Pesan Gate News, 22 April — Peneliti keamanan Doyeon Park mengungkap kerentanan zero-day kritis CVSS 7.1 pada lapisan konsensus CometBFT di Cosmos yang dapat menyebabkan node membeku selama sinkronisasi blok, berpotensi memengaruhi jaringan yang mengamankan lebih dari $8 miliar aset. Kerentanan ini tidak dapat secara langsung mencuri dana.
Park memulai proses pengungkapan terkoordinasi pada 22 Februari tetapi menghadapi penolakan dari vendor, yang meminta pengajuan isu GitHub secara publik sambil menolak pengungkapan publik. Pada 4 Maret, HackerOne menandai laporan keduanya sebagai spam. Pada 6 Maret, vendor secara sewenang-wenang menurunkan kerentanan terkait (CVE-2025-24371) menjadi tingkat “informational”, mengabaikan standar internasional. Park mengajukan bukti konsep tingkat jaringan untuk menanggapi keputusan ini sebelum mengungkapkan kekurangan tersebut secara publik pada 21 April.
Park merekomendasikan validator Cosmos menghindari melakukan restart node sebelum patch dirilis. Node yang sudah berada dalam mode konsensus dapat terus beroperasi, tetapi restart dan masuk ke sinkronisasi dapat membuat mereka terekspos serangan dari rekan berbahaya, yang berpotensi menyebabkan deadlock.
Penafian: Informasi di halaman ini dapat berasal dari pihak ketiga dan tidak mewakili pandangan atau opini Gate. Konten yang ditampilkan hanya untuk tujuan referensi dan bukan merupakan nasihat keuangan, investasi, atau hukum. Gate tidak menjamin keakuratan maupun kelengkapan informasi dan tidak bertanggung jawab atas kerugian apa pun yang timbul akibat penggunaan informasi ini. Investasi aset virtual memiliki risiko tinggi dan rentan terhadap volatilitas harga yang signifikan. Anda dapat kehilangan seluruh modal yang diinvestasikan. Harap pahami sepenuhnya risiko yang terkait dan buat keputusan secara bijak berdasarkan kondisi keuangan serta toleransi risiko Anda sendiri. Untuk detail lebih lanjut, silakan merujuk ke
Penafian.
Artikel Terkait
Penyerang Venus Protocol memindahkan 2301 ETH, mengalir ke Tornado Cash untuk dicuci
Berdasarkan pemantauan analis on-chain Ai Bibi pada 22 April, penyerang Venus Protocol mentransfer 2.301 ETH (sekitar 5,32 juta dolar AS) ke alamat 0xa21…23A7f dari 11 jam yang lalu, kemudian secara bertahap memindahkan dana tersebut ke mixer kripto Tornado Cash untuk melakukan pencucian; hingga saat pemantauan, penyerang masih memegang sekitar 17,45 juta dolar AS dalam bentuk ETH di rantai.
MarketWhisper44menit yang lalu
Eksposur kerentanan zero-day CometBFT, 8 miliar dolar AS node jaringan Cosmos menghadapi risiko deadlock
Peneliti keamanan Doyeon Park pada 21 April mengungkapkan secara publik adanya kerentanan zero-day tingkat kritis dengan skor CVSS 7.1 dalam lapisan konsensus Cosmos, CometBFT, yang berpotensi menyebabkan node diserang oleh rekan sejawat (peer) berbahaya pada tahap sinkronisasi blok (BlockSync) sehingga mengalami kebuntuan (deadlock), sehingga berdampak pada jaringan yang melindungi lebih dari 8 miliar dolar AS aset.
MarketWhisper49menit yang lalu
Grup Lazarus Korea Utara Merilis Malware macOS Baru Mach-O Man yang Menargetkan Kripto
Ringkasan: Lazarus Group merilis toolkit malware asli macOS bernama Mach-O Man, yang ditujukan untuk platform kripto dan eksekutif bernilai tinggi; SlowMist memperingatkan pengguna untuk berhati-hati terhadap serangan.
Abstrak: Artikel ini melaporkan bahwa Lazarus Group telah meluncurkan Mach-O Man, sebuah toolkit malware asli macOS yang ditujukan untuk platform cryptocurrency dan eksekutif bernilai tinggi. SlowMist memperingatkan pengguna untuk berhati-hati guna mengurangi potensi serangan.
GateNews1jam yang lalu
Selat Hormuz muncul penipuan tol Bitcoin, kapal ditembak meski sudah membayar
Menurut CoinDesk pada 22 April, perusahaan layanan risiko maritim Yunani, Marisks, mengeluarkan peringatan yang menyatakan para penipu menyamar sebagai otoritas Iran dan mengirim pesan kepada beberapa perusahaan pelayaran untuk meminta Bitcoin atau USDT sebagai “biaya tol” untuk melewati Selat Hormuz. Marisks mengonfirmasi bahwa pesan-pesan terkait tidak berasal dari saluran resmi Iran, dan, menurut laporan Reuters, menyatakan bahwa mereka percaya setidaknya satu kapal menjadi korban penipuan dan, pada akhir pekan saat mencoba melintas, tetap terkena tembakan artileri.
MarketWhisper1jam yang lalu
Pembaruan insiden keamanan RHEA Finance: Masih ada kekurangan sekitar 400.000 dolar AS, berkomitmen untuk membayar penuh ganti rugi
RHEA Finance merilis pembaruan lanjutan untuk insiden keamanan pada 16 April, mengonfirmasi bahwa dalam upaya pemulihan aset telah dicapai kemajuan yang nyata; hingga pembaruan ini, diperkirakan masih ada kekurangan dana sekitar 400 ribu dolar AS, terutama berasal dari kombinasi NEAR, USDT, dan USDC dalam kumpulan dana pasar pinjaman. RHEA Finance berjanji akan menutupi sepenuhnya setiap kekurangan yang tersisa, memastikan semua pengguna yang terdampak menerima kompensasi penuh.
MarketWhisper1jam yang lalu
Penyerang Venus Memindahkan 2.301 ETH ke Mixer, Tornado Cash Digunakan untuk Pencucian
Analisis on-chain melacak penyerang protokol Venus yang memindahkan 2.301 ETH (~$5,32M) ke sebuah alamat yang diduga, lalu melakukan penggabungan melalui Tornado Cash; sekitar $17,45M tetap ada di rantai.
Abstrak: Catatan ini merangkum aktivitas on-chain yang terkait dengan penyerang protokol Venus, termasuk pemindahan 2.301 ETH (~$5,32M) ke sebuah alamat dan pencampuran batch melalui Tornado Cash, dengan sekitar $17,45M masih ditahan di rantai.
GateNews1jam yang lalu
