慢雾 SlowMist

Contexto
El 29 de octubre de 2026, el conocido protocolo de interoperabilidad zkLink sufrió un ataque que causó pérdidas de aproximadamente 783.000 dólares. A continuación, el equipo de seguridad de SlowMist presenta un análisis detallado del incidente:
Conocimientos previos
zkLink es un protocolo de agregación zk (rollup) multicadena. En Ethereum, el contrato de ZkLink (0x5fd9f73286b7e8683bab45019c94553b93e015cf) actúa como servicio de mensajes L1 y, al mismo tiempo, custodia la tesorería de ETH; su complemento, L1ERC20Bridge (0xad16edcf7deb7e90096a259c81269d811544b6b6), custodia la tesorería de ERC-20.
La base de confianza para los retiros es la «raíz del lote». Cada retiro en L2 genera un registro L2→L1, y los registros de un mismo lote forman un árbol de Merkle. Una vez ejecutado el lote en L2, su raíz de registros l2LogsRootHashes[batchNumber] se sincroniza con el contrato de ZkLink en L1. Cuando un usuario retira fondos en L1, envía el mensaje de retiro y una prueba de Merkle. ZkLink calcula la prueba con la raíz almacenada y solo libera los fondos si la verificación es correcta. En otras palabras, el mensaje solo puede ser auténtico si la raíz lo es; si la raíz es falsificada, cualquier mensaje puede «demostrarse» como si hubiera ocurrido. ZkLink también usa totalBatchesExecuted para registrar el número del último lote ejecutado; durante la verificación, exige que _batchNumber @= totalBatchesExecuted.

El 2 de noviembre, SlowMist y el bufete de abogados JunHe celebrarán en Hong Kong la «Superar los desafíos estructurales y sentar las bases para la gestión de riesgos | Cumbre privada de 2026 sobre RWA y pagos con stablecoins para instituciones en Hong Kong».
La cumbre reunirá a invitados de los sectores financiero, de activos digitales, servicios jurídicos y seguridad blockchain, entre otros. A partir de su experiencia práctica, debatirán sobre temas como la emisión y aplicación de RWA, los pagos con stablecoins y la expansión de los negocios de valores, así como la gestión institucional de riesgos de seguridad.
Horario del evento: 2 de noviembre, de 14:00 a 18:30
Lugar del evento: AIA Central, Hong Kong
Enlace de inscripción: https://luma.com/0p20jvw

Para responder a las necesidades reales de las investigaciones masivas de riesgos y del rastreo de fondos en la cadena, MistTrack ha lanzado recientemente dos nuevas funciones: el análisis masivo de KYA y el lienzo de seguimiento. La primera ayuda a los equipos de gestión de riesgos y cumplimiento a procesar grandes cantidades de direcciones de monederos de forma centralizada e identificar rápidamente los casos de riesgo prioritarios. La segunda combina gráficos visuales de transacciones, seguimiento inteligente con IA y búsqueda de rutas para ayudar a los investigadores a reconstruir el flujo de fondos, localizar direcciones clave y detectar posibles vínculos de riesgo.
Regístrate y prueba MistTrack a través del siguiente enlace: https://dashboard.misttrack.io/
Análisis masivo de KYA: una forma más eficiente de investigar los riesgos de las direcciones

Antecedentes
Recientemente, durante sus actividades habituales de recopilación de inteligencia sobre amenazas, el equipo de seguridad de SlowMist detectó un ataque en el que se habían comprometido scripts relacionados con el sistema de atención al cliente Udesk. A continuación, el equipo obtuvo dos muestras de JavaScript, udeskApi.2026-10-16.cached.js y deeps.js, y las analizó para rastrear cómo el código malicioso se infiltraba en las páginas a través de los scripts de atención al cliente y qué hacía con los datos de los usuarios y las operaciones comerciales.
El análisis de las muestras reveló gradualmente dos tipos de riesgo: por un lado, los scripts maliciosos recopilaban datos de sesión de las páginas web e información confidencial enviada por los usuarios; por otro, modificaban las direcciones de recarga y el contenido copiado según las reglas de cada sitio. El primer comportamiento podría permitir a los atacantes suplantar sesiones iniciadas o tomar el control de cuentas; el segundo podría hacer que los usuarios transfirieran fondos de recarga a una dirección de destinatario sustituida. Partimos del punto de entrada de carga de los scripts de atención al cliente y seguimos la lógica de lectura de datos, envío por red y modificación de páginas para reconstruir cómo se implementaban estos dos tipos de comportamiento y qué condiciones los activaban.

