Сооснователь Monad, Keone Hon, призвал команды, работающие в сфере криптовалют, сделать безопасность своим главным приоритетом, поделившись рекомендациями по операционной безопасности и продвигая инструмент Ultrafuzz, разработанный фондом Monad и имеющий открытый исходный код, в условиях того, что злоумышленники получают доступ к все более совершенным технологиям искусственного интеллекта.

Ресурсы фонда Monad охватывают как программное обеспечение, которое используют команды, так и учетные записи, устройства и механизмы подписи, используемые для его управления. В своих публикациях Hon рекомендовал читателям ознакомиться с руководством "Crypto OpSec Bible", рекомендациями по управлению учетными записями администраторов и исследованиями по поиску уязвимостей с использованием искусственного интеллекта.

В эпоху, когда злоумышленники используют искусственный интеллект, единственным путем вперед для нашей отрасли является постоянное повышение уровня защиты. Безопасность должна быть главным приоритетом для каждой команды.

Фонд Monad активно инвестирует в безопасность и делится следующими ресурсами с сообществом:

Для всех:

– "Crypto…"

— Keone Hon (@keoneHD) [30 октября 2026 г.] (https://x.com/keoneHD/status/2116179795977376071?ref_src=twsrc%5Etfw)

"В эпоху, когда злоумышленники используют искусственный интеллект, единственным путем вперед для нашей отрасли является постоянное повышение уровня защиты", - написал он. "Безопасность должна быть главным приоритетом для каждой команды."

Руководство Monad по операционной безопасности направлено на устранение распространенных ошибок в области безопасности.

Руководство "Crypto OpSec Bible", написанное Омаром, начинается с выражения разочарования по поводу повторяющихся случаев компрометации, связанных с незнакомым кодом, фишингом, раскрытием учетных данных и плохим управлением устройствами.

В руководстве упоминается трекер Lumos от ChainLight, который зафиксировал убытки в размере 3,31 миллиарда долларов США в результате перехвата контроля, по сравнению с 983 миллионами долларов США, связанных с уязвимостями смарт-контрактов, по данным инцидентов, зафиксированных с января 2023 года до момента составления отчета.

Категория "перехват контроля" включает в себя социальную инженерию, утечку закрытых ключей, несанкционированный доступ, атаки на цепочки поставок и другие распространенные ошибки в области безопасности. Сравнение охватывает зафиксированные трекером инциденты и представлено в виде исторической справки.

Вам также может быть интересно: Monad предлагает обновление кошелька для использования passkeys, восстановления и квантовой безопасности

Омар утверждает, что организации, работающие в сфере криптовалют, уделяют недостаточно внимания операционной безопасности. Его рекомендации включают разделение личной активности и рабочих устройств, использование чистого компьютера или браузера для работы с криптовалютами и проверку деталей транзакций перед подписанием.

Для критически важных учетных записей руководство рекомендует использовать аппаратные ключи безопасности с надежным резервным копированием, уникальные пароли и хранить коды аутентификации отдельно от паролей. Организациям рекомендуется использовать средства защиты конечных точек и установить четкий канал для сообщения о случаях нарушения безопасности.

Hon призывает разработчиков пересмотреть доступ к учетным записям администраторов.

Для разработчиков смарт-контрактов Hon обратил внимание на рекомендации, предостерегающие от использования учетных записей, принадлежащих третьим лицам, для выполнения административных функций, и призвал использовать выделенный ноутбук при подписании административных операций.

В его списке ресурсов упоминаются работы в области формальной верификации и поиска угроз с использованием больших языковых моделей. В отдельном сообщении он призвал разработчиков протестировать свои контракты с помощью Ultrafuzz, отметив опыт Антонио Вигджано и пригласив пользователей оставлять отзывы.

"Разработчики смарт-контрактов, пожалуйста, протестируйте свои контракты с помощью Ultrafuzz! Это проект с открытым исходным кодом, доступный каждому", - написал Хон.

Объявление об открытии исходного кода было опубликовано 10 сентября. Последние публикации Хона вновь привлекают внимание к существующей версии инструмента, а также к ресурсам фонда, посвященным операционной безопасности.

Ultrafuzz объединяет искусственный интеллект и тестирование контрактов

Ultrafuzz, доступный через публичный репозиторий GitHub, координирует работу специализированных AI-агентов для анализа контрактов, моделирования поведения пользователей, изучения свойств безопасности, выполнения стратегий тестирования и подготовки результатов для анализа.

Компания Monad сообщает, что более 20 тестов, проведенных на проектах из экосистемы, помогли сформировать эту версию, которая поддерживает языки Solidity и Vyper.

В своем техническом обзоре Вигджано рассказал о разработке инструмента в процессе помощи команде в подготовке к внешней проверке безопасности. В проекте отсутствовали тесты на основе фаззинга, что и послужило стимулом для разработки рабочего процесса с использованием искусственного интеллекта для их создания.

В своем объяснении он описывает, как агенты определяют условия, которые протокол должен соблюдать, а затем проверяют, нарушают ли определенные действия или последовательности этих условий. Результаты объединяются, проверяются и организуются в отчет.

Компания Monad рекомендует пользователям запускать Ultrafuzz на одноразовых, изолированных виртуальных машинах. Его агенты работают с неограниченными правами доступа, и в объявлении содержится предупреждение о том, что не следует запускать его на рабочих станциях разработчиков или на компьютерах, содержащих ценные учетные данные.

Недавние инциденты, связанные с компрометацией учетных записей и зависимостей программного обеспечения

В более ранних инцидентах были затронуты несколько точек доступа, описанных в руководстве.

26 октября новостной ресурс crypto.news сообщил о том, что компания Foundation, занимающаяся разработкой кошельков, стала жертвой компрометации ключа API Cloudflare, что позволило злоумышленникам рассылать фишинговые электронные письма, маскирующиеся под официальные домены компании. Компания отозвала учетные данные и заявила, что аппаратные кошельки Passport и хранящиеся на них средства остались в безопасности.

В июле произошел инцидент, связанный с компрометацией пакета разработчика Injective. Компания Socket сообщила, что вредоносный код перехватил функции генерации кошельков и передавал закрытые ключи и фразы восстановления через поддельную телеметрию. Генеральный директор Injective, Эрик Чен, заявил, что затронутые версии были удалены, и проблема была устранена.

Еще одно расследование, проведенное в июле, касалось вредоносного программного обеспечения OkoBot, предназначенного для кражи криптовалюты, которое распространялось через репозитории GitHub, замаскированные под легитимное программное обеспечение. В рамках этой кампании использовались поддельные сообщения об ошибках и инструкции по "восстановлению", чтобы убедить жертв выполнить вредоносные команды. Модули этого программного обеспечения включали в себя поддельные экраны "восстановления" кошельков, мониторинг клавиатуры и отслеживание содержимого буфера обмена.