慢雾 SlowMist

I. Antecedentes
El equipo de seguridad contra la niebla lenta recibió recientemente una solicitud de ayuda de un usuario de Fomo con el apodo de Fomo. El usuario informó que, mientras consultaba los detalles del token MOONLET en el sitio web de Fomo, hizo clic en la entrada del sitio web oficial del proyecto que se muestra en la página, accedió a voltage.family y, siguiendo las indicaciones, completó un “verificador de humano o máquina”. Después, descubrió que alrededor de 48.000 USD de activos de su cuenta habían sido transferidos. Durante todo el proceso, no conectó una cartera, no realizó autorizaciones en la cadena y tampoco introdujo una frase mnemotécnica ni una clave privada. El usuario inició sesión en Fomo mediante Google y afirmó que la cuenta no tenía activada la verificación en dos pasos.
Tras recibir la denuncia, el equipo de seguridad de niebla lenta realizó un análisis de las páginas y los scripts relacionados, y descubrió que el supuesto “verificador de humano o máquina” guía al usuario a agregar y hacer clic en un marcador malicioso. El marcador incrusta código JavaScript, cuyo objetivo es leer el almacenamiento del navegador en la página de Fomo, extraer el token de inicio de sesión y enviar los datos a una dirección externa.

En septiembre de 2026, el Grupo de Acción Financiera (FATF) publicó el informe temático (Risks of Gaming and Gambling), que realizó un análisis sistemático de los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación a los que se enfrentan sectores como los casinos, las apuestas deportivas, otras formas de juego y los juegos en línea.
El valor de este informe no está en considerar indiscriminadamente como de alto riesgo todas las actividades de juego y apuestas, sino en revelar un cambio que merece la atención de las instituciones de servicios de activos virtuales: cuando se superponen la digitalización, la internacionalización, los modelos de múltiples productos y los múltiples métodos de pago, las plataformas de juegos y apuestas se están convirtiendo en parte de un ecosistema más amplio de transferencia de valor. Para las bolsas, los VASP y las instituciones de servicios de activos virtuales que ofrecen servicios de pagos con criptomonedas, los fondos provenientes de este ecosistema no deberían interpretarse únicamente como una “transacción de apuestas”, sino que deben examinarse dentro del contexto completo de las relaciones de fondos.

18 de septiembre, Japón: la Policía Nacional, junto con la Oficina de Coordinación de la Ciberseguridad de la nación, y el FBI de Estados Unidos, el Centro de Cibercrimen del Departamento de Defensa de Estados Unidos, la Agencia de Señales / Centro de Ciberseguridad de Australia, la Oficina Federal de Inteligencia de Alemania y la Oficina Federal para la Protección de la Constitución, emitieron en conjunto un informe conjunto en el que participaron seis partes; el protagonista es una organización de hackers con trasfondo norcoreano: WaterPlum (también conocida como "Contagious Interview", traducción literal: "entrevista camuflada").
La actividad de ataque de "Contagious Interview" ya había sido rastreada durante años por varias empresas internacionales de seguridad; a menudo se la considera relacionada con el Lazarus Group de Corea del Norte. En esta ocasión, por primera vez, la policía japonesa divulgó oficialmente, junto con múltiples organismos de otros países, un caso concreto en su país y las pruebas incautadas.

Contexto
La muestra proviene de una rama de desarrollo del paquete de extensión de Laravel Nova `visanduma/nova-two-factor`, que pertenece a la campaña PolinRider. Es un paquete PHP publicado en Packagist; al momento del análisis de este artículo, las descargas acumuladas ya superaban las 700.000 veces.
La cadena de entrega no escribe la dirección C2 en el código de muestra. El código implantado primero consulta Ethereum; a partir de la dirección de recepción de una transacción, extrae las IP de dos servidores, y luego recupera la carga posterior mediante HTTP. Para que el atacante cambie de servidor, solo necesita publicar una transacción nueva en la cadena; no es necesario volver a envenenar este paquete.
El destino de esta cadena es un capturador de credenciales multiplataforma que recopila cuentas y cookies del navegador, datos de carteras cifradas, bases de datos de gestores de contraseñas y credenciales de desarrollo.

