慢雾 SlowMist

I. Предыстория
Недавно команда SlowMist получила просьбу о помощи от пользователя Fomo. По его словам, просматривая сведения о токене MOONLET в веб-версии Fomo, он нажал на ссылку на официальный сайт проекта, отображавшуюся на странице, перешёл на voltage.family и выполнил предложенную «проверку на человека». Вскоре после этого он обнаружил, что с его счёта перевели активы примерно на 48 тысяч долларов. При этом он не подключал кошелёк, не выдавал разрешений в блокчейне и не вводил сид-фразу или приватный ключ. Пользователь входил в Fomo через Google и сообщил, что двухфакторная аутентификация в его аккаунте не была включена.
Получив сообщение, команда SlowMist проанализировала соответствующую страницу и скрипты и выяснила, что так называемая «проверка на человека» побуждает пользователя добавить вредоносную закладку и нажать на неё. В закладку встроен код JavaScript, предназначенный для чтения данных из хранилища браузера на странице Fomo, извлечения токена авторизации и отправки данных на внешний адрес.

В сентябре 2026 года Специальная группа по финансовым мерам по борьбе с отмыванием денег (FATF) опубликовала тематический отчет (Risks of Gaming and Gambling). В нем проводится системный анализ рисков отмывания денег, финансирования терроризма и распространения для таких сфер, как казино, спортивные ставки, другие виды азартных игр и онлайн-игры.
Ценность этого отчета заключается не в том, чтобы относить все игры и азартные мероприятия в целом к категории повышенного риска, а в том, чтобы раскрыть изменения, которым стоит уделять больше внимания виртуальным сервис-провайдерам активов: по мере того как происходит онлайн-ориентация, трансграничность, одновременное использование нескольких продуктов и нескольких способов оплаты, игровые и букмекерские платформы становятся частью более широкой экосистемы передачи ценности. Для криптобирж, VASP и виртуальных сервис-провайдеров активов, предоставляющих услуги криптоплатежей, средства, поступающие из этой экосистемы, не следует воспринимать лишь как «азартную транзакцию» — их нужно рассматривать в контексте полной взаимосвязи денежных потоков.

18 сентября Японская полиция совместно с Национальным центром киберкоординации, а также с Федеральным бюро расследований США, киберпреступным центром Министерства обороны США, Австралийской организацией по сигналам/Центром кибербезопасности, Федеральным ведомством по сбору информации Германии и Федеральным ведомством по охране конституции и безопасности, — шесть сторон вместе подготовили совместный доклад. Главным героем выступает хакерская группа с корейским (северокорейским) бэкграундом — WaterPlum (также известная как "Contagious Interview", дословно "Фальшивое собеседование").
Атакующая кампания "Contagious Interview" ранее уже много лет отслеживалась несколькими международными компаниями по кибербезопасности; ее часто связывают с группой Lazarus из КНДР. На этот раз японская полиция впервые официально, совместно с многонациональными структурами, раскрыла конкретный случай в стране и представила изъятые доказательства.

Фон
Образец происходит из ветки разработки расширения Laravel Nova `visanduma/nova-two-factor`, относящейся к активности PolinRider. Это PHP-пакет, опубликованный на Packagist; на момент анализа в этой статье суммарное число загрузок уже превышает 700 тысяч.
Цепочка доставки не вписывает C2-адрес в образец. Внедряемый код сначала запрашивает данные из Ethereum: из адреса получателя одной транзакции извлекаются IP двух серверов, затем по HTTP извлекается последующая полезная нагрузка. Чтобы атакующему поменять серверы, достаточно отправить в сети новую транзакцию; повторно внедрять этот пакет не нужно.
Конечная цель этой цепочки — кроссплатформенный похититель учетных данных, который собирает учетные записи и Cookie браузера, данные криптокошельков, базу данных менеджера паролей и учетные данные разработчика.

В последнее время команда безопасности «Slow Fog» получила несколько сообщений о краже пользовательских активов. После проверки установлено, что все соответствующие случаи связаны с утечкой закрытого ключа; в некоторых случаях затронутые пользователи скачали и использовали приложение FomoPeek версий 1.1–1.2.
Мы совместно с командой по безопасности OKX выполнили анализ и подтвердили, что в FomoPeek 1.1 и 1.2 внедрены два вредоносных модуля: apptrace и libapptracecore. Они обладают возможностями удалённой конфигурации, эксплуатации уязвимостей ядра, обхода песочницы, расшифровки Keychain и сбора данных из других приложений.
Динамическая проверка показывает: приложение получает с Bitbucket зашифрованный адрес C2 и отправляет сведения об устройстве на api-a95f0ed200f.assisaint[.]com, а также получает удалённые конфигурации. В ходе тестирования exploit_enabled, возвращаемый C2, был равен false. Чтобы проверить последующий сценарий исполнения, мы в изолированной среде через Hook изменили соответствующие переключатели, расшифрованные на стороне клиента, на true. Затем мы получили перечень собираемых данных для 19 кошельков и заметок в приложениях, а также зафиксировали полный запрос на упаковку и загрузку контейнера Apple «Заметки».

