Forwarded from 정열맨김봉봉
㈜ 청년열정마라두바이쫀득민트초코손맛푸드
1. Privy에서 돈빼기
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
Privy는 구글계정으로 자동생성되는 추상화월렛인데, 여기 위험하다는 얘기가 도는듯? (출처는 못찾겠음) 혹시 불안하신 분들은 아래 주소로 가면 잔액 조회 가능합니다.
- home.privy.io
2. 앱스트랙트에서 돈빼기
여기 닫기면 못꺼내니까 조심하세요... 미리미리 빼십쇼
- https://portal.abs.xyz/profile
3. 블래스트에서 돈뺄거 있는지 생각해보기
안빼고 뭐했니!! 여기도 어제 닫겨서 이제 빼려면 꽤 빡세짐...
- blastexit.com (지갑연결 불필요, 주소로 잔액 조회가능)
- prakashkcity.github.io/blast-exit-che (앱 내 잔액, NFT 조회)
X에서 내용 대충 살펴보니까 Privy 자체의 문제가 아니고 Predictfun api docs의 프론트를 공격해서 탈취한듯?
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.
엄선된 준의 식견
Photo
프리비는 TEE와 온디바이스 방식을 모두 지원하지만, 이 장에서는 신뢰 실행 환경을 활성화한 구성을 기준으로 보겠다. 먼저 개인키는 외부 접근과 네트워크가 차단된 AWS Nitro Enclave 내부에서 생성된다. 프리비는 생성된 키를 통째로 보관하지 않고 샤미르 비밀 공유(Shamir's Secret Sharing) 알고리즘을 통해 두 조각으로 분할한다.
샤미르 비밀 공유는 비밀 값을 여러 조각으로 나눠 정해진 개수 이상이 모여야만 원본을 복원할 수 있고, 그 미만의 조각으로는 원본에 대한 어떤 정보도 얻을 수 없게 만드는 암호학적 분할 기법이다.
두 조각의 역할은 서로 다르다. 인클레이브 조각(Enclave Share)은 TEE 안에서만 열리도록 잠기고, 인증 조각(Auth Share)은 유효한 로그인 요청이 있을 때만 서명 경로에 투입된다. 2-of-2 구조이므로 어느 한쪽만으로는 개인키를 복원할 수 없다.
서명이 필요할 때는 두 조각이 격리된 메모리에서 일시적으로 결합된다. 거래 요청이 입력되면 프리비 API가 인증 정보를 확인한 뒤, 암호화된 인증 조각과 요청을 TEE로 전달한다. TEE는 권한 서명과 관련 정책을 검증한 후 두 조각을 결합해 서명하고 키를 즉시 파기한다. 네트워크와 격리된 TEE는 서명 값만 반환하며, 실제 거래 전파는 호출자나 API가 담당한다. 결국 이 서명 경로에서는 개인키가 TEE 내부에 일시적으로 복원되고, 사용 후 즉시 폐기된다.
물론 이 구조가 곧 완벽한 자기수탁(Self-custody)을 뜻하지는 않으며, 지갑의 실질적 통제권은 키 분할 방식이 아니라 소유자, 추가 서명자, 정족수 설정이 결정한다. 클라이언트 SDK 기반 소비자 지갑에서는 사용자가 기본 소유자이며 키를 내보낼 수 있지만, 서비스 권한 키를 소유자로 지정하면 서비스 통제형 지갑이 된다. 또한 이메일이나 소셜 계정이 지갑의 입구이므로 로그인 수단이 탈취되면 지갑도 노출될 수 있어, 고액 자산을 다루는 앱에는 패스키나 MFA 도입이 권장된다.
[출처]
FP RESEARCH
[Issue] 블록체인 추상화: Web3의 다음 승부처 | FP RESEARCH
블록체인 추상화는 복잡한 지갑 관리와 거래 절차를 줄여, 기존 Web2 플랫폼이 익숙한 서비스 안에서 디지털 자산 기능을 제공할 수 있게 합니다.
Forwarded from 캘빈의 감금원
저도 프레딕펀 사고 관련해서는 서드파티가 호스팅하는 api docs 페이지가 탈취당했다라고 알고 있었는데, 팀에서 정확한 정황을 아직 공개를 안해서 키가 탈취되었는지 여부까지는 알려지지 않은 상황입니다.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.
차라리 이거로 끝이면 다행이라고 생각.