Recientemente, el equipo de seguridad de SlowMist recibió múltiples reportes de que los activos de los usuarios fueron robados. Tras la verificación, se confirmó que los incidentes relacionados implicaban la filtración de claves privadas; en algunos de los usuarios afectados, habían descargado y utilizado la versión 1.1–1.2 de la app FomoPeek.
En colaboración con el equipo de seguridad de OKX, realizamos un análisis conjunto y confirmamos que FomoPeek 1.1 y 1.2 incorporaron dos módulos maliciosos, apptrace y libapptracecore, con capacidad de configuración remota, explotación de vulnerabilidades del kernel, evasión del sandbox, descifrado de Keychain y recopilación de datos entre aplicaciones.
La validación dinámica muestra que la aplicación obtiene desde Bitbucket una dirección C2 cifrada y reporta la información del dispositivo a api-a95f0ed200f.assisaint[.]com, además de recibir configuraciones remotas. Durante la prueba, el exploit_enabled devuelto por la C2 era false. Para verificar la ejecución de la cadena posterior, en un entorno aislado modificamos a true los conmutadores relevantes después de que el cliente descifrara mediante Hook; luego obtuvimos la lista de recopilación dirigida a 19 carteras y aplicaciones de notas, y capturamos la solicitud completa con la que se empaquetó y subió el contenedor de Apple Notes.

Autor: Johan y Lisa
Editor: 77
6 de septiembre, 13:52:10 UTC. En el bloque 4.050.335 de Liquid aparecieron dos transacciones con la misma estructura. Un minuto después, el bloque 4.050.336 confirmó una tercera transacción. Aproximadamente 3.998,5 L-BTC ingresaron en el conjunto UTXO sin que detrás hubiera ningún peg-in. Unos minutos más tarde, esos activos que no existían empiezan a agruparse y consumirse, y luego se convierten en BTC real en la red principal de Bitcoin a través del canal de peg-out federado.
Al día siguiente, 3.400 BTC fueron devueltos a la cartera de peg federado. Los 598,5 BTC restantes quedaron en manos del atacante y, al momento de la publicación, siguen siendo objeto de autotransferencias repetidas; cada transacción incluye una cadena de texto en claro OP_RETURN, solicitando a la federación el 10% de “la recompensa”. Las negociaciones siguen realizándose públicamente en la cadena hasta hoy.

El 9 de septiembre, la Oficina de Control de Activos Extranjeros del Departamento del Tesoro de Estados Unidos (OFAC) y el Departamento de Justicia de Estados Unidos (DOJ) anunciaron una acción de cumplimiento coordinada contra la garantía en moneda digital (Xinbi Guarantee). La OFAC incluyó en la lista de sanciones a la garantía en moneda digital y a dos empresas que brindan apoyo a su operación. Por su parte, el DOJ, en el marco del equipo de operaciones contra centros de estafa (Scam Center Strike Force), incautó la infraestructura de las plataformas pertinentes y monederos de activos cripto. Según el comunicado del DOJ, esta acción coordinada restringió un total de más de 52 millones de dólares en activos cripto relacionados con la garantía en moneda digital y su red de comerciantes.
Esta operación no se dirige a una sola banda de fraude, sino a una red de servicios que sustenta el funcionamiento de las actividades fraudulentas. Las autoridades estadounidenses afirman que la garantía en moneda digital conecta a las bandas de estafadores con comerciantes que prestan servicios como lavado de dinero y desarrollo de sitios web de estafa, y que, mediante mecanismos como la custodia de fondos y garantías de transacciones, proporciona condiciones para que estas transacciones ilegales continúen operando de manera sostenida.

