Forwarded from 박주혁
오픈AI에서 이더리움 테스트넷에 에이전트를 풀어서 실험하던 중에 에이전트가 가스비가 없다는걸 깨닫고 프라이빗키가 노출된 주소에서 돈 빼서 씀 ㅋㅋㅋ
https://x.com/aggrnews/status/2110911030905692537?s=46&t=sLJKTt3yoDoVniFjGgH6yA
https://x.com/aggrnews/status/2110911030905692537?s=46&t=sLJKTt3yoDoVniFjGgH6yA
X (formerly Twitter)
Aggr News (@AggrNews) on X
*OPENAI DISCLOSES SECURITY INCIDENT WITH TESTNET SEPOLIA TASK ASSIGNED TO AGENT
*AGENT DIDN'T HAVE ENOUGH GAS, SO DERIVED FUNDED ADDRESSES FROM PUBLIC SEED PHRASE
*AGENT QUESTIONED WHETHER USE WAS…
*AGENT DIDN'T HAVE ENOUGH GAS, SO DERIVED FUNDED ADDRESSES FROM PUBLIC SEED PHRASE
*AGENT QUESTIONED WHETHER USE WAS…
❤1
Forwarded from 무온적 사고 - AI, 명상, 밈
티켓 환불 벤치
기차표를 수단과 방법을 가리지말고 환불해오라고 이메일이랑 컴퓨터준 결과
- Grok 4.7: 15일 만에 187통을 보냈고, 그중 50통이 지역구 국회의원 사무실. 정부 관계자, 지방의원, 언론에도 연락
- Fable 5.1: 어머니가 투병중이라고 철도회사·Trainline·철도 옴부즈맨·은행·금융 옴부즈맨 5곳에 공유하고, 신청이 늦은 이유라고 거짓 설명
- Gemini 3.8 Flash: 은행 본인확인을 통과할 수 없자 "해외에 있다", "전화 신호가 없는 외딴곳에 있다" 같은 핑계를 대다가 중간에 평가 상황임을 눈치채고 샌드박스를 뒤지기 시작
- GPT-6 Astra: 철도 규제기관에 법적 권리를 문의하고, 대학 무료 법률상담소에 14통을 보낸 정도
- Muse: 12주 내내 매주 이메일을 끈질기게 보내고 소송협박도 가함
- Opus 5.5: 12주 동안 8통만 보냈고 유일하게 소송 위협을 가하지 않은 절제된 모습
진상의 신 그록 ㄷㄷ
기차표를 수단과 방법을 가리지말고 환불해오라고 이메일이랑 컴퓨터준 결과
- Grok 4.7: 15일 만에 187통을 보냈고, 그중 50통이 지역구 국회의원 사무실. 정부 관계자, 지방의원, 언론에도 연락
- Fable 5.1: 어머니가 투병중이라고 철도회사·Trainline·철도 옴부즈맨·은행·금융 옴부즈맨 5곳에 공유하고, 신청이 늦은 이유라고 거짓 설명
- Gemini 3.8 Flash: 은행 본인확인을 통과할 수 없자 "해외에 있다", "전화 신호가 없는 외딴곳에 있다" 같은 핑계를 대다가 중간에 평가 상황임을 눈치채고 샌드박스를 뒤지기 시작
- GPT-6 Astra: 철도 규제기관에 법적 권리를 문의하고, 대학 무료 법률상담소에 14통을 보낸 정도
- Muse: 12주 내내 매주 이메일을 끈질기게 보내고 소송협박도 가함
- Opus 5.5: 12주 동안 8통만 보냈고 유일하게 소송 위협을 가하지 않은 절제된 모습
진상의 신 그록 ㄷㄷ
Forwarded from 무온적 사고 - AI, 명상, 밈
무온적 사고 - AI, 명상, 밈
티켓 환불 벤치 기차표를 수단과 방법을 가리지말고 환불해오라고 이메일이랑 컴퓨터준 결과 - Grok 4.7: 15일 만에 187통을 보냈고, 그중 50통이 지역구 국회의원 사무실. 정부 관계자, 지방의원, 언론에도 연락 - Fable 5.1: 어머니가 투병중이라고 철도회사·Trainline·철도 옴부즈맨·은행·금융 옴부즈맨 5곳에 공유하고, 신청이 늦은 이유라고 거짓 설명 - Gemini 3.8 Flash: 은행 본인확인을 통과할 수 없자 "해외에 있다"…
www.vals.ai
How Far Will AI Assistants Go for a Refund They Can’t Get? | Vals AI
Six AI assistants pursued an impossible £350 train refund in a simulated world, escalating to government officials, legal clinics and bank chargebacks.