Автор: Johan & Lisa
Редактор: 77
6 сентября в 13:52:10 UTC в блоке № 4,050,335 Liquid появились две транзакции с одинаковой структурой. Через минуту блок № 4,050,336 подтвердил третью транзакцию: примерно 3 998,5 L-BTC попали в UTXO-набор, при этом за ними не было ни одной peg-in. Спустя еще несколько минут эти несуществующие активы начали перераспределять и тратить, после чего через федеральный канал peg-out они конвертировались в настоящий BTC в основной сети Bitcoin.
На следующий день 3 400 BTC были возвращены в федеральный peg-кошелек. Оставшиеся 598,5 BTC остались у атакующего; на момент публикации они все еще многократно само-переводятся, при этом к каждой транзакции прилагается фрагмент OP_RETURN в открытом виде — с требованием у федеральных властей десятины «награды». Переговоры до сих пор ведутся публично в цепочке блоков.

9 сентября Министерство финансов США (U.S. Treasury) через Управление по контролю за иностранными активами (OFAC) и Министерство юстиции США (DOJ) объявили о согласованных мерах в отношении обеспечения новых банкнот (Xinbi Guarantee). OFAC включит обеспечение Xinbi и две компании, поддерживающие его работу, в список санкций, а DOJ в рамках проекта по пресечению мошеннических центров (Scam Center Strike Force) изымет соответствующую инфраструктуру платформ и криптовалютные кошельки. Согласно сообщению DOJ, в ходе этой согласованной операции было ограничено более 52 миллионов долларов США криптоактивов, связанных с обеспечением Xinbi и его сетью торговцев.
Это действие направлено не на одну конкретную мошенническую группировку, а на сервисную сеть, обеспечивающую работу мошеннических схем. Правоохранительные органы США заявили, что обеспечение новых банкнот (Xinbi) связывает мошеннические группировки с торговыми предприятиями, предоставляющими услуги по отмыванию денег, разработке мошеннических сайтов и т. п., и через такие механизмы, как финансовое депонирование и гарантия сделок, создает условия для постоянного функционирования этих незаконных операций.

Автор: 99
Редактор: 77
Фон
4 сентября 2026 года известная децентрализованная кредитная платформа Notional Finance подверглась атаке, в результате которой было потеряно около 1,73 миллиона долларов США. Ниже приведён подробный анализ этой атаки от команды безопасности SlowMist:
Предварительные знания
В Notional Finance V1 fCash можно понимать как денежное требование с датой погашения. Cash receiver получает деньги при наступлении срока, а cash payer выплачивает деньги при наступлении срока. Протокол учитывает обе позиции в Portfolio, а затем с помощью проверки свободного залога определяет, насколько здорово состояние счёта и может ли он открыть позицию.

背景
一个免费赠送 VPS 的活动页面，实则是一张诱饵。从公开网页存档恢复的页面显示，2026 年 8 月末注册的 event[.]polarnode[.]vip 把 https[:]//lk[.]wyincc[.]com/lk.js 声明为预加载脚本，页面可交互后自动加载，访客无需点击。
对保存的 loader 样本解码后我们确认，它面向运行 iOS 18.4–18.6.2 的 iPhone 纯 Safari 投递，最终指向文件、钥匙串（Keychain）和键盘输入采集，目标为三款钱包应用。这条链与 Google Threat Intelligence Group (GTIG) 公布的 DarkSword iOS 利用链高度一致，对应六个 CVE，属 n-day 复用。

В последнее время генеральный директор OKX отреагировал на публикацию пользователя о том, что «букмекерская платформа напрямую выводит средства на биржу, из‑за чего пополнение вызывает проверку». Согласно его публичным заявлениям, пополнение на OKX с адресов с высокой степенью риска может привести к более строгим мерам по противодействию отмыванию денег (AML) и проверке рисков; в зависимости от конкретной ситуации проверка может длиться 15 дней и даже дольше, в течение этого периода некоторые функции аккаунта и средства могут быть ограничены; для аккаунтов, которые, как подтверждается, связаны с деятельностью высокого риска или незаконной деятельностью, платформа также может прекратить обслуживание.
https://x.com/star_okx/status/2094980124236251207
Также OKX напоминает, что средства, полученные через каналы вроде сделок с обеспечением через Telegram-группы, «Huiwang» и его вариаций, могут нести повышенные риски происхождения средств.

