락한 사건
4. 문제는 크게 두가지 포인트:
1) Kelp가 DVN을 LZ DVN하나만 믿는 형태로 구성한 것 (안일한 보안 환경 구성)
2) LZ DVN이 가짜 메시지를 수락한 것 (이건 아직 명확한 원인이 공개되지 않음)
5. Layerzero 측에서 운영하는 DVN에서 문제가 생겼기 때문에 해당 DVN을 사용하는 다른 프로토콜들도 사건 원인이 명확해지기 까지 잠시 브릿지 비활성화
❤7
마인부우의 크립토볼
Kelp의 rsETH 해킹 사태 현재까지 정리된 상황 1. LayerZero는 앱이 직접 DVN(Security Stack)을 설정하는 구조 2. 이번 케이스에서는 Kelp측에서 브릿지 앱을 구성할 때 DVN을 단일 주체인 Layerzrero 노드 하나로 구성했고 (1-of-1), 해당 노드가 소스체인에서 생성되지 않은 메시지를 서명하면서 문제가 발생함 3. 즉 Unichain -> 이더리움으로 rsETH를 전송하는 메시지가 실제로 발생하지도 않았는데…
rsETH 해킹 사태의 LayerZero 사후보고
https://x.com/LayerZero_Core/status/2046081551574983137?s=20
1. 우선 Layerzero 측은 KelpDAO 측에 1-of-1 DVN 구성말고 다중 DVN으로 구성하라고 권고하였음
2. KelpDAO는 1-of-1 DVN으로서 LZ DVN 노드 하나만 믿는 구성이였음
3. 문제는 이 LZ DVN이 Unichain에서 발생한 가짜 메시지를 수락했다는 것
4. 근본 원인을 더 보자면 LZ DVN이 Unichain에서 발생한 트랜잭션을 확인하기 위해 사용하는 RPC들이 오염된 것
5. 공격자(라자루스 추정)는 LZ DVN이 사용하는 RPC 목록에 접근해서 해당 RPC 노드의 바이너리를 바꿔치기함. 바꿔치기된 RPC 노드가 가짜 메시지를 DVN 노드에 전달됨.
6. 추가로 LZ DVN은 자체 RPC뿐만 아니라 외부 RPC 노드도 사용했었는데, 공격자들은 외부 RPC에 DDoS를 걸어 공격 당시에 마비시킴.
LayerZero측에서는 이번 사태에 대해 rsETH에 대해 한정된 사건이라 언급하였으며, 1-of-1 DVN으로 구성된 프로젝트들에 대해 다중 DVN으로 변경하라는 조치를 수행 중임을 밝혔네요. 아무래도 KelpDAO가 1-of-1 DVN을 사용한 문제로 Layerzero측에서는 결론을 내는 것 같습니다.
https://x.com/LayerZero_Core/status/2046081551574983137?s=20
1. 우선 Layerzero 측은 KelpDAO 측에 1-of-1 DVN 구성말고 다중 DVN으로 구성하라고 권고하였음
2. KelpDAO는 1-of-1 DVN으로서 LZ DVN 노드 하나만 믿는 구성이였음
3. 문제는 이 LZ DVN이 Unichain에서 발생한 가짜 메시지를 수락했다는 것
4. 근본 원인을 더 보자면 LZ DVN이 Unichain에서 발생한 트랜잭션을 확인하기 위해 사용하는 RPC들이 오염된 것
5. 공격자(라자루스 추정)는 LZ DVN이 사용하는 RPC 목록에 접근해서 해당 RPC 노드의 바이너리를 바꿔치기함. 바꿔치기된 RPC 노드가 가짜 메시지를 DVN 노드에 전달됨.
6. 추가로 LZ DVN은 자체 RPC뿐만 아니라 외부 RPC 노드도 사용했었는데, 공격자들은 외부 RPC에 DDoS를 걸어 공격 당시에 마비시킴.
LayerZero측에서는 이번 사태에 대해 rsETH에 대해 한정된 사건이라 언급하였으며, 1-of-1 DVN으로 구성된 프로젝트들에 대해 다중 DVN으로 변경하라는 조치를 수행 중임을 밝혔네요. 아무래도 KelpDAO가 1-of-1 DVN을 사용한 문제로 Layerzero측에서는 결론을 내는 것 같습니다.
X (formerly Twitter)
LayerZero (@LayerZero_Core) on X
KelpDAO Incident Statement