La tokenización de activos del mundo real (RWA) y los pagos con stablecoins se están incorporando progresivamente a un abanico más amplio de escenarios financieros y comerciales. Desde la emisión, negociación y distribución de RWA hasta los pagos con stablecoins y las liquidaciones transfronterizas, estas actividades involucran múltiples etapas y participantes. A medida que amplían sus operaciones, las instituciones también deben afrontar desafíos relacionados con la gestión del cumplimiento normativo, los riesgos financieros y la seguridad.
El 2 de noviembre, SlowMist y el bufete de abogados JunHe celebrarán en Hong Kong la «Replantear la arquitectura, sentar las bases de la gestión de riesgos | Cumbre privada para instituciones sobre RWA y pagos con stablecoins en Hong Kong 2026». Representantes de las instituciones pertinentes intercambiarán puntos de vista sobre las prácticas empresariales, los requisitos de cumplimiento normativo y la gestión de riesgos en torno a los RWA y los pagos con stablecoins.

Antecedentes
El equipo de seguridad de SlowMist recibió recientemente comentarios de usuarios sobre el repositorio de GitHub sol-live. Presentado como un proyecto de ejercicios para entrevistas de Solidity, su README incluye 8 preguntas y afirma que cada una requiere entre 5 y 10 minutos, lo que reduce la cautela de quienes lo usan.
El análisis reveló que el archivo de configuración del espacio de trabajo de VS Code, .vscode/settings.json, contiene un comando para descargar y ejecutar contenido que no guarda relación con los ejercicios de contratos. Además, se insertaron cientos de espacios antes del comando para hacerlo menos visible. Al mismo tiempo, una regla de exclusión de archivos oculta el directorio .vscode. Si un desarrollador inicia una terminal con la configuración maliciosa definida por el proyecto, podría activarse la descarga y ejecución de un script remoto.

¿Qué ocurrió?
El 21 de octubre, el proyecto PHP publicó una actualización de seguridad de emergencia para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que podían permitir la ejecución remota de código (RCE) sin autenticación. Ambas recibieron una puntuación de 9,2 en CVSS v4.0. PHP indicó explícitamente que, antes de aplicar las correcciones, todas las instalaciones de PHP que ofrecieran servicios web al exterior podían verse afectadas.
https://www.php.net/index.php#2026-10-20-1
El 20 de octubre, los detalles de las vulnerabilidades se filtraron antes de su divulgación oficial, cuando aún no se había publicado ningún parche. El equipo de seguridad de PHP tuvo que adelantar el lanzamiento de la versión de emergencia del 22 de octubre a las 14:00 (UTC) del 21 de octubre.

Antecedentes
El 18 de octubre, un anuncio oficial de Qubic reveló que un atacante aprovechó la falta de aleatoriedad en las semillas de algunas billeteras para acceder a unas 2,94 billones de QU y transferirlas desde 1.404 billeteras de Qubic. Al analizar Qubic Wallet, el equipo de seguridad de SlowMist descubrió que el generador de semillas de cuentas integrado en la billetera utiliza Math.random(), que no es criptográficamente seguro, y que algunas salidas del mismo flujo aleatorio se envían en texto plano al par de red a través de la cabecera del protocolo (el campo dejaVu). Estas dos rutas de código, pese a estar muy alejadas entre sí, están conectadas por el mismo flujo pseudoaleatorio, lo que crea una cadena completa que permite recuperar claves privadas de cuentas a partir de unas pocas observaciones de red.

