😱 Магазины публикуют вредоносные приложения без проверок?

Специалисты из Swordfish Security создали небезопасное приложение под названием Secure Notes, содержащее множество уязвимостей, а затем загрузить в популярные магазины приложений.

☢️ Вот какие уязвимости добавили в приложение:

✖️Возможность создания бэкапа с данными приложения
✖️Хранение приватных ключей (SSH) в открытом виде
✖️Серверный ключ от FCM с расширенным доступом
✖️Передача чувствительных данных в параметрах GET-запроса (например, 2FA-кодов)
✖️Локальное хранение аутентификационных данных в открытом виде
✖️Обход биометрии и другие

Все перечислять не будем (их там не один десяток) — вы можете прочитать всю статью по этой ссылке. Думаем, уже и так понятно, что приложение буквально состоит из уязвимостей.

🫣 А теперь давайте переедем к результату!

Воздуха в грудь набрали?

📱 Несмотря на то, что в приложении было как минимум семь уязвимостей из официального чек-листа Google Play, приложение было опубликовано в магазине без единого замечания.

Только спустя почти месяц сканер Google оставил два замечания приложению в консоли разработчика, при этом не мешающие публикации. Как вам уровень безопасности Google Play?

Также приложение удалось без проблем опубликовать Huawei AppGallery, Xiaomi GetApps, RuStore и NashStore.

📱 AppStore почему-то не проверяли (скорее всего, заранее были в курсе, что приложение не пройдет), но было бы тоже интересно узнать результат. Уже было как минимум три случая попадания фейковых приложений кошельков в AppStore, но их достаточно быстро оттуда удаляли.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

👏 Спасибо подписчику с ником LaouiFree за отличный комментарий к последнему ролику про анонимность!

В ролике я ответил на частый вопрос про свопы (обмены) в дексах:

🤔 Являются ли они способами анонимизации?

Напомню, что речь идет об обмене в дексе на внешний адрес. Выяснилось, что в свопе в периметре одной сети легко разобрать получателя и отправителя через раздел произвольных данных.

Однако в кроссчейн-свопе это сделать куда сложнее. Одним словом, в самой транзакции вы не сможете найти отправителя.

🤔 То есть кросчейн-своп — это очень простой способ анонимизировать свой портфель от обычного человека.

🎥 Если еще не видели сам ролик — непременно посмотрите!

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

📱 В последнюю прошивку Keystone 3 Pro добавили imToken

imToken — это популярный мультивалютный мобильный кошелек со встроенной DEX-биржей.

Теперь у Keystone 3 Pro есть 6 интерфейсов для управления Ethereum, EVM-сетями и их токенами:

😘 MetaMask
🥰 Rabby Wallet
🤩 OKX Wallet
🪙 Safe
😁 BlockWallet
🐋 imToken

🪙 В ближайшем обновлении, которое запланировано уже на начало декабря, добавят DOGE, BCH, LTC, DASH и другие монеты.

Скорее всего, они будут доступны для управления в кошельке OKX, который должен стать приложением «все в одном». Также в декабре планируется добавление TRON и токенов TRC20.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

💰 Прошло 11 лет с момента первого халвинга Биткоина!

28 ноября 2012 года в сети Bitcoin на высоте блока 210 000 состоялся первый халвинг, и награда за блок уменьшилась вдвое с 50 до 25 BTC. После этого цена BTC выросла $11,7 до $13,3.

Тогда, наверное, майнеры сильнее всего ощутили силу этого механизма, ведь с каждым халвингом актив BTC становится все более дефицитным.

🕐 Это событие происходит примерно раз в 4 года. Халвинг уже состоялся три раза: в 2012, 2016 и 2020 годах.

В настоящее время вознаграждение за блок биткоина составляет 6,25 BTC, а уже в апреле 2024 года состоится следующий халвинг, и выплата уменьшится до 3,125 BTC.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🔸 Binance прекратит поддержку стейблкоина BUSD 15 декабря

Мы наблюдаем, что давление на стейблкоины, за исключением USDT и USDC, усиливается. Не так давно другой стейблкоин TUSD терял привязку к доллару США: в июне курс токена на бирже Binance US падал до $0,8.