По мере дальнейшего развития криптоактивов, платежей со стейблкоинами и цифрового финансового бизнеса on-chain AML, KYT и анализ рисков оборотных средств становятся все более востребованными для многих организаций на практике.
В связи с этим MistTrack & SlowMist KYT официально запускают партнерскую программу для привлечения партнеров по всему миру — для сотрудничества приглашаются частные лица и организации, располагающие ресурсами в области Web3, финансов, платежей, комплаенса, безопасности и местных рынков.
После вступления в программу вы можете получить:
персональный код скидки для клиентов, помогающий вашим клиентам оформлять подписку по более выгодной цене;
автоматическое распределение атрибуции заказов и записи о вознаграждениях за рефералов, срок действия вознаграждения за рефералов — до 3 лет;

28 августа на саммите Cypher Asia Intelligent Crypto Finance Summit основатель SlowMist Юй Сюань выступил с докладом на тему («Серые носороги и чёрные лебеди в криптомире»). Он начал с широко распространённых в криптоиндустрии проблем безопасности, систематически разобрал ключевые риски, связанные с кражей, мошенничеством, потерей и заморозкой средств, и поделился своими размышлениями о мерах защиты.
Ниже приведена сводка материалов с места проведения встречи.
В криптомире кражи, обманы, потери средств или их заморозка — явление отнюдь не редкое. Многие инциденты безопасности внешне выглядят как внезапная случайность, но если оглянуться назад, то становится ясно: немало рисков было заметно уже давно. Проблема может быть не в том, что «риски совсем не были известны», а в том, что риск уже проявился, но ему не уделили достаточного внимания, либо уже принятые меры безопасности на самом деле не сработали должным образом.

28 августа компания SlowMist вместе с ME Group провела отраслевое мероприятие «Преодоление тумана, движение к доверенным платежам｜Новые передовые направления в глобальном регулировании стейблкоинов и платежах с участием агентов», а также приняла участие в нескольких отраслевых встречах, включая «Cypher Asia — саммит по интеллектуальным криптофинансам», «AI x BTC - BTC Asia Side Event» и др. В рамках тем, связанных с регулированием стейблкоинов и платежными сценариями, криптобезопасностью и инфраструктурой цифровой экономики, с партнёрами по отрасли были поделены практические наработки и подходы к безопасности.
А теперь давайте вместе вспомним самые яркие моменты этого дня —
Акцент на регулировании стейблкоинов и платежах с участием агентов: обсуждение построения доверенных платежей

контекст
Скачайте открытый большой языковой модель: обычно вас беспокоит, сможет ли она нормально работать, и действительно ли веса настоящие. На этот раз настоящее беспокойство спрятано в другом месте: репозиторий с маркировкой 27B параметров отдаёт вам вовсе не веса — а шпионский троян.
20 августа 2026 года GitHub-репозиторий unburdened-jackinthebox365/qwen38-uncensored в каталог assets/ отправил файл uncensored_qwen_v2.6.zip объёмом 487 153 байта. Репозиторий оформил его так, что придраться практически невозможно: на главной странице заявляется о предоставлении локально квантизированных весов Qwen 3.8 с 27B параметров; в README подчёркивается, что всё работает полностью офлайн, без телеметрии, а данные не покидают ваш компьютер — каждое предложение попадает прямо в ожидания пользователей локальных моделей. Через четыре дня, 24 августа, README снова меняют: кнопка загрузки, ссылка на скачивание в тексте — и даже два внешних ссылки, которые раньше вели на официальные сайты Ollama и LM Studio, — всё указывает на один и тот же raw-адрес этого ZIP.