Antecedentes
El 18 de marzo de 2026, Google Threat Intelligence Group publicó el informe (The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors), que analiza la propagación de la cadena de explotación DarkSword entre varios grupos de atacantes.
Esta cadena apunta a iPhone con iOS 18.4 a 18.6.2. Se activa al abrir una página específica en Safari y, finalmente, roba archivos, datos del llavero y pulsaciones de teclas. Su objetivo principal son tres aplicaciones de monederos de criptomonedas. La cadena consta de seis CVE, tres de los cuales seguían siendo vulnerabilidades de día cero activamente explotadas cuando se observaron.

I. Antecedentes
El equipo de seguridad contra la niebla lenta recibió recientemente una solicitud de ayuda de un usuario de Fomo con el apodo de Fomo. El usuario informó que, mientras consultaba los detalles del token MOONLET en el sitio web de Fomo, hizo clic en la entrada del sitio web oficial del proyecto que se muestra en la página, accedió a voltage.family y, siguiendo las indicaciones, completó un “verificador de humano o máquina”. Después, descubrió que alrededor de 48.000 USD de activos de su cuenta habían sido transferidos. Durante todo el proceso, no conectó una cartera, no realizó autorizaciones en la cadena y tampoco introdujo una frase mnemotécnica ni una clave privada. El usuario inició sesión en Fomo mediante Google y afirmó que la cuenta no tenía activada la verificación en dos pasos.
Tras recibir la denuncia, el equipo de seguridad de niebla lenta realizó un análisis de las páginas y los scripts relacionados, y descubrió que el supuesto “verificador de humano o máquina” guía al usuario a agregar y hacer clic en un marcador malicioso. El marcador incrusta código JavaScript, cuyo objetivo es leer el almacenamiento del navegador en la página de Fomo, extraer el token de inicio de sesión y enviar los datos a una dirección externa.

En septiembre de 2026, el Grupo de Acción Financiera (FATF) publicó el informe temático (Risks of Gaming and Gambling), que realizó un análisis sistemático de los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación a los que se enfrentan sectores como los casinos, las apuestas deportivas, otras formas de juego y los juegos en línea.
El valor de este informe no está en considerar indiscriminadamente como de alto riesgo todas las actividades de juego y apuestas, sino en revelar un cambio que merece la atención de las instituciones de servicios de activos virtuales: cuando se superponen la digitalización, la internacionalización, los modelos de múltiples productos y los múltiples métodos de pago, las plataformas de juegos y apuestas se están convirtiendo en parte de un ecosistema más amplio de transferencia de valor. Para las bolsas, los VASP y las instituciones de servicios de activos virtuales que ofrecen servicios de pagos con criptomonedas, los fondos provenientes de este ecosistema no deberían interpretarse únicamente como una “transacción de apuestas”, sino que deben examinarse dentro del contexto completo de las relaciones de fondos.

18 de septiembre, Japón: la Policía Nacional, junto con la Oficina de Coordinación de la Ciberseguridad de la nación, y el FBI de Estados Unidos, el Centro de Cibercrimen del Departamento de Defensa de Estados Unidos, la Agencia de Señales / Centro de Ciberseguridad de Australia, la Oficina Federal de Inteligencia de Alemania y la Oficina Federal para la Protección de la Constitución, emitieron en conjunto un informe conjunto en el que participaron seis partes; el protagonista es una organización de hackers con trasfondo norcoreano: WaterPlum (también conocida como "Contagious Interview", traducción literal: "entrevista camuflada").
La actividad de ataque de "Contagious Interview" ya había sido rastreada durante años por varias empresas internacionales de seguridad; a menudo se la considera relacionada con el Lazarus Group de Corea del Norte. En esta ocasión, por primera vez, la policía japonesa divulgó oficialmente, junto con múltiples organismos de otros países, un caso concreto en su país y las pruebas incautadas.