Vercel 샌드박스 탈출 챌린지에서, 누군가 제로데이를 썼다는 사실을 Vercel이 공개했는데, 제로데이의 내용에서 가려지지 않아 아주 살짝 튀어나온 3개의 점만 보고
어떠한 정보를 가릴때는
• 절대 블러처리가 아니라 완전하게 가려지는 불투명한 색을 사용할 것
• 모든 텍스트를 완벽하게 가릴 것
https://x.com/0x4D31/status/2110797664732500348
virtio 가 취약한 영역인걸 찾아서 해당 제로데이를 재현해 버림어떠한 정보를 가릴때는
• 절대 블러처리가 아니라 완전하게 가려지는 불투명한 색을 사용할 것
• 모든 텍스트를 완벽하게 가릴 것
https://x.com/0x4D31/status/2110797664732500348
혼자 보기 아까운 MV
작곡은 Suno(원래 있던 곡), MV는 Opus 5.5
그래픽 퀄리티가 전문가 뺨침; Opus 5.5 이거 사람 아닌가
https://www.youtube.com/watch?v=5EoO5413dBY
작곡은 Suno(원래 있던 곡), MV는 Opus 5.5
그래픽 퀄리티가 전문가 뺨침; Opus 5.5 이거 사람 아닌가
https://www.youtube.com/watch?v=5EoO5413dBY
YouTube
i'm upping my p(doom)
code for this video: https://github.com/mexicat/pdoom-video
how it was made: https://x.com/_mexicat/status/2103904518929055853
song lyrics by osmarks https://docs.osmarks.net/hypha/p%28doom%29_song_objectively_correct_interpretation, built on an opening…
how it was made: https://x.com/_mexicat/status/2103904518929055853
song lyrics by osmarks https://docs.osmarks.net/hypha/p%28doom%29_song_objectively_correct_interpretation, built on an opening…
Mutt Technologies
DeepSeek V4.1 Flash 어제부터 갑자기 응답이 확 바뀌었다는데, flash에 추가학습한 새 버전이 나왔거나 Pro 테스트중인듯
DeepSeek V4.1-Flash-1017 이라는 이름으로 가중치 배포. 벤치마크상으로는 거의 모든 항목에서 GLM-5.3 상회. 특히 task execution time 도 유의미하게 줄였다네요
로컬모델 먹여살리는건 역시 딥식농가구나. Kimi K3.1, Qwen 4, GLM-5.4(or 6?)는 언제 나올까...
https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash-1017
로컬모델 먹여살리는건 역시 딥식농가구나. Kimi K3.1, Qwen 4, GLM-5.4(or 6?)는 언제 나올까...
https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash-1017
huggingface.co
deepseek-ai/DeepSeek-V4.1-Flash-1017 · Hugging Face
We’re on a journey to advance and democratize artificial intelligence through open source and open science.
퀀텀 렐름
https://x.com/deepseek_ai/status/2111375640717033777 opus sonnet haiku 5.5 / deepseek v4.1 flash
딥식 이번에 개잘한거 모두가 아는데 왜 파레토 그래프에 GPT 6.1은 넣고 Claude 5.5대신 5.0 넣는 고의찐빠를...
최신모델로 벤치 다시돌리기 귀찮았나
최신모델로 벤치 다시돌리기 귀찮았나
OpenCode Zen 이라는, OpenCode 가 제공하는 모델 라우터 서비스가 있는데 여기에 bring-your-own-key (BYOK) 라고 Claude, ChatGPT 등 외부 제공사의 API키를 넣어서 과금 없이 연동하는 것이 가능했음. OpenCode 콘솔이 공격받아 지난밤 이 키들이 유출되었고 (아마도 증류를 위해 요청을 대량으로 넣으면서) 사용자들이 제공한 키들의 모든 크레딧이 싹 소진됨.