28 августа SlowMist в сотрудничестве с ME Group проведет в Гонконге отраслевое мероприятие «Преодолевая туман — к доверенным платежам: новые передовые направления глобального комплаенса стейблкоинов и платежей с использованием интеллектуальных агентов».
В этом мероприятии соберутся отраслевые гости из сферы стейблкоинов, платежей, AI Agent, комплаенса и безопасности блокчейна. Обсуждение будет посвящено глобальному комплаенсу стейблкоинов, развитию платежей с использованием интеллектуальных агентов и построению доверенной платежной системы. Вместе участники рассмотрят технические, безопасностные и комплаенс-вызовы в процессе эволюции платежных моделей.
Время: 28 августа, 09:30 – 12:30
Место: CAI Building, Гонконг

Автор: 九九
Редакция: 77
Предыстория
19 августа 2026 года известный проект межсетевого моста Allbridge подвергся атаке, ущерб составил около 190 000 долларов. Однако на этот раз атака растянулась почти на месяц. Ниже приведен подробный анализ этого инцидента от команды по безопасности SlowMist:
Предварительные знания
Чтобы понять эту атаку, нам сначала нужно разобраться в протоколе Circle CCTP и его системе межсетевой передачи сообщений.
CCTP — это межсетевой протокол переводов Circle. Его базовый принцип заключается в том, что на исходной цепочке уничтожается USDC, а на целевой цепочке заново чеканится эквивалентное количество USDC. Таким образом можно избежать того, чтобы мостовой контракт произвольно увеличивал баланс.

28 августа в Гонконге пройдет несколько отраслевых мероприятий, посвященных стейблкоинам, платежам с участием интеллектуальных агентов, AI Agent и базовой инфраструктуре Биткоина. Как компания, сосредоточенная на безопасности блокчейн-экосистемы, SlowMist проведет и примет участие в ряде мероприятий в Гонконге. С учетом собственных исследований и практик в области безопасности компания будет взаимодействовать с партнерами отрасли по соответствующим темам.
Преодолевая туман, к доверенным платежам | Новые передовые направления в глобальном комплаенсе стейблкоинов и платежах с участием интеллектуальных агентов
Время: 28 августа 09:30–12:30
Место: Hong Kong CAI Building
Регистрация: https://luma.com/0c4fawzv
28 августа утром компания SlowMist совместно с ME Group проведет в Гонконге отраслевое мероприятие «Преодолевая туман, к доверенным платежам | Новые передовые направления в глобальном комплаенсе стейблкоинов и платежах с участием интеллектуальных агентов». В этот раз экосистемные партнеры из областей стейблкоинов, платежей, AI Agent, комплаенса и безопасности соберутся в Гонконге, чтобы обсудить глобальный комплаенс и применение стейблкоинов, технологическую эволюцию платежей с участием интеллектуальных агентов, а также безопасное построение системы доверенных платежей.

Фон
Solidity Pro — это расширение для VS Code, ориентированное на разработчиков Solidity/Web3. Позиционируется как инструмент для вспомогательной разработки и предоставляет такие функции, как запрос газа (Gas), цены на токены, фрагменты кода и подсказки при компиляции. Его репозиторий на GitHub также ранее рекламировал возможности безопасности, такие как AI Audit и Security Scanner.
На публичных мероприятиях Solidity Pro последовательно использовал двух publisher (посредников по публикации/издателей): helper-beeps и web3devtoolsx. Соответствующие Extension ID (уникальные идентификаторы расширения) — helper-beeps.solidity-pro и web3devtoolsx.solidity-pro. Хотя издательская идентичность со временем менялась, в последующих сборках по-прежнему сохранялись прежний publisher, адрес репозитория и информация об авторских правах, что указывает на наличие прямой инженерной преемственности между ними.

Недавно MistTrack Agent, созданный компанией SlowMist, официально присоединился к AgentOn в качестве стороннего агента. MistTrack Agent специализируется на AML для криптовалют и on-chain расследованиях: он переносит на платформу AgentOn возможности отслеживания средств on-chain, анализа рисков и т. п., предоставляя пользователям более эффективный и автоматизированный способ on-chain расследований.
Добро пожаловать в MistTrack Agent:
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Ограниченное по времени предложение: каждый пользователь может воспользоваться 10 бесплатными вызовами в течение 30 дней. После исчерпания количества бесплатных вызовов или окончания срока действия взимается плата по стандартным тарифам AgentOn.

Постоянное развитие цифровых активов и технологий искусственного интеллекта продвигает платежи на новый этап применения. С одной стороны, стейблкоины ускоренно выходят за рамки ончейн-сценариев и глубже входят в реальные бизнес-процессы, такие как платежи, расчеты и управление ликвидностью; с другой стороны, AI Agent постепенно превращается из вспомогательного инструмента в платежного участника, который может представлять пользователей и компании, выполняя запросы, принимая решения, вызывая сервисы и даже инициируя транзакции.
Когда стейблкоины начинают переходить к реальным платежным сценариям, как по-настоящему обеспечить соблюдение требований и правовую корректность? Когда AI Agent начинает участвовать в сделках, как выстроить безопасные и заслуживающие доверия механизмы торговли — это тоже новые вопросы, которые отрасли предстоит решить.