Autor: Jiujiu
Editado: 77
Fondo
El 4 de septiembre de 2026, la conocida plataforma de préstamos descentralizados Notional Finance sufrió un ataque y perdió aproximadamente 1,73 millones de dólares. A continuación se presenta el análisis detallado del equipo de seguridad de SlowMist sobre este incidente:
Conocimientos previos
En Notional Finance V1, fCash puede entenderse como un derecho de crédito en efectivo con fecha de vencimiento. El receptor del efectivo cobra al vencimiento, mientras que el pagador del efectivo paga al vencimiento. El protocolo registra ambas posiciones en el Portfolio y luego determina, mediante la verificación de colateral libre, si la salud de una cuenta permite abrir posiciones.

Antecedentes
Una página de un evento que supuestamente ofrece un VPS gratis; en realidad, es un señuelo. Según se muestra en una página recuperada desde un archivo público, el event[.]polarnode[.]vip registrado a finales de agosto de 2026 declara https[:]//lk[.]wyincc[.]com/lk.js como secuencia de carga previa. La página se puede interactuar y luego carga automáticamente el script, sin que los visitantes necesiten hacer clic.
Después de decodificar las muestras del cargador guardadas, confirmamos que está dirigido a la entrega de iPhones con Safari puro en iOS 18.4–18.6.2. En última instancia, apunta a la recopilación de datos de archivos, llavero (Keychain) y la entrada del teclado, con el objetivo de tres aplicaciones de monedero. Esta cadena coincide en gran medida con la cadena de explotación de iOS DarkSword publicada por el Grupo de Inteligencia de Amenazas de Google (GTIG), corresponde a seis CVE y pertenece a la reutilización de un n-day.

Recientemente, el CEO de OKX respondió a una publicación de un usuario en la que se afirmaba que “una plataforma de apuestas transfiere directamente fondos a la bolsa, lo que hace que el recargue active verificaciones”. Según sus declaraciones públicas, recargar a OKX desde direcciones de alto riesgo puede activar controles de anti-lavado de dinero (AML) y revisiones de riesgo más estrictas; dependiendo del caso, la revisión podría durar 15 días o incluso más. Durante ese período, algunas funciones de determinadas cuentas y los fondos podrían estar sujetos a restricciones; para las cuentas que se confirme que involucran actividades de alto riesgo o ilegales, la plataforma también podría finalizar el servicio.
https://x.com/star_okx/status/2094980124236251207
OKX también advierte que los fondos obtenidos mediante canales como la negociación con garantía a través de grupos de Telegram, Huìwàng y sus variantes, pueden implicar un mayor riesgo sobre el origen de los fondos.

A medida que continúan desarrollándose las actividades relacionadas con criptoactivos, los pagos con stablecoins y las finanzas digitales, el AML on-chain, KYT y el análisis del riesgo de fondos se están convirtiendo cada vez más en una necesidad práctica para más y más instituciones.
Con este fin, MistTrack & SlowMist KYT lanzan oficialmente el Programa de Socios para Colaboradores, reclutando a nivel global socios individuales e institucionales que cuenten con recursos en Web3, finanzas, pagos, cumplimiento, seguridad y conocimiento del mercado local.
Al unirte al programa, puedes obtener:
Códigos de descuento exclusivos para clientes, que ayudan a tus clientes a suscribirse a un precio más ventajoso;
Atribución automática de pedidos y registros de comisiones de referido, con una vigencia de hasta 3 años;

El 28 de agosto, en el Cypher Asia Intelligent Crypto Finance Summit, el fundador de SlowMist (Yu Xuan) dio una charla titulada (Rinocerontes grises y cisnes negros en el mundo cripto). Abordó los problemas de seguridad comunes en el sector cripto, organizó sistemáticamente los riesgos principales como robo, engaño, pérdida y congelación de fondos, y compartió sus reflexiones sobre la protección de seguridad.
Lo siguiente es un resumen del contenido compartido en el lugar.
En el mundo cripto, no es raro que el dinero sea robado, engañado, se pierda o se congele. Cuando ocurren muchos incidentes de seguridad, parece una sorpresa repentina; pero si echamos la vista atrás, muchos riesgos ya mostraban señales antes. El problema no necesariamente es que “no se conociera el riesgo”, sino que el riesgo ya había aparecido pero no se le dio suficiente importancia, o bien las medidas de seguridad existentes no llegaron a funcionar realmente.