Forwarded from Four Pillars Research (KR)
: : [크립토/이슈] 스테이블코인 에이전트 결제의 전제, 관계 상호운용성
작성자: 준
- 관계 상호운용성은 에이전트가 거래를 대행하거나 결제망이 바뀌어도 고객의 자격과 권리를 이어주는 역량이다. 회원 혜택이나 구매 보호에 대한 기대가 큰 시장에서 특히 중요하다.
- 기존 플랫폼은 고객 계정과 주문 관리 체계를, 카드 네트워크는 승인과 분쟁 처리 체계를 활용해 스테이블코인 도입을 지원한다. 혜택과 구매 보호가 중요한 시장에서는 이러한 기존 체계와의 연동이 현실적인 확장 경로다.
- 블록체인 네이티브 결제는 구매한 리소스의 접근 권한이 거래의 중심인 API 시장에서 먼저 자리 잡을 수 있다. 더 넓은 상거래에서는 지갑 인증에 고객 계정, 구매 기록, 위임 권한을 연결하는 설계가 필요하다.
- API 시장과 같은 일부 시장에서는 구매 확인과 이용 권한의 유지만으로 충분할 수 있지만, 일반 상거래에서는 회원 혜택이나 구매 보호까지 필요할 수 있다. 특정 결제망에 종속되지 않는 결제망 중립성을 확보하면서, 각 시장의 거래 특성과 고객이 기대하는 권리에 맞는 수준의 관계 상호운용성을 구축해야 한다.
📱 X 포스트
🌐 아티클 전문
FP Website | Telegram (EN / KR) | X (EN / KR)
작성자: 준
- 관계 상호운용성은 에이전트가 거래를 대행하거나 결제망이 바뀌어도 고객의 자격과 권리를 이어주는 역량이다. 회원 혜택이나 구매 보호에 대한 기대가 큰 시장에서 특히 중요하다.
- 기존 플랫폼은 고객 계정과 주문 관리 체계를, 카드 네트워크는 승인과 분쟁 처리 체계를 활용해 스테이블코인 도입을 지원한다. 혜택과 구매 보호가 중요한 시장에서는 이러한 기존 체계와의 연동이 현실적인 확장 경로다.
- 블록체인 네이티브 결제는 구매한 리소스의 접근 권한이 거래의 중심인 API 시장에서 먼저 자리 잡을 수 있다. 더 넓은 상거래에서는 지갑 인증에 고객 계정, 구매 기록, 위임 권한을 연결하는 설계가 필요하다.
- API 시장과 같은 일부 시장에서는 구매 확인과 이용 권한의 유지만으로 충분할 수 있지만, 일반 상거래에서는 회원 혜택이나 구매 보호까지 필요할 수 있다. 특정 결제망에 종속되지 않는 결제망 중립성을 확보하면서, 각 시장의 거래 특성과 고객이 기대하는 권리에 맞는 수준의 관계 상호운용성을 구축해야 한다.
FP Website | Telegram (EN / KR) | X (EN / KR)
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from 캘빈의 감금원
이번 로빈후드 어닝콜 보고나서 로빈후드 생태계에 대한 개인적인 생각을 정리해보았습니다.
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20
X (formerly Twitter)
c4lvin on X: "Some Thoughts on the Robinhood Ecosystem After its Q3 Earnings Call" / X
Forwarded from Steve’s Catallaxy
스탠리 드러켄밀러가 투자한 Trade [XYZ]에 대해서 리서치를 한 회사는 전 세계에 아마 저희 아니면 블록웍스가 전부일 겁니다.
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
https://research.4pillars.io/ko/research/tradexyz-q1-2026-report
https://research.4pillars.io/ko/research/tradexyz-2026-q2-report
FP RESEARCH
[Report] Trade[xyz] Q1 2026 리포트 | FP RESEARCH
Trade[XYZ]는 이 프레임워크 아래 가장 먼저 배포한 팀이며, 지금까지도 압도적인 1위 자리를 지키고 있다. 전체 HIP-3 거래량의 약 85~90%를 차지한다. 일일 수십억 달러 규모의 거래량을 처리하고 있고, 진정한 주말 가격 디스커버리의 초기 신호들이 나타나고 있다는 점은 단
https://ubuntu.com/security/CVE-2026-98432
커널레벨 IPv4 tcp 핸드쉐이크에서 잘못된 메모리 주소 참조하는점을 악용해서 루트 권한 탈취가 가능하다...
커널레벨 IPv4 tcp 핸드쉐이크에서 잘못된 메모리 주소 참조하는점을 악용해서 루트 권한 탈취가 가능하다...