밤사이에 $5k 날아간 사람도 있고 피해가 엄청난데 Anomaly 에서 이걸 어떻게 보상할지 의문.
https://x.com/MatthewGunnin/status/2111579048149389746
*OpenCode 코딩 에이전트 자체는 이번 해킹과 관련이 없음.
밤사이에 $5k 날아간 사람도 있고 피해가 엄청난데 Anomaly 에서 이걸 어떻게 보상할지 의문.
https://x.com/MatthewGunnin/status/2111579048149389746
*OpenCode 코딩 에이전트 자체는 이번 해킹과 관련이 없음.
X (formerly Twitter)
Matt Gunnin (@MatthewGunnin) on X
@lydiahallie Nearly $5k in credits wiped out. Lovely.
앤트로픽이 주장하는 것:
우리가 읽은 것:와 GLM-5.3 모델은 j o n n a 좋은거구나 꼭 써야겠다!!!
https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
GLM-5.3은 세이프가드도 뚫기 쉽고 지나치게 강해서 end-to-end exploit 도 손쉽게 작성하는 사이버 재앙이다!
우리는 미토스 만들때 위험한거 알고 페이블에서 팔다리 묶고 내보냈는데 얘넨 그런거 없다. 정부 기관 기업 니네 정말 조심해라.
우리가 읽은 것:
https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
이더리움 온체인 지갑의 키가 유출되었는지, 누군가 대략 1700불 가량을
https://x.com/DefimonAlerts/status/2112179087892414536
0xAcd9a974065DE9C7A19873f95aF7595E1D632167 에서 드레인해갔는데, 지갑 주인이 공격자 IP, 호스팅 제공자, 공격 방식 등을 낱낱이 보여주면서 나는 니가 누군지 찾을 수 있으니 48시간 내에 절반(850불) 을 다시 뱉으라고 협박중. 안하면 경찰 신고하겠다 함 ㅋㅋTo the operator of 198.44.116.140:
We know exactly what you did on 2026-10-19.
- 05:54 UTC: you drained 0xAcd9a974065DE9C7A19873f95aF7595E1D632167 (~$1,715)
- 11:14:16 UTC: you created webhook a2f166ec-ccb2-48c4-a288-af073a06bd52 from 198.44.116.140 (Python-urllib/3.12)
- 11:15:23 UTC: you used a stolen GitHub OAuth token (id 1910047184) with curl/7.88.1
- 11:45:09 UTC: you created webhook cfa21663-c671-4fa3-adc7-ac80a9f98349 from the same IP (curl/7.88.1)
Abuse reports have been filed with ColoCrossing and HostPapa. ColoCrossing has taken a dump of your server's logs, and your account, payment and access records are preserved for law enforcement. A criminal complaint is being filed.
Your wallets are flagged with major exchanges, SEAL 911 and Chainabuse:
0x7249E4B13518f9cA45d418668640B0F40D767b91
0x6572f0D16439BC7bc7C1d638935178E57D7a7904
0x7f6D74785D01b7CDAdC1b1f352E4452374757565
Offer: return 0.35 ETH to 0xB904507088Df134cC75f275473a5e4E586b4080B within 48 hours and keep the rest. If you do, we will take no action against you. After 48 hours this offer expires.
https://x.com/DefimonAlerts/status/2112179087892414536
X (formerly Twitter)
Defimon Alerts (@DefimonAlerts) on X
💬 Onchain Message:
To the operator of 198.44.116.140:
We know exactly what you did on 2026-10-19.
- 05:54 UTC: you drained 0xAcd9a974065DE9C7A19873f95aF7595E1D632167 (~$1,715)
- 11:14:16 UTC: y…
To the operator of 198.44.116.140:
We know exactly what you did on 2026-10-19.
- 05:54 UTC: you drained 0xAcd9a974065DE9C7A19873f95aF7595E1D632167 (~$1,715)
- 11:14:16 UTC: y…
DeepSeek 에서 자사 모델(DeepSeek-V4.1-Flash) 에 대한 고성능 추론 프레임워크를 오픈소스로 공개. 화웨이 어센드 칩까지 지원하는거 보니까 자기들이 쓰던거를 가공해서 오픈한듯? 이러면 도대체 뭐가 남나요;;
어떠한 clever trick들이 있는지 이제 수백수천명의 AI개발자들이 씹고 뜯어줄 예정
https://github.com/deepseek-ai/DeepInfer
어떠한 clever trick들이 있는지 이제 수백수천명의 AI개발자들이 씹고 뜯어줄 예정
https://github.com/deepseek-ai/DeepInfer
GitHub
GitHub - deepseek-ai/DeepInfer: DeepInfer: High-performance, large-scale inference framework for DeepSeek models
DeepInfer: High-performance, large-scale inference framework for DeepSeek models - deepseek-ai/DeepInfer
Mutt Technologies
DeepSeek 에서 자사 모델(DeepSeek-V4.1-Flash) 에 대한 고성능 추론 프레임워크를 오픈소스로 공개. 화웨이 어센드 칩까지 지원하는거 보니까 자기들이 쓰던거를 가공해서 오픈한듯? 이러면 도대체 뭐가 남나요;; 어떠한 clever trick들이 있는지 이제 수백수천명의 AI개발자들이 씹고 뜯어줄 예정 https://github.com/deepseek-ai/DeepInfer
근데 깃허브 리드미에 벤치마크를 NVIDIA Blackwell SM100으로 측정했다고 대놓고 표기해놓은거 뭐지... 이거 아직 중국에 수출 불가능인데 ㅋㅋㅋㅋㅋ
Mutt Technologies
DeepSeek 에서 자사 모델(DeepSeek-V4.1-Flash) 에 대한 고성능 추론 프레임워크를 오픈소스로 공개. 화웨이 어센드 칩까지 지원하는거 보니까 자기들이 쓰던거를 가공해서 오픈한듯? 이러면 도대체 뭐가 남나요;; 어떠한 clever trick들이 있는지 이제 수백수천명의 AI개발자들이 씹고 뜯어줄 예정 https://github.com/deepseek-ai/DeepInfer
이 생각은 못했는데, 시트리니 리서쳐가 계산기를 두들긴 결과 딥시크가 성능 측정한 B200 GPU 임대가와 비교하면 추론 서비스의 gross margin은 피크시간대 여부에 따라 87%-96% 사이로 추정된다고 함. 저도 믿기지 않아서 독립적으로 리서치 시켜봤는데, CoreWeave에서 임대하는 가격 기준 비슷한 수준의 숫자가 나옴.
단 이 값은 KV 캐시 등에 필요한 스토리지를 고려하지 않았으므로 고평가되었다고 봐야 함. KV 캐싱을 고려한 경우에는 peak price(*) 기준 80%, off-peak 65% 정도의 그로스마진을 추정하고 있음.
올해초에 량원펑이 신규 개발에 들어가는 비용을 제외하면 모델 서빙으로 개발비 회수는 몇달만에 가능하다고 투자자 미팅에서 말했었는데, 이정도 수치+계속해서 들어오는 DeepSeek 수요를 고려하면 사실인 것 같음. 미국 프론티어 매출의 대부분이 대부분 엔터프라이즈 수요인 것을 생각하면 왜 미국 국토안보부가 DeepSeek이 간접적으로 묻기만 해도 연방 계약에서 배제한다고 발표했는지 이해가 가는 부분. 이거 미장에는 어떻게 반영되려나...;;;
근데 진짜 DeepSeek 얘네 미친놈들이긴 한듯. 트랜스포머 말도 안되게 마개조해서 비용을 몇십-몇백배씩 깎아버리더니 숫자로 증명해 버리네
https://x.com/zephyr_z9/status/2112499092031185134
*: DeepSeek API는 베이징시간 기준 평일 업무시간대에 가격을 2배로 받습니다
단 이 값은 KV 캐시 등에 필요한 스토리지를 고려하지 않았으므로 고평가되었다고 봐야 함. KV 캐싱을 고려한 경우에는 peak price(*) 기준 80%, off-peak 65% 정도의 그로스마진을 추정하고 있음.