Contexto
La muestra proviene de una rama de desarrollo del paquete de extensión de Laravel Nova `visanduma/nova-two-factor`, que pertenece a la campaña PolinRider. Es un paquete PHP publicado en Packagist; al momento del análisis de este artículo, las descargas acumuladas ya superaban las 700.000 veces.
La cadena de entrega no escribe la dirección C2 en el código de muestra. El código implantado primero consulta Ethereum; a partir de la dirección de recepción de una transacción, extrae las IP de dos servidores, y luego recupera la carga posterior mediante HTTP. Para que el atacante cambie de servidor, solo necesita publicar una transacción nueva en la cadena; no es necesario volver a envenenar este paquete.
El destino de esta cadena es un capturador de credenciales multiplataforma que recopila cuentas y cookies del navegador, datos de carteras cifradas, bases de datos de gestores de contraseñas y credenciales de desarrollo.

Recientemente, el equipo de seguridad de SlowMist recibió múltiples reportes de que los activos de los usuarios fueron robados. Tras la verificación, se confirmó que los incidentes relacionados implicaban la filtración de claves privadas; en algunos de los usuarios afectados, habían descargado y utilizado la versión 1.1–1.2 de la app FomoPeek.
En colaboración con el equipo de seguridad de OKX, realizamos un análisis conjunto y confirmamos que FomoPeek 1.1 y 1.2 incorporaron dos módulos maliciosos, apptrace y libapptracecore, con capacidad de configuración remota, explotación de vulnerabilidades del kernel, evasión del sandbox, descifrado de Keychain y recopilación de datos entre aplicaciones.
La validación dinámica muestra que la aplicación obtiene desde Bitbucket una dirección C2 cifrada y reporta la información del dispositivo a api-a95f0ed200f.assisaint[.]com, además de recibir configuraciones remotas. Durante la prueba, el exploit_enabled devuelto por la C2 era false. Para verificar la ejecución de la cadena posterior, en un entorno aislado modificamos a true los conmutadores relevantes después de que el cliente descifrara mediante Hook; luego obtuvimos la lista de recopilación dirigida a 19 carteras y aplicaciones de notas, y capturamos la solicitud completa con la que se empaquetó y subió el contenedor de Apple Notes.

Autor: Johan y Lisa
Editor: 77
6 de septiembre, 13:52:10 UTC. En el bloque 4.050.335 de Liquid aparecieron dos transacciones con la misma estructura. Un minuto después, el bloque 4.050.336 confirmó una tercera transacción. Aproximadamente 3.998,5 L-BTC ingresaron en el conjunto UTXO sin que detrás hubiera ningún peg-in. Unos minutos más tarde, esos activos que no existían empiezan a agruparse y consumirse, y luego se convierten en BTC real en la red principal de Bitcoin a través del canal de peg-out federado.
Al día siguiente, 3.400 BTC fueron devueltos a la cartera de peg federado. Los 598,5 BTC restantes quedaron en manos del atacante y, al momento de la publicación, siguen siendo objeto de autotransferencias repetidas; cada transacción incluye una cadena de texto en claro OP_RETURN, solicitando a la federación el 10% de “la recompensa”. Las negociaciones siguen realizándose públicamente en la cadena hasta hoy.

El 9 de septiembre, la Oficina de Control de Activos Extranjeros del Departamento del Tesoro de Estados Unidos (OFAC) y el Departamento de Justicia de Estados Unidos (DOJ) anunciaron una acción de cumplimiento coordinada contra la garantía en moneda digital (Xinbi Guarantee). La OFAC incluyó en la lista de sanciones a la garantía en moneda digital y a dos empresas que brindan apoyo a su operación. Por su parte, el DOJ, en el marco del equipo de operaciones contra centros de estafa (Scam Center Strike Force), incautó la infraestructura de las plataformas pertinentes y monederos de activos cripto. Según el comunicado del DOJ, esta acción coordinada restringió un total de más de 52 millones de dólares en activos cripto relacionados con la garantía en moneda digital y su red de comerciantes.
Esta operación no se dirige a una sola banda de fraude, sino a una red de servicios que sustenta el funcionamiento de las actividades fraudulentas. Las autoridades estadounidenses afirman que la garantía en moneda digital conecta a las bandas de estafadores con comerciantes que prestan servicios como lavado de dinero y desarrollo de sitios web de estafa, y que, mediante mecanismos como la custodia de fondos y garantías de transacciones, proporciona condiciones para que estas transacciones ilegales continúen operando de manera sostenida.

