Post
This post by its id.
https://api.web3aggregator.io/api/v1/posts/18171 curl -H "Authorization: Bearer $W3A_API_KEY" 'https://api.web3aggregator.io/api/v1/posts/18171'Needs a key: W3A_API_KEY in your environment.
The API gives this message alone: an album's other parts are posts of their own there, linked by album.
API docs#Security #Bitcoin #PHP #SelfCustody 🛡
От находки бага до атаки теперь часы. PHP2Shell утёк раньше патча, а Bitcoin Core отменяет долгие эмбарго
🟢 20 октября до согласованного раскрытия утекли детали двух критических уязвимостей PHP, их назвали php2shell. Обе с оценкой 9,2 из 10 и позволяют выполнить код на сервере без авторизации. Нашли их Calif.io, Wiz, OpenAI и Quarkslab. Патч вышел 21 октября в 14:00 UTC, но Cloudflare видел атаки ещё до его выхода, а ряд госорганов в Европе и Азии на всякий случай отключил свои сайты. По одной из оценок, больше 800 тыс. серверов работают на версиях PHP настолько старых, что исправления для них не будет.
Глава Calif.io Thai Duong рассказал, что этот класс ошибок знали десятилетиями, но считали слишком сложным для эксплуатации. ИИ нашёл способ захватить память сервера за несколько десятков запросов.
🟢 SlowMist проверил 1488 сайтов криптоиндустрии и нашёл признаки PHP на 793 из них, это 53%. Взломанный сайт протокола или кошелька может подменить адрес получателя, контракт или параметры транзакции, и пользователь подпишет её сам. Смарт-контракт для этого взламывать не нужно. CZ в эти дни советовал осторожнее заходить на любые сайты, а о рисках для криптосервисов предупредили директора по безопасности Kraken и Ledger.
🟢 22 октября в Bitcoin Core приняли новые правила раскрытия уязвимостей. Если баг легко найти, в том числе простым запросом к нейросети, исправление выпустят во всех поддерживаемых версиях как можно быстрее и сразу опубликуют описание. Раньше такие детали могли держать в секрете до года, чтобы пользователи успели обновиться. Цена скорости - меньше тестирования перед выпуском.
Поводы были. В июле добровольцы из Bitcoin Red Team с помощью ИИ за день проверили 390 биткоин-проектов, и уязвимость в BTCPay Server начали использовать через несколько дней после приватного сообщения о ней.
Окно между находкой и атакой сжалось до часов, поэтому защищает теперь скорость и привычка. Сверяйте адрес и сумму на экране аппаратного кошелька: сайт может показывать одно, а подписывать вы будете другое. Заходите в DeFi через закладки, чистите старые разрешения на токены, а в дни громких уязвимостей не открывайте новые сайты. Тем, кто держит ноды, стоит обновляться сразу после выхода патча.
➡️Crouton.digital | О нас⬅️
От находки бага до атаки теперь часы. PHP2Shell утёк раньше патча, а Bitcoin Core отменяет долгие эмбарго
За одну неделю два события показали, что старый порядок "нашли уязвимость, тихо починили, рассказали через месяцы" перестал работать. ИИ находит дыры быстрее, чем их успевают закрыть. Для криптопользователя главный вывод неожиданный: опасность всё чаще приходит не из блокчейна, а с сайта, на котором вы подписываете транзакцию.
🟢 20 октября до согласованного раскрытия утекли детали двух критических уязвимостей PHP, их назвали php2shell. Обе с оценкой 9,2 из 10 и позволяют выполнить код на сервере без авторизации. Нашли их Calif.io, Wiz, OpenAI и Quarkslab. Патч вышел 21 октября в 14:00 UTC, но Cloudflare видел атаки ещё до его выхода, а ряд госорганов в Европе и Азии на всякий случай отключил свои сайты. По одной из оценок, больше 800 тыс. серверов работают на версиях PHP настолько старых, что исправления для них не будет.
Глава Calif.io Thai Duong рассказал, что этот класс ошибок знали десятилетиями, но считали слишком сложным для эксплуатации. ИИ нашёл способ захватить память сервера за несколько десятков запросов.
🟢 SlowMist проверил 1488 сайтов криптоиндустрии и нашёл признаки PHP на 793 из них, это 53%. Взломанный сайт протокола или кошелька может подменить адрес получателя, контракт или параметры транзакции, и пользователь подпишет её сам. Смарт-контракт для этого взламывать не нужно. CZ в эти дни советовал осторожнее заходить на любые сайты, а о рисках для криптосервисов предупредили директора по безопасности Kraken и Ledger.
🟢 22 октября в Bitcoin Core приняли новые правила раскрытия уязвимостей. Если баг легко найти, в том числе простым запросом к нейросети, исправление выпустят во всех поддерживаемых версиях как можно быстрее и сразу опубликуют описание. Раньше такие детали могли держать в секрете до года, чтобы пользователи успели обновиться. Цена скорости - меньше тестирования перед выпуском.
Поводы были. В июле добровольцы из Bitcoin Red Team с помощью ИИ за день проверили 390 биткоин-проектов, и уязвимость в BTCPay Server начали использовать через несколько дней после приватного сообщения о ней.
Окно между находкой и атакой сжалось до часов, поэтому защищает теперь скорость и привычка. Сверяйте адрес и сумму на экране аппаратного кошелька: сайт может показывать одно, а подписывать вы будете другое. Заходите в DeFi через закладки, чистите старые разрешения на токены, а в дни громких уязвимостей не открывайте новые сайты. Тем, кто держит ноды, стоит обновляться сразу после выхода патча.
➡️Crouton.digital | О нас⬅️