올해초에 량원펑이 신규 개발에 들어가는 비용을 제외하면 모델 서빙으로 개발비 회수는 몇달만에 가능하다고 투자자 미팅에서 말했었는데, 이정도 수치+계속해서 들어오는 DeepSeek 수요를 고려하면 사실인 것 같음. 미국 프론티어 매출의 대부분이 대부분 엔터프라이즈 수요인 것을 생각하면 왜 미국 국토안보부가 DeepSeek이 간접적으로 묻기만 해도 연방 계약에서 배제한다고 발표했는지 이해가 가는 부분. 이거 미장에는 어떻게 반영되려나...;;;
근데 진짜 DeepSeek 얘네 미친놈들이긴 한듯. 트랜스포머 말도 안되게 마개조해서 비용을 몇십-몇백배씩 깎아버리더니 숫자로 증명해 버리네
https://x.com/zephyr_z9/status/2112499092031185134
*: DeepSeek API는 베이징시간 기준 평일 업무시간대에 가격을 2배로 받습니다
❤1
Mutt Technologies
이 생각은 못했는데, 시트리니 리서쳐가 계산기를 두들긴 결과 딥시크가 성능 측정한 B200 GPU 임대가와 비교하면 추론 서비스의 gross margin은 피크시간대 여부에 따라 87%-96% 사이로 추정된다고 함. 저도 믿기지 않아서 독립적으로 리서치 시켜봤는데, CoreWeave에서 임대하는 가격 기준 비슷한 수준의 숫자가 나옴. 단 이 값은 KV 캐시 등에 필요한 스토리지를 고려하지 않았으므로 고평가되었다고 봐야 함. KV 캐싱을 고려한 경우에는…
이거 이렇게 역산할게 아니라 자기들이 Zhihu에 수익률을 올렸음. $38/hr/gpu. 단일 클러스터가 하루 155조 토큰 서빙 중.
얘네 IPO하나? 왜이렇게 자세하게 풀지?
https://zhuanlan.zhihu.com/p/2095560295930508953
얘네 IPO하나? 왜이렇게 자세하게 풀지?
https://zhuanlan.zhihu.com/p/2095560295930508953
자고 일어났더니 올라온 두가지의 보안 재앙
—-
인도 CA회사 eMudhra 의 intermediate CA 프라이빗 키가 노출되어서 각종 브라우저/OS에서 해당 인증서를 제거하도록 업데이트해야 함.
업데이트되지 않은 상태에서는 누군가 eMudhra intermediate CA 를 사용하여 인증서를 발급한 뒤, HTTPS 트래픽을 도청/변조하는 공격에 당할 수 있음.
• VPN 없이 공용 와이파이 사용을 당분간 자제해야 함. 특히 업데이트 안된 상태에서는.
• 공용 와이파이는 보는 눈이 많아서 그렇지, 사실 ISP를 신뢰하지 않으면 ISP가 동일하게 도청하는 것도 가능함. 집밖에 안나간다고 업데이트 안해도 된다고 생각하면 안됨
• 프로그래머들은 자신들이 사용하는 라이브러리 의존성들도 빠르게 업데이트해야 함. OS의 인증서 번들을 사용하지 않고 자체 번들을 사용하는 경우가 있는데 이런 경우 각 번들 라이브러리들이 해당 인증서를 제거하는 업데이트를 해줘야 함.
참고로 노출된 인증서의 프라이빗키는 그냥
https://emudhra.we-have-a-problem.com/ 에 가면 자세한 설명과 함께 (인증서 제거상태에서는 연결이 되면 안 되는) 연결 테스트를 제공함.
https://x.com/IceSolst/status/2112639669913768363
—-
PHP에 매우 심각한 보안 취약점(원격 코드실행이라는 듯)이 두 개 확인되었고 한국시간 10월 21일 오후 11시 패치 공개 예정. PHP는 국내 회사들도 웹서버 등에서 엄청나게 많이 쓰다보니 관리자가 둔감한 사이트들은 탈탈 털릴듯.
https://www.php.net/archive/2026.php#2026-10-20-1
—-
인도 CA회사 eMudhra 의 intermediate CA 프라이빗 키가 노출되어서 각종 브라우저/OS에서 해당 인증서를 제거하도록 업데이트해야 함.
업데이트되지 않은 상태에서는 누군가 eMudhra intermediate CA 를 사용하여 인증서를 발급한 뒤, HTTPS 트래픽을 도청/변조하는 공격에 당할 수 있음.
• VPN 없이 공용 와이파이 사용을 당분간 자제해야 함. 특히 업데이트 안된 상태에서는.
