Сообщение Gate News, 22 апреля — Исследователь по безопасности Доён Парк сообщил о критической уязвимости с оценкой CVSS 7.1 zero-day в консенсусном слое Cosmos CometBFT, которая может приводить к зависанию узлов во время синхронизации блоков, потенциально затрагивая сети, обеспечивающие более $8 миллиардов долларов США активов. Уязвимость не может напрямую похищать средства.
Парк запустил процесс скоординированного раскрытия 22 февраля, но столкнулся с сопротивлением со стороны вендора, который попросил подать публичную issue на GitHub, при этом отказавшись от публичного раскрытия. 4 марта HackerOne пометил его второй отчет как спам. 6 марта вендор произвольно даунгрейдил связанную уязвимость (CVE-2025-24371) до уровня “informational”, списав в сторону международные стандарты. Парк представил сетевой proof-of-concept в противовес этому решению до публичного раскрытия изъяна 21 апреля.
Парк рекомендует валидаторам Cosmos избегать перезапуска узлов до выхода патча. Узлы, уже работающие в режиме консенсуса, могут продолжать функционирование, но перезапуск и переход в синхронизацию могут сделать их уязвимыми для атак со стороны вредоносных пиров, потенциально приводя к взаимной блокировке.
Отказ от ответственности: Информация на этой странице может поступать от третьих лиц и не отражает взгляды или мнения Gate. Содержание, представленное на этой странице, предназначено исключительно для справки и не является финансовой, инвестиционной или юридической консультацией. Gate не гарантирует точность или полноту информации и не несет ответственности за любые убытки, возникшие от использования этой информации. Инвестиции в виртуальные активы несут высокие риски и подвержены значительной ценовой волатильности. Вы можете потерять весь инвестированный капитал. Пожалуйста, полностью понимайте соответствующие риски и принимайте разумные решения, исходя из собственного финансового положения и толерантности к риску. Для получения подробностей, пожалуйста, обратитесь к
Отказу от ответственности.
Связанные статьи
Атакующий Venus Protocol перевёл 2301 ETH, поступило в Tornado Cash для отмывания
Согласно ончейн-анализу от Ai тёти 22 апреля, злоумышленник Venus Protocol за 11 часов до этого перевёл на адрес 0xa21…23A7f 2 301 ETH (примерно 5,32 млн долларов США), затем разбил средства на несколько частей и завёл их в криптовалютный миксер Tornado Cash для отмывания; на момент мониторинга злоумышленник всё ещё держит на блокчейне около 17,45 млн долларов США в ETH.
MarketWhisper33м назад
Обнаружена нулевая уязвимость в CometBFT: узлы сети Cosmos на 8 миллиардов долларов США сталкиваются с риском полного зависания
Исследователь по безопасности Дойён Парк 21 апреля публично раскрыл, что в уровне консенсуса Cosmos CometBFT существует критическая уязвимость нулевого дня с оценкой CVSS 7.1, которая может привести к атаке вредоносными одноранговыми узлами на этапе синхронизации блоков (BlockSync) с последующей блокировкой узлов, затрагивая сеть, обеспечивающую защиту более 8 миллиардов долларов США активов.
MarketWhisper39м назад
Северокорейская группа Lazarus выпускает новое вредоносное ПО для macOS Mach-O Man, нацеленное на криптовалюты
Резюме: Группа Lazarus выпустила нативный набор вредоносного ПО для macOS под названием Mach-O Man, предназначенный для криптоплатформ и высокопоставленных руководителей; SlowMist предупреждает пользователей проявлять осторожность в отношении атак.
Аннотация: В статье говорится, что группа Lazarus представила Mach-O Man — нативный для macOS набор вредоносного ПО, нацеленный на криптовалютные платформы и высокопоставленных руководителей. SlowMist предупреждает пользователей проявлять осторожность, чтобы снизить риск потенциальных атак.
GateNews1ч назад
В мошенничестве с платой за проезд в Ормузском проливе замешан биткоин: после того как судно заплатило, по нему все равно открыли огонь из артиллерии
Согласно сообщению CoinDesk от 22 апреля, греческая компания по предоставлению услуг по морским рискам Marisks выпустила предупреждение: мошенники выдают себя за иранские власти и отправляют сообщения нескольким судоходным компаниям с требованием получить биткойны или USDT в качестве «платы за проезд» для прохождения через пролив Ормуз. Marisks подтвердила, что соответствующие сообщения не поступали по официальным каналам Ирана, и, как сообщает Reuters, заявила, что считает, по меньшей мере, одно судно оказалось вовлечено в обман: в выходные оно попыталось пройти, но все равно подверглось обстрелу.
MarketWhisper1ч назад
Обновление по инциденту безопасности RHEA Finance: оставшийся разрыв составляет около 400 000 долларов США, обещают полное возмещение
RHEA Finance опубликовала последующее обновление по инциденту безопасности от 16 апреля, подтвердив, что в части возврата активов уже достигнуты существенные успехи; по состоянию на данное обновление, по оценкам, все еще существует дефицит средств примерно в размере 400 тысяч долларов США, в основном из-за комбинации NEAR, USDT и USDC в денежном пуле кредитного рынка. RHEA Finance обязуется полностью покрыть любой оставшийся дефицит, чтобы гарантировать, что все затронутые пользователи получат полную компенсацию.
MarketWhisper1ч назад
Злоумышленник Venus переводит 2,301 ETH на миксер, Tornado Cash используется для отмывания
On-chain-анализ отслеживает злоумышленника протокола Venus, который переводит 2,301 ETH (~$5.32M) на предполагаемый кошелек, а затем группирует операции через Tornado Cash; на блокчейне остается около $17.45M.
Абстракт: Эта заметка обобщает ончейн-активность, связанную со злоумышленником протокола Venus, включая перевод 2,301 ETH (~$5.32M) на кошелек и пакетное смешивание через Tornado Cash, при этом примерно $17.45M еще удерживается в сети.
GateNews1ч назад
