web3security

Q-Day 不再是科幻——量子计算一旦跨过临界点,今天所有 RSA/ECC 加密都会瞬间"裸奔"。

刚看到 QIZ Security 完成 170 万美元种子轮,由 Evolution Equity Partners 领投,Singtel Innov8 参投。

这家 2025 年成立的团队做的事很务实:无代理、纯 API 接入,自动扫描企业里所有密钥、证书、加密协议,把弱算法和高危资产全部标出来,再帮你规划迁移到后量子密码(PQC)的路线。相当于给企业做一次"抗量子体检 + 搬家方案"。

为什么值得盯:
- NIST 已经在 2024 年敲定首批 PQC 标准,美国、欧盟、新加坡都在推合规时间表
- Singtel Innov8 出手,亚太电信/关基赛道渠道基本打通
- 密码资产可视化是刚需——很多机构连自己有多少 RSA-2048 都数不清

种子轮金额不大,但赛道属于未来 3-5 年必然爆发的"合规驱动型"安全,估值天花板取决于能不能吃下金融+政企标杆客户。

#PQC #量子安全 #Web3Security

Trang web chính hãng cũng có thể bật ra ủy quyền độc hại: Sự kiện 3 triệu USD giúp tôi hiểu lại GRVT SecureKey

Ngày 25/6, Polymarket xác nhận chính thức rằng một nhà cung cấp giao diện front-end bên thứ ba đã bị xâm nhập, do đó một đoạn mã độc đã được tiêm vào phần giao diện front-end thật mà một số người dùng truy cập. PeckShield trích dẫn điều tra trên chuỗi cho biết khoảng 3 triệu USD PUSD đã bị chuyển đi, sau đó được chuyển xuyên chuỗi từ Polygon sang Ethereum và đổi thành khoảng 1.893 ETH. Polymarket cho biết họ đã gỡ bỏ các phụ thuộc bị ảnh hưởng, liên hệ với người dùng liên quan và tiến hành bồi hoàn đầy đủ.

Điều bất thường nhất ở đây là: tên miền đúng, HTTPS hoạt động bình thường, tài khoản cũng đăng nhập được—nhưng tất cả những điều đó không thể tự nó chứng minh rằng nội dung mà bạn sắp ký là phù hợp với ý định thực sự của bạn.

Đó cũng là lý do khiến tôi xem xét lại thiết kế @grvt_io SecureKey. Theo trung tâm trợ giúp của GRVT, quyền của tài khoản được tách thành hai lớp: email, mật khẩu hoặc Google/Microsoft OAuth thuộc nhóm chứng thực Web2, dùng để xem tài sản, vị thế và tham gia các chức năng không liên quan đến giao dịch; bất kỳ thao tác nào có khả năng thay đổi quyền sở hữu tài sản đều cần chữ ký Web3 SecureKey.

Về bản chất, SecureKey là cặp khóa công khai/mật của Ethereum: người dùng có thể chọn ví bên ngoài hoặc dùng giải pháp OTP qua email được Privy hỗ trợ.

Ý nghĩa của kiểu phân lớp này là: ngay cả khi thông tin đăng nhập Web2 bị rò rỉ, kẻ tấn công cũng không thể chỉ dựa vào trạng thái đăng nhập để thực hiện việc thay đổi tài sản mà cần SecureKey ủy quyền.

Nếu thiết bị bị điều khiển bởi mã độc, tiện ích ví bên ngoài bị thay thế, hoặc người dùng chấp thuận nội dung đã bị sửa đổi trên một trang web giả mạo—thì một chữ ký có hiệu lực về mặt mật mã vẫn có thể biểu đạt sai ý định. Tự quản lý (self-custody) chỉ làm giảm rủi ro bị nền tảng tự ý chuyển tài sản, chứ không tự động loại bỏ rủi ro phishing, phụ thuộc thành phần (dependency), rủi ro hợp đồng thông minh và rủi ro do thao tác cá nhân.

Sau sự kiện này, tôi đã thêm năm bước kiểm tra khi tự ký mỗi lần:
1. Truy cập từ bookmark hoặc cổng chính thức, không dựa vào quảng cáo tìm kiếm và liên kết tin nhắn riêng;
2. Xác định yêu cầu rốt cuộc là chứng minh đăng nhập, đặt lệnh, ủy quyền token, chuyển tiền hay rút tiền;
3. Đối chiếu tài sản, số lượng, địa chỉ đích, hợp đồng và phạm vi ủy quyền;
4. Nếu trang và hiển thị trong ví không khớp, hoặc đột nhiên yêu cầu ủy quyền vô hạn thì lập tức hủy;
5. Với tài khoản giá trị lớn, cố gắng dùng thiết bị ký độc lập, không để môi trường tải xuống hằng ngày và khóa chìa khóa có giá trị cao nằm cùng một chỗ.