💲 BUSD, в основном, торгуется на Binance. Есть пары с USDT на ByBit и Bitget. С 15 декабря обменять BUSD на другие активы на Binance будет нельзя, а с 31 декабря биржа вовсе закроет вывод.

Несмотря на негативные новости, пока что курс BUSD Не просел, но кто знает, когда может повториться ситуация, как с UST или USDN? Какой актив станет следующим? TUSD? USDD?

🤔 Кстати, учитывая FUD вокруг Джастина Сана и его проекта Tron (по словам Reuters, этот блокчейн используют для финансирования терроризма), обвал USDD кажется более, чем реальным. Курс USDD и так давно держится ниже $1,00 и еще сильнее просел после обвинений в адрес Tron.

А в каких стейблах вы храните средства?

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🎥 Новое видео на канале Sunscrypt!

В этом видео команда Sunscrypt вместе с Сергеем из World of Mining 🪙рассказывают о видах майнинга и актуальной доходности асиков: в квартире, для отопления дома и для бизнеса.

✅ Какие виды майнинга бывают?
✅ Как рассчитать доходность?
✅ В чем особенности домашнего и промышленного майнинга?
✅ Какое оборудование выбрать в 2023?

👉 Смотрите ролик, чтобы узнать ответы, и делитесь своим опытом в комментариях под видео!

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

Кто взломал, того и компания

Мои требования следующие: Полный исполнительный контроль над компанией Kyber

Такое сообщение вчера оставил хакер, который ранее похитил 47$ миллионов из декса KyberSwap. 💶

Полный список его требований смотрите в 👉 обозревателе блокчейна.

О том, как создавать и читать сообщения у нас есть видео.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🤯 Ноябрь установил антирекорд по количеству украденных хакерам и средств

Immunefi выпустила подробный отчет о безопасности за ноябрь 2023ч

💸 Убытки от взломов и мошеннических атак за ноябрь составили $343 млн — в 15 раз больше по сравнению с октябрем. Причем более 46% пришлось на DeFi-сектор.

Всего с начала года зафиксировано 296 инцидентов, в результате которых было потеряно ~$1,5 млрд.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🧐 Web3, говорите?

В процессе создания контента и изучения рынка DeFi, я все чаще сталкиваюсь с недоступностью протоколов для российских айпишников.

🥸 Вот, например, недавно я посетил сайт популярного маркетплейса Blur, чтобы изучить его экосистему — результат вы видите на скриншоте.

Следом я пытался изучить экосистему Gala Games — тоже не вышло без VPN.

Учитывая, что инструменты вроде VPN и прокси доступны многим (на самом деле, я не представляю себе ни одного подписчика, который им сейчас не пользуется), то обойти все это проще простого.

👉 Однако есть и нюансы, которые я могу разобрать в отдельном посте. Они, в основном, касаются дропхантеров (охотников за ретродропами). Если среди вас есть такие, поставьте 🐳, и я сделаю отдельный пост на эту тему.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🤔 Bitcoin-кошельки, созданные в 2011–2015 годах через онлайн-сервисы, могут быть небезопасны

Специалисты Unciphered обнаружили (статья на русском языке — тут) уязвимости в библиотеке BitcoinJS, использовавшейся для генерации ключей в онлайн-сервисах. Этот набор уязвимостей получил название Randstorm.

Дело в том, что секретные ключи генерировались с большей предсказуемостью, чем ожидали разработчики. Эти сервисы использовал, в частности, популярный горячий кошелек Blockchain.info (ныне Blockchain.com).

Полный список кошельков — на скриншоте.

👉 Уязвимость устранили только в 2014 году, но кошельки, созданные ранее, остаются уязвимыми.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

😀 Сети Cosmos предстоит хардфорк?