28 de agosto, SlowMist (SlowMist), junto con ME Group, organizó un evento de intercambio de la industria titulado «Atravesar la niebla y avanzar hacia pagos confiables | Nuevas fronteras de la conformidad global de stablecoins y los pagos con agentes inteligentes», y también participó en múltiples actividades de intercambio de la industria, como «Cypher Asia Summit of Intelligent Crypto Finance», «AI x BTC - BTC Asia Side Event», etc. En torno a temas como la conformidad de las stablecoins y las aplicaciones de pago, la seguridad cripto y la infraestructura del ecosistema de economía digital, compartió con socios del sector experiencias prácticas y puntos de vista sobre seguridad.
Ahora, repasemos juntos los momentos destacados de ese día——
Enfocado en la conformidad de las stablecoins y los pagos con agentes, explorar la construcción de pagos confiables

Contexto
Descarga un modelo grande de código abierto: normalmente te preocupa si puede ejecutarse correctamente y si los pesos son reales. Esta vez, el verdadero motivo de preocupación está en otro lugar: un repositorio marcado con 27B de parámetros, que llega a tus manos con solo 487 KB. Ahí no hay pesos, sino un troyano de exfiltración y espionaje.
El 20 de agosto de 2026, el repositorio de GitHub unburdened-jackinthebox365/qwen38-uncensored envió al directorio assets/ un archivo llamado uncensored_qwen_v2.6.zip, con 487.153 bytes. El repositorio lo empaquetó de forma casi impecable: en la página de inicio se afirma que ofrece pesos locales cuantizados de Qwen 3.8 de 27B; el README recalca que funciona completamente sin conexión, sin telemetría y que los datos no salen del equipo. Cada frase acierta de lleno en lo que los usuarios de modelos locales quieren oír. Cuatro días después, el 24 de agosto, el README vuelve a modificarse: el botón de descarga, el enlace de descarga dentro del cuerpo, y también los dos enlaces externos originales que apuntaban a los sitios web oficiales de Ollama y LM Studio, quedan redirigidos todos a la misma dirección raw de ese ZIP.

El 28 de agosto, SlowMist, junto con ME Group, celebrará en Hong Kong el evento de intercambio sectorial «Atravesando la niebla hacia pagos confiables | Nuevas fronteras del cumplimiento global de stablecoins y pagos con agentes inteligentes».
En esta ocasión, reuniremos a ponentes del sector provenientes de ámbitos como las stablecoins, los pagos, los agentes de IA, la conformidad y la seguridad blockchain. El intercambio se centrará en el cumplimiento global de las stablecoins, el desarrollo de pagos con agentes inteligentes y la construcción de un sistema de pagos confiable, para explorar conjuntamente los retos técnicos, de seguridad y de conformidad que surgen durante la evolución de los modelos de pago.
Fecha y hora: 28 de agosto, 09:30 – 12:30
Lugar: Hong Kong, CAI Building

Autor: Nueve Nueve
Edición: 77
Antecedentes
El 19 de agosto de 2026, el conocido proyecto de puente entre cadenas Allbridge sufrió un ataque, con una pérdida de aproximadamente 190.000 dólares. Sin embargo, este ataque tardó casi un mes en completarse. A continuación se presenta un análisis detallado del equipo de seguridad SlowMist sobre este incidente:
Conocimientos previos
Para entender este ataque, primero debemos comprender el protocolo CCTP de Circle y su sistema de mensajería entre cadenas.
CCTP es el protocolo de transferencia entre cadenas de Circle. Su funcionamiento básico es: destruir USDC en la cadena de origen y acuñar de nuevo una cantidad equivalente de USDC en la cadena de destino. Así se evita que los contratos del puente aumenten el saldo por generación de forma artificial.