Ubuntu
CVE-2026-98432 | Ubuntu
Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things.
🤯1
Forwarded from BQ
일론머스크 3일전
"요즘은 매일이 zero-day 다"
📱 원문트윗
"요즘은 매일이 zero-day 다"
제로데이 (zero-day) 취약점 및 공격
정의: 소프트웨어 개발자나 시스템 관리자가 해당 취약점의 존재를 알지 못하거나, 아직 보안 패치(수정 프로그램)를 내놓지 못한 상태에서 발생하는 보안 구멍 또는 이를 악용하는 공격을 말합니다
Please open Telegram to view this post
VIEW IN TELEGRAM
https://x.com/ai_9684xtpa/status/2116008873207460305
미국 래퍼 칸예 웨스트(Kanye West)가 청산 위험을 줄이기 위해 1390 ETH(316만3000 달러)를 매도..
리스크 관리는 역시 칸예
미국 래퍼 칸예 웨스트(Kanye West)가 청산 위험을 줄이기 위해 1390 ETH(316만3000 달러)를 매도..
리스크 관리는 역시 칸예
X (formerly Twitter)
Ai 姨 (@ai_9684xtpa) on X
侃爷关联地址减持 1390 $ETH 以降低清算风险😬
六小时前（即币安被盗消息披露后）该地址开始分批抛售，以均价 $2275.6 卖出价值 316.3 万美元的 ETH，亏损 31.7 万美元；目前仍抵押 19,506.17 ETH 借出 2767 万美元稳定币，健康度 1.31，ETH 跌至 $1,689.59 将触发清算
钱包地址 https://t.co/3nSvNMKV7l…
六小时前（即币安被盗消息披露后）该地址开始分批抛售，以均价 $2275.6 卖出价值 316.3 万美元的 ETH，亏损 31.7 万美元；目前仍抵押 19,506.17 ETH 借出 2767 万美元稳定币，健康度 1.31，ETH 跌至 $1,689.59 将触发清算
钱包地址 https://t.co/3nSvNMKV7l…
Forwarded from David's Anecdote
계속 쓰고 있던 Vooy 라고 하는 개인 에이전트가 안드로이드 / 애플 스토어에 앱으로 출시 되었네요.
https://apps.apple.com/kr/app/vooy/id6800661620
한국 쪽 API가 잘 뚤려 있어서 엄청 편하게 쓰고 있었는데, 앱에서는 어떻게 다를지 한번 써보고 후기 남겨 보겠습니다.
당장 캐치 테이블 예약만 해도 그냥 넘 잘 쓰고 있었는데 (원하는 식당 / 빈자리 다 찾아줌), 앱에서는 UX가 어떨지 봐야겠네요.
아무래도 이런 에이전트를 앱으로 출시했을때는 사람들의 행동 습관 자체를 바꿔야 하는거라 강력한 동기가 필요하다고 생각하는데 어떻게 설계했을지 궁금 👀️️️️ (기존에는 텔레그램 같은 메신저에 있었어서 평소처럼 사용했으니...)
https://apps.apple.com/kr/app/vooy/id6800661620
한국 쪽 API가 잘 뚤려 있어서 엄청 편하게 쓰고 있었는데, 앱에서는 어떻게 다를지 한번 써보고 후기 남겨 보겠습니다.
당장 캐치 테이블 예약만 해도 그냥 넘 잘 쓰고 있었는데 (원하는 식당 / 빈자리 다 찾아줌), 앱에서는 UX가 어떨지 봐야겠네요.
아무래도 이런 에이전트를 앱으로 출시했을때는 사람들의 행동 습관 자체를 바꿔야 하는거라 강력한 동기가 필요하다고 생각하는데 어떻게 설계했을지 궁금 👀️️️️ (기존에는 텔레그램 같은 메신저에 있었어서 평소처럼 사용했으니...)
App Store
vooy 앱 - App Store
App Store에서 Vooy Korea, Inc.의 vooy 앱을 다운로드하십시오. 스크린샷, 평가 및 리뷰, 사용자 팁 및 vooy 앱과 비슷한 다른 앱을 볼 수 있습니다.
엄선된 준의 식견
https://x.com/willmanidis/status/2115794572131651953?s=46
Commanding_Heights_Korean.pdf
14.2 MB
겸사겸사 주말에 읽어보려고 145페이지 분량의 해당 글을 AI로 번역해 PDF로 만들어봤습니다.. 장도 장인데 관심있으신 분들은 읽어보시죠
👍2