Сооснователь Cosmos Дже Квон покидает Cosmos Hub и планирует провести хардфорк.

В результате Cosmos Hub может разделится на две части:

1️⃣ Cosmos Hub

Это блокчейн станет центром инноваций, которые и стали причиной раскола команды. Дже Квон придерживается консервативных взглядов и стал одним из тех, кто заблокировал обновление ATOM 2.0.

Также Дже Квон посчитал слишком рискованным уже принятое предложение по снижению уровня инфляции ATOM в два раза.

Отметим, что Cosmos Hub является только отдельным блокчейном экосистемы.

2️⃣ AtomOne

Этот протокол сохранит прежний курс. По мнению Дже Квона, инновации, внедряемые в протокол Cosmos Hub, угрожают безопасности блокчейна.

AtomOne и Cosmos Hub будут работать в пределах одной экосистемы и поддерживать ATOM. Однако у AtomOne также будет свой токен ATOM1, который раздадут в ходе эйрдропа стейкерам ATOM.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

☝️ Какая технология стоит за биометрической защитой Keystone 3 Pro?

Использование паролей может быть небезопасным из-за наличия внешних наблюдателей. Авторизация по отпечатку пальца защищает от компрометации конфиденциальных данных, но что, если будет скомпрометирован сам отпечаток? 🤔

В отличие от пароля, который можно менять сколько угодно раз, отпечаток уникален и остается неизменным в течение жизни.

📱 В Keystone 3 Pro защиту биометрических данных обеспечивает чип безопасности MAX32520. После записи данные отпечатка шифруются и сохраняются во флеш-памяти SE-чипа.

При каждой попытке разблокировать интерфейс кошелька или подписать транзакцию с помощью отпечатка пальца, данные отправляются на SE-чип, который сравнивает, совпадает ли отпечаток с сохраненным ранее. Это защищает устройство от различных видов атак, которые могут привести к утечке биометрических данных.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🎥 Новое видео уже на канале!

🛡 Криптокошелек — что это такое?

В ролике Владимир разобрал, где на самом деле находятся монеты, кто владеет ключом и где он хранится.

Этот ролик подготовлен для новичков, которые делают первые шаги в крипте, но и более опытным пользователям не лишним будет посмотреть и освежить память.

💡Знаний, как и безопасности, много не бывает!

👉 Смотрите ролик, ставьте реакции и делитесь своим мнением в комментариях!

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🤔 Какими будут кошельки в будущем?

За время подготовки к ролику мы нашли много интересных материалов. Например, в этой статье подробно описана эволюция кошельков. После исторических справок мы начали размышлять над вопросом:

Почему криптокошелек так называется?

🤖 На эту тему есть ветка на Reddit, где предлагаются альтернативные названия. И мы нашли статью одного пользователя, в которой выдвинуты гипотезы о том, что кошельки это как инвентарь в игре. Их будет появляться всё больше под конкретные проекты, они станут нашими цифровыми идентификаторами.

🦊 Сейчас мы видим, как активно Metamask развивает свой продукт Snaps. Эти инструменты открывают новый путь в эволюции кошельков: один сервис для всех задач. Правильно ли это? Какими будут кошельки в 2024—2025? Как скоро слово кошелек вообще станет архаизмом? Вопрос тренда.

Ставьте 🔥, если хотите подробный ролик о Metamask Snaps.

❌ Кстати, на обложке поста — распространенный скам пятнадцатого века. Будьте осторожны!

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

⌨️ Новые функции — новые возможности для хакеров

🦊 Компания по безопасности Ottersec обнаружила возможные уязвимости MetaMask Snaps.

В компании перечислили функции, которые могут быть уязвимы для атак и привести к проблемам с безопасностью:

• Нарушение изоляции SES-контейнера;
• Небезопасные ресурсы в контейнерах;
• Некорректные проверки разрешений для RPC;
• Небезопасная установка/обновление Snap.

В частности, Ottersec выявила незначительную по их словам ошибку в RPC-интерфейсах Snap, позволяющую обойти разрешения.