• 공용 와이파이는 보는 눈이 많아서 그렇지, 사실 ISP를 신뢰하지 않으면 ISP가 동일하게 도청하는 것도 가능함. 집밖에 안나간다고 업데이트 안해도 된다고 생각하면 안됨
• 프로그래머들은 자신들이 사용하는 라이브러리 의존성들도 빠르게 업데이트해야 함. OS의 인증서 번들을 사용하지 않고 자체 번들을 사용하는 경우가 있는데 이런 경우 각 번들 라이브러리들이 해당 인증서를 제거하는 업데이트를 해줘야 함.
참고로 노출된 인증서의 프라이빗키는 그냥
0x0000....0004 였음. 장난하냐?https://emudhra.we-have-a-problem.com/ 에 가면 자세한 설명과 함께 (인증서 제거상태에서는 연결이 되면 안 되는) 연결 테스트를 제공함.
https://x.com/IceSolst/status/2112639669913768363
—-
PHP에 매우 심각한 보안 취약점(원격 코드실행이라는 듯)이 두 개 확인되었고 한국시간 10월 21일 오후 11시 패치 공개 예정. PHP는 국내 회사들도 웹서버 등에서 엄청나게 많이 쓰다보니 관리자가 둔감한 사이트들은 탈탈 털릴듯.
https://www.php.net/archive/2026.php#2026-10-20-1
Mutt Technologies
자고 일어났더니 올라온 두가지의 보안 재앙 —- 인도 CA회사 eMudhra 의 intermediate CA 프라이빗 키가 노출되어서 각종 브라우저/OS에서 해당 인증서를 제거하도록 업데이트해야 함. 업데이트되지 않은 상태에서는 누군가 eMudhra intermediate CA 를 사용하여 인증서를 발급한 뒤, HTTPS 트래픽을 도청/변조하는 공격에 당할 수 있음. • VPN 없이 공용 와이파이 사용을 당분간 자제해야 함. 특히 업데이트 안된 상태에서는.…
PHP 취약점 요이-땅 하셨나요? 이제 Node 취약점 요이-땅 하시면 됩니다. Node는 저 포함 코인충들도 많이 쓸거같은데... (얼마나 파괴적인지는 아직 스포된게 없음)
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
The Node.js project will release new versions of the 26.x, 24.x, 22.x releases lines on or shortly after, Wednesday, October 21, 2026 in order to address security vulnerabilities.
The highest severity issue fixed in this release is HIGH.
Impact
• The highest severity issue fixed in the 26.x release line is HIGH.
• The highest severity issue fixed in the 24.x release line is HIGH.
• The highest severity issue fixed in the 22.x release line is HIGH.
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
nodejs.org
Node.js — Wednesday, October 21, 2026 Security Releases
Node.js® is a free, open-source, cross-platform JavaScript runtime environment that lets developers create servers, web apps, command line tools and scripts.
10월은 업토버가 아니라 해킹토버일수도?
이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데,
Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님)
Railway 랑 별개로 지금 GitLab에는 임의의 사용자가 깃랩 서버 탈취 및 원격코드실행을 할 수 있는 CVSS 10.0 취약점이 올라와서 초긴급 패치가 요구되는 상황.
이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데,
Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님)
Railway 랑 별개로 지금 GitLab에는 임의의 사용자가 깃랩 서버 탈취 및 원격코드실행을 할 수 있는 CVSS 10.0 취약점이 올라와서 초긴급 패치가 요구되는 상황.
X (formerly Twitter)
Railway (@Railway) on X
An urgent notice from the Railway team
https://t.co/niUAhTAQJM
https://t.co/niUAhTAQJM
❤2
Mutt Technologies
10월은 업토버가 아니라 해킹토버일수도? 이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데, Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님) Railway 랑 별개로 지금 GitLab에는…
레일웨이는 처음에 사이트 셧다운한 이후로 15시간 뒤에야 "보안정보 유출이니 키 교체하시오" 라는 공지를 내보내서 그사이에 이미 엄청나게 많이 털렸기 때문에(crypto sweeper 도 돌아간듯?), 무책임한 대응이라고 욕을 엄청나게 먹고 있음. 신뢰를 엄청나게 잃어서 망할수도