El 28 de agosto, Hong Kong acogerá varios eventos de la industria centrados en stablecoins, pagos con agentes inteligentes, agentes de IA y la infraestructura base de Bitcoin. Como empresa enfocada en la seguridad del ecosistema blockchain, SlowMist celebrará y participará en múltiples eventos en Hong Kong. Con base en sus investigaciones y prácticas de seguridad, intercambiará con socios de la industria sobre temas relacionados.
Atraviesa la niebla y avanza hacia pagos confiables | Nuevas fronteras en el cumplimiento global de stablecoins y pagos con agentes inteligentes
Hora: 28 de agosto de 09:30 a 12:30
Lugar: Hong Kong, CAI Building
Inscripción: https://luma.com/0c4fawzv
El 28 de agosto por la mañana, SlowMist se unirá a ME Group para celebrar en Hong Kong el evento de intercambio de la industria «Atraviesa la niebla y avanza hacia pagos confiables | Nuevas fronteras en el cumplimiento global de stablecoins y pagos con agentes inteligentes». En ese momento, socios del ecosistema de áreas como stablecoins, pagos, agentes de IA, cumplimiento y seguridad se reunirán en Hong Kong para intercambiar sobre el cumplimiento y la aplicación de stablecoins a nivel global, la evolución tecnológica de los pagos con agentes inteligentes y la construcción de seguridad de un sistema de pagos confiables.

Antecedentes
Solidity Pro es una extensión de VS Code dirigida a desarrolladores de Solidity/Web3. Se posiciona como una herramienta de apoyo para el desarrollo y ofrece funciones como consulta de gas, precios de tokens, fragmentos de código y sugerencias de compilación. Su repositorio de GitHub también llegó a promocionar capacidades de seguridad como AI Audit y Security Scanner.
En eventos públicos, Solidity Pro utilizó sucesivamente dos publishers (identidades del publicador), helper-beeps y web3devtoolsx. Los Extension ID (identificadores únicos de la extensión) correspondientes fueron helper-beeps.solidity-pro y web3devtoolsx.solidity-pro. Aunque la identidad del publicador cambió, los artefactos de construcción posteriores conservaron el publisher anterior, la dirección del repositorio y la información de derechos de autor, lo que indica que existe una relación directa de herencia de ingeniería entre ambos.

Recientemente, MistTrack Agent, creado por SlowMist, se ha incorporado oficialmente como un agente de terceros a AgentOn. MistTrack Agent se centra en el AML de criptomonedas y en la investigación on-chain. Integra capacidades como el rastreo de fondos on-chain y el análisis de riesgos en la plataforma de AgentOn, brindando a los usuarios una forma de investigación on-chain más eficiente y automatizada.
¡Bienvenido a experimentar MistTrack Agent:
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Experiencia por tiempo limitado: cada usuario puede disfrutar de 10 llamadas gratuitas, con una vigencia de 30 días. Después de agotar las llamadas gratuitas o al finalizar el período de validez, se cobrará según los estándares de AgentOn.

El desarrollo continuo de los activos digitales y las tecnologías de inteligencia artificial está impulsando a los pagos hacia una nueva etapa de aplicación. Por un lado, las stablecoins están acelerando su salida del ámbito on-chain y profundizando en procesos reales de negocio, como pagos, liquidación y gestión de fondos; por otro lado, el agente de IA también está pasando gradualmente de ser una herramienta de apoyo a convertirse en un participante de pagos capaz de representar a los usuarios y a las empresas para realizar consultas, tomar decisiones, invocar servicios e incluso iniciar transacciones.
Cuando las stablecoins comienzan a entrar en escenarios de pagos reales, ¿cómo lograr que el cumplimiento normativo se implemente de manera efectiva? Y cuando el agente de IA empiece a participar en transacciones, ¿cómo establecer mecanismos de transacción seguros y confiables? Estos también se han convertido en nuevos problemas a los que la industria necesita dar respuesta.