Повідомлення Gate News, 22 квітня — Дослідник з безпеки Дойон Парк розкрив критичну вразливість нульового дня з рейтингом CVSS 7.1 у шарі консенсусу CometBFT у Cosmos, яка може спричинити зависання вузлів під час синхронізації блоків, потенційно впливаючи на мережі, що забезпечують понад $8 мільярдів доларів США активів. Вразливість не може напряму викрасти кошти.
Парк розпочав процес скоординованого розкриття 22 лютого, але зіткнувся зі спротивом з боку вендора, який попросив подавати публічний GitHub issue, водночас відмовляючись від публічного розкриття. 4 березня HackerOne позначив його другий звіт як спам. 6 березня вендор довільно знизив рівень пов’язаної вразливості (CVE-2025-24371) до рівня “informational”, відкинувши міжнародні стандарти. Парк подав мережевий proof-of-concept, щоб заперечити це рішення, перш ніж публічно розкрити ваду 21 квітня.
Парк рекомендує валідаторам Cosmos уникати перезапуску вузлів до випуску патча. Вузли, які вже працюють у режимі консенсусу, можуть продовжувати роботу, але перезапуск і перехід до синхронізації можуть піддати їх атакам з боку зловмисних партнерів, потенційно спричиняючи дедлок.
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
Пов'язані статті
Зловмисник протоколу Venus переказав 2301 ETH, що надійшли до Tornado Cash для відмивання
Згідно з ончайн-спостереженнями аналітика Ai 阿姨 станом на 22 квітня, атакувальник Venus Protocol понад 11 годин тому перевів на адресу 0xa21…23A7f 2,301 ETH (приблизно 5.32 млн доларів США), після чого частинами переказав кошти в криптовалютний міксер Tornado Cash для очищення; станом на час спостереження атакувальник на блокчейні все ще має приблизно 17.45 млн доларів США в ETH.
MarketWhisper1год тому
Викрито нульовий день у CometBFT: 8,0 млрд доларів вузлів мережі Cosmos під загрозою взаємного «зависання»
Дослідник безпеки Дойон Парк 21 квітня оприлюднив інформацію про критичну нуль-дневну вразливість рівня CVSS 7.1 у консенсусному шарі Cosmos CometBFT, яка може призвести до того, що вузли на етапі синхронізації блоків (BlockSync) будуть атаковані зловмисними одноранговими (peer) вузлами та впадуть у стан взаємного блокування (deadlock), що вплине на мережу, яка забезпечує активи понад 8 мільярдів доларів США.
MarketWhisper1год тому
Півнокорейська група Lazarus випускає новий шкідливий софт Mach-O Man для macOS, спрямований на крипто
Зведення: Група Lazarus випустила нативний шкідливий інструментарій для macOS під назвою Mach-O Man, спрямований на криптоплатформи та високопоставлених керівників; SlowMist закликає користувачів проявляти обережність проти атак.
Анотація: У статті повідомляється, що група Lazarus представила Mach-O Man — нативний шкідливий інструментарій для macOS, спрямований на криптовалютні платформи та високопоставлених керівників. SlowMist попереджає користувачів виявляти обережність, щоб зменшити ризик потенційних атак.
GateNews1год тому
У Перській затоці Хормуз з’явилося шахрайство зі збором за проїзд у біткоїнах: після того як судно заплатило, по ньому все одно відкрили вогонь
Згідно з повідомленням CoinDesk від 22 квітня, грецька компанія з морських ризиків Marisks опублікувала попередження про те, що шахраї видають себе за іранські органи влади та надсилають повідомлення кільком судноплавним компаніям із вимогою біткоїнів або USDT як «плату за проїзд» для проходження через «протоку Гормуз». Marisks підтвердила, що відповідні повідомлення не надходять із офіційних іранських каналів, і, як повідомляє Reuters, заявила, що вважає: щонайменше одне судно стало жертвою обману — і, намагаючись пройти протягом вихідних, все одно зазнало обстрілів.
MarketWhisper1год тому
Оновлення про безпековий інцидент RHEA Finance: залишок близько 400 тисяч доларів США дефіциту, зобов’язання повністю компенсувати
RHEA Finance опублікував подальше оновлення щодо безпекової події від 16 квітня, підтвердивши, що в частині повернення активів досягнуто відчутного прогресу; станом на це оновлення, як і раніше, оцінюється наявність приблизно 400 тисяч доларів США нестачі коштів, основне джерело якої — комбінація NEAR, USDT та USDC у позиковому ринку в пулі ліквідності. RHEA Finance зобов’язується повністю покрити будь-яку залишкову нестачу, щоб гарантувати, що всі постраждалі користувачі отримають повне відшкодування.
MarketWhisper1год тому
Атакувальник Venus переказує 2 301 ETH у міксер, Tornado Cash використано для відмивання
Ончейн-аналітика відстежує атакувальника протоколу Venus, який переказав 2 301 ETH (~$5.32M) на підозрюваний гаманець, а потім здійснив батчинг через Tornado Cash; на ончейні залишається близько $17.45M.
Анотація: У цій нотатці узагальнено ончейн-активність, пов’язану з атакувальником протоколу Venus, зокрема переказ 2 301 ETH (~$5.32M) на гаманець і пакетне перемішування через Tornado Cash, при цьому приблизно $17.45M і надалі зберігається на ончейні.
GateNews2год тому