Autor: Jiujiu
Editado: 77
Fondo
El 4 de septiembre de 2026, la conocida plataforma de préstamos descentralizados Notional Finance sufrió un ataque y perdió aproximadamente 1,73 millones de dólares. A continuación se presenta el análisis detallado del equipo de seguridad de SlowMist sobre este incidente:
Conocimientos previos
En Notional Finance V1, fCash puede entenderse como un derecho de crédito en efectivo con fecha de vencimiento. El receptor del efectivo cobra al vencimiento, mientras que el pagador del efectivo paga al vencimiento. El protocolo registra ambas posiciones en el Portfolio y luego determina, mediante la verificación de colateral libre, si la salud de una cuenta permite abrir posiciones.

Antecedentes
Una página de un evento que supuestamente ofrece un VPS gratis; en realidad, es un señuelo. Según se muestra en una página recuperada desde un archivo público, el event[.]polarnode[.]vip registrado a finales de agosto de 2026 declara https[:]//lk[.]wyincc[.]com/lk.js como secuencia de carga previa. La página se puede interactuar y luego carga automáticamente el script, sin que los visitantes necesiten hacer clic.
Después de decodificar las muestras del cargador guardadas, confirmamos que está dirigido a la entrega de iPhones con Safari puro en iOS 18.4–18.6.2. En última instancia, apunta a la recopilación de datos de archivos, llavero (Keychain) y la entrada del teclado, con el objetivo de tres aplicaciones de monedero. Esta cadena coincide en gran medida con la cadena de explotación de iOS DarkSword publicada por el Grupo de Inteligencia de Amenazas de Google (GTIG), corresponde a seis CVE y pertenece a la reutilización de un n-day.

Recientemente, el CEO de OKX respondió a una publicación de un usuario en la que se afirmaba que “una plataforma de apuestas transfiere directamente fondos a la bolsa, lo que hace que el recargue active verificaciones”. Según sus declaraciones públicas, recargar a OKX desde direcciones de alto riesgo puede activar controles de anti-lavado de dinero (AML) y revisiones de riesgo más estrictas; dependiendo del caso, la revisión podría durar 15 días o incluso más. Durante ese período, algunas funciones de determinadas cuentas y los fondos podrían estar sujetos a restricciones; para las cuentas que se confirme que involucran actividades de alto riesgo o ilegales, la plataforma también podría finalizar el servicio.
https://x.com/star_okx/status/2094980124236251207
OKX también advierte que los fondos obtenidos mediante canales como la negociación con garantía a través de grupos de Telegram, Huìwàng y sus variantes, pueden implicar un mayor riesgo sobre el origen de los fondos.

A medida que continúan desarrollándose las actividades relacionadas con criptoactivos, los pagos con stablecoins y las finanzas digitales, el AML on-chain, KYT y el análisis del riesgo de fondos se están convirtiendo cada vez más en una necesidad práctica para más y más instituciones.
Con este fin, MistTrack & SlowMist KYT lanzan oficialmente el Programa de Socios para Colaboradores, reclutando a nivel global socios individuales e institucionales que cuenten con recursos en Web3, finanzas, pagos, cumplimiento, seguridad y conocimiento del mercado local.
Al unirte al programa, puedes obtener:
Códigos de descuento exclusivos para clientes, que ayudan a tus clientes a suscribirse a un precio más ventajoso;
Atribución automática de pedidos y registros de comisiones de referido, con una vigencia de hasta 3 años;