nullsirzh

Research @caballeroscap
没可能所有人都是主角。
小猫能有什么坏心思呢🐈？

[nullsirzh @nullsirzh]

@thankUcrypto 万一造谣的没妈呢🙄，直接咒造谣的本人比较好。

[nullsirzh @nullsirzh]

@JobberTheGuru 卓越的预测。

[Cos(余弦)😶‍🌫️ @evilcos]

好吧，这次手法细节有点意思了：

攻击目标是 LayerZero 运营的 DVN（去中心化验证器网络）所依赖的下游 RPC 基础设施。大概攻击步骤：

1. 拿到 LayerZero DVN 使用的 RPC 节点列表；

2. 攻破其中两个独立集群的 RPC 节点，替换 op-geth 二进制文件；

3. 使用选择性欺骗（selective spoofing）：只对 DVN 返回伪造的恶意 payload，对其他 IP（包括 LayerZero 自己的 Scan 服务）则返回真实数据；

4. 对未被攻破的 RPC 节点发动 DDoS，迫使 DVN “故障转移（failover）”到已被投毒的 RPC；

5. 完成伪造消息验证后，恶意二进制自毁，清除日志。

导致 LayerZero DVN 错误地为“从未发生过的交易”签发了验证。这不是 LayerZero 协议、DVN 密钥管理或 Endpoint 本身的漏洞，而是 RPC 基础设施被针对性投毒…

最终造成了 KelpDAO 这次 $290M 被盗事件。LayerZero 认为责任在 KelpDAO 只使用了 1/1 DVN 配置，存在“单点风险”…

嗯，这次也同样怀疑极大可能是“朝鲜黑客”的“杰作”…

RPC 投毒攻击也是老技巧，早年交易所们多少都经历过，这次干到了这些“去中心化”协议上了…🤦🏻‍♂️

[nullsirzh @nullsirzh]

@evilcos 相比于身边人带来的损失，更多的是失望。诶.......

[nullsirzh @nullsirzh]

@Solomon_Nahhh XMR，刚好三个月。

[23pds (山哥) @im23pds]

🧐Axios 发布整个供应链攻击的流程：

老套路的 AI 辅助社会工程攻击：
1 黑客伪装成一家真实公司的创始人
2 邀请维护者进入一个精心伪造的 Slack 工作区，模仿真实公司的品牌、频道、LinkedIn 帖子，甚至伪造团队成员和其他 OSS 维护者资料。
3 通过 Microsoft Teams 安排会议，会议中有多人人参与以增加可信度。
4 在会议中声称受害者系统有软件过期，诱导其安装缺失组件，实际安装的就是木马。
5 木马获得设备完全控制权后，绕过 npm 和 GitHub 的 2FA，直接从维护者的本地机器发布恶意 npm 包。

https://t.co/mxpp34piAa

[nullsirzh @nullsirzh]

@im23pds 熟悉的配方，熟悉的味道，还是有受害者一如既往的中招🙄。

[nullsirzh @nullsirzh]

@lijiuer1 @yuyue_chris 🤣

[nullsirzh @nullsirzh]

@TingHu888 可能是OTC吧，正好是同一个人/机构在接。

[nullsirzh @nullsirzh]

@evilcos 每次开机都整个日抛虚拟机应该能基本保证安全了(毕竟还有虚拟机逃逸的0day)

[Cos(余弦)😶‍🌫️ @evilcos]

弹了一晚上，本来这个技巧我们 @SlowMist_Team 准备过冬用的，不过在野利用有点多了。

玩 Vibe Coding 的，玩这些主流 IDE 的，一定要谨慎打开任何项目，比如 Open Folder 打开某个项目，打开就可能被系统命令执行，Windows/Mac 等都一样。尤其注意 Cursor，打开恶意构造的项目目录，直接中招，非常丝滑。

由于是在野利用，所以先发出来简单预警下，已经好几个 AI Coding 玩家中招。

cc @im23pds @SlowMist_Team

[Cos(余弦)😶‍🌫️ @evilcos]

这里修正个说法，Trust Wallet 浏览器扩展新版本已经彻底解决后门问题（不再包含 PostHog 相关代码，此前由于我们的情报来源数据有误，导致分析时以为 PostHog 没被删除干净）。

顺便说下 PostHog 是开源的全链路产品分析平台，方便采集各种信息作分析，2.68.0 带后门的版本利用了 PostHog。

[23pds (山哥) @im23pds]

🔥重要提醒：持续有用户被盗，有使用受影响版本钱包的用户，一定要先断网！在导出助记词转移资产！
否则在线打开钱包就会被盗！
有助记词备份的一定先转移资产，在升级钱包！@evilcos @Foresight_News

[nullsirzh @nullsirzh]

@im23pds 来自神秘老哥的强制的♂爱♂😂

[Proton Mail @ProtonMail]

████████ Google ███ ███████████ would never ███████████ ████████ ████████ ████████ ████████ violate ████████ ████████ ████████ ████████ your ████████ privacy ██████

[23pds (山哥) @im23pds]

安全风险提醒🔔
MacSync新变种绕过macOS安全防护，目前已经有用户资产被盗。

信息窃取 malware MacSync 软件出现新变种，成功绕过macOS Gatekeeper安全机制，为逃避检测，其采用文件膨胀、网络连接验证及执行后自毁脚本等技术，并可窃取iCloud钥匙串、浏览器密码与加密货币钱包等敏感数据。
https://t.co/AcUuuFAo1T

[Cos(余弦)😶‍🌫️ @evilcos]

我写《区块链黑暗森林自救手册》时还没出现这些优秀的 LLM AI，Markdown 纯敲，一个个字…我觉得我以后的作品输出会容易很多，但可能再也没这么纯粹的感觉了。

感谢时代，感谢黑手册的贡献者与读者们，这本手册的使命会告一段落：
https://t.co/IM9qCsas2J

后续我只会更新黑手册扩展知识，纯当自己的记录：
https://t.co/dH2C9h9Nfp

2025 快结束了，给自己一个转折点。

[nullsirzh @nullsirzh]

@zit_agent @evilcos https://t.co/gZSUFZ6gqs
你说的对，但马上XMR也要变成"HTTPS"了，XMR的这个升级方案将不再有公开的小环结构、匿名集直接变成「全链」。
2025年10月3日已经上测试网了，估计26年中下旬能上主网。
缺点么，就是之前的历史数据仍然保持可分析的。

[nullsirzh @nullsirzh]

@lbqquan @SovereignIntern 对XMR的51%持续攻击很难，和其它使用专用矿机能能够以更低的成本挖矿的POW币有很大不同，通用计算机挖矿的成本甚至更低。另外XMR的算力构成相当一部分是肉鸡网络，虽然很不道德，高成本的51%攻击相对这种零成本的算力保护相比来说是不可持续的。

[nullsirzh @nullsirzh]

单纯杠杆网格就是马丁，有些小白拿别人的框架跑就是纯流动性菩萨。