👉 Простыми словами, эксплойт позволяет Snap выполнять запросы Ethereum без разрешений и незаметно предлагать пользователям вредоносные транзакции.

Разработчики MetaMask внедрили множество уровней для смягчения последствий от возможных атак, а Ottersec совместно с ними работают над устранением эксплойта.

🔗 Полную версию статьи можете прочитать по этой ссылке.

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

😋 Zerion выпустила расширение кошелька для браузера

Zerion — популярный мобильный горячий кошелек с простым интерфейсом и множеством полезных функций, включающих мониторинг криптопортфелей. Послужит неплохой альтернативой MetaMask (у кошелька есть функция его имитации, как и у Rabby).

➡️ Вот некоторые полезные функции плагина:

✅ Фильтрация ончейн-спама, позволяющая скрывать скам-токены
✅ Уведомления при попытке подключить кошелек к вредоносному децентрализованному приложению (DApp)
✅ Отображение результата транзакции перед ее подписью, что позволяет избежать несанкционированной траты средств с кошелька
✅ Функция revoke (отзыв разрешений у смарт-контракта)
✅ Управление несколькими кошельками и фильтрация по сетям
✅ Отображение NFT и DeFi-позиций (активов в пулах ликвидности)
✅ Интеграция аппаратного кошелька Ledger

Какой из плагинов вам больше нравится и почему?

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

🕵️‍♂️ Визуализация — инструмент Шерлока

К нам часто обращаются с запросом найти куда ушли средства, распутать схему скама. И если вы опытный криптан, к вам наверное тоже общались за помощью друзья.

🤔 Какими сервисами пользоваться, чтобы провести своё «домашнее расследование»?

Вот список бесплатных сервисов визуализации, с помощью которых можно отследить маршрут средств, установить связь кошельков и кластеризировать их.

🔹 Metasleuth — Биткоин и другие сети, широкая база адресов
🔹 Arkham — большая база адресов и визуализация
🔹 Nansen — много инструментов ончейн аналитики
🔹 WalletExplorer — большая база Биткоин адресов
Breadcrumbs — много сетей, нужно включать VPN
🔹 ETHtective — только для Эфира

Старые добрые блокчейн-обозреватели тоже нужно использовать, без них никуда.

💰 Кстати, вы знаете как по типу биткоин-адреса определить, какой выход является сдачей?

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты

❤️Сотни смарт-контрактов находятся под угрозой

Thirdweb обнаружила уязвимость в открытой библиотеке, которая затрагивает сотни смарт-контрактов и типы токенов, включающих DropERC20, ERC721, ERC1155 и AirdropERC20. В частности, уязвимость затрагивает NFT-коллекции OpenSea⛵️ и Coinbase💸. Проблема также касается смарт-контрактов, развернутых в L2-сети Base🔵.

Компании уже признали наличие уязвимости и сотрудничают с Thirdweb для скорейшего устранения.

🤷‍♂️ Поскольку исходный код открыт, любой злоумышленник может эксплуатировать найденную уязвимость. Безопасность смарт-контрактов приложений, в отличие от контрактов самих сетей, не обеспечивается сотнями валидаторов и при малейшей уязвимости ничто не мешает хакерам вывести средства с взаимодействующих с ними кошельков. Единственный способ обезопасить себя от такого — делать revoke (отзывать разрешения у контрактов).

Мне кажется, эту систему разрешений как-то пора менять — она ну очень ненадежна. Например, добавлять к разрешениям второй фактор, без которого будет нельзя что-либо делать с активами пользователя.

🗣 Если тут есть разработчики, давайте подискутируем: каким образом можно решить проблему и какие функции можно добавить в смарт-контракты, чтобы защитить пользователей от несанкционированного вывода средств из его кошелька?

SUNSCRYPT ✦ Магазин ✦ Поддержка ✦ YouTube ✦ Обменник ✦ Майнинг ✦ Подкасты