#grvt #SelfCustody #WalletSecurity #Web3Security

Chuyển từ tài chính truyền thống sang Web3 đòi hỏi không thỏa hiệp về bảo mật và quyền kiểm soát của người dùng. Bằng cách triển khai các ví smart contract nâng cao song song với các khuôn khổ tự quản lý tài sản đáng tin cậy, @grvt_io grvt_io đang đảm bảo rằng các nhà giao dịch luôn giữ quyền sở hữu đầy đủ đối với tài sản số của mình. Cấu hình phi tập trung này loại bỏ các điểm lỗi đơn lẻ trong khi vẫn mang lại hiệu năng cao và độ trễ cực thấp cần thiết cho giao dịch on-chain cạnh tranh. Việc tìm hiểu cách mạng lưới của họ tích hợp các cơ chế an toàn này là điều then chốt để hiểu tương lai của hạ tầng sàn giao dịch phi tập trung. 🛡️💻
​#grvt #SelfCustody #DeFi: #Web3Security

QIZ Security 完成 170 万美元种子轮融资,Evolution Equity Partners 与 Singtel Innov8 联合押注。

这家 2025 年新锐,盯上的是一个几乎所有人都没准备好的战场——Q-Day 量子破解时代。

它的打法很清晰:
· 无代理接入,纯 API 自动测绘企业全链路加密资产
· 一张图看清所有密钥、协议、弱密码风险敞口
· 输出后量子密码 (PQC) 迁移路线图,直接对齐全球合规要求

传统密码资产管理还停在"人工盘点+Excel"阶段,而 NIST PQC 标准已经落地、监管窗口正在收紧。谁先把加密资产可视化、谁就掌握迁移主动权。

种子轮就能拿到 Evolution 这种网安老钱背书,说明 PQC 治理正在从"技术议题"变成"董事会议题"。

量子威胁不是明天的事,是今天该动工的事。

#PQC #量子安全 #Web3Security

Đếm ngược bẻ khóa lượng tử: ai đang giúp doanh nghiệp sửa trước “hào lũy mật mã”?

QIZ Security hoàn tất vòng seed 1,7 triệu USD do Evolution Equity Partners dẫn dắt, Singtel Innov8 tham gia. Nhóm được thành lập năm 2025 này tập trung vào một việc mà hầu hết CISO vẫn chưa đưa vào lịch trình, nhưng cơ quan quản lý đã bắt đầu chú ý—quản trị mật mã hậu lượng tử (PQC).

Thứ họ làm không phải là một công cụ quét nữa, mà là nền tảng quản lý bối cảnh mật mã:
· Kết nối không cần agent, API thuần tự động lập bản đồ toàn bộ tài sản mã hóa trên chuỗi
· Rà soát khóa, giao thức, thuật toán yếu và chứng chỉ sắp hết hạn
· Xuất lộ trình di chuyển hướng tới Q-Day, bám sát trực tiếp NIST và các khung tuân thủ PQC tại từng khu vực

Điểm đáng chú ý rất rõ: hệ thống mã hóa truyền thống đang bị “định giá trước” bởi “năng lực tính toán lượng tử trong tương lai”. Với các nhà nắm giữ dữ liệu chu kỳ dài như tài chính, viễn thông và chính phủ, kiểm kê càng sớm thì càng rẻ. Việc Singtel Innov8 xuất hiện trong danh sách cũng ngầm gợi ý các kịch bản triển khai ở phía viễn thông.

Quy mô vòng seed không lớn, nhưng “cửa sổ thời gian” của đường đua đang mở—đây là một ngành kinh doanh “tuân thủ thúc đẩy + thay thế tài sản hiện hữu”, không dựa vào câu chuyện, mà dựa vào deadline.

#PQC #量子安全 #Web3Security

⏱️ THỜI HẠN 12 THÁNG: Ủy ban Chứng khoán và Hợp đồng Tương lai Hồng Kông (SFC) chính thức buộc các nền tảng crypto và các nhà môi giới phải loại bỏ các đăng nhập OTP yếu để chuyển sang xác thực nâng cao. Khi các vụ lừa đảo phishing gia tăng, các cơ quan quản lý đang đẩy mạnh một cách quyết liệt để bảo mật lĩnh vực giao dịch tài sản kỹ thuật số và bảo vệ tiền của nhà đầu tư. Bảo mật đang được nâng cấp! 🔒🚀

#Crypto #HongKong #SFC #trading #Web3Security

$OPN
$NVDAB
$DOT

Q-Day không còn là chủ đề khoa học viễn tưởng nữa, mà là một kế hoạch di chuyển trên bàn làm việc của CISO.

QIZ Security vừa hoàn tất vòng gọi vốn Seed trị giá 1,7 triệu USD, do Evolution Equity Partners và Singtel Innov8 đồng dẫn đầu, và họ đi thẳng vào mảnh ghép bị đánh giá thấp nhất—quản lý trạng thái mật mã cho tiền mã hóa (CSPM for Crypto).

Cách làm của họ rất thực dụng: không cần triển khai agent, chỉ dùng API để tự động lập bản đồ toàn bộ các khóa, chứng chỉ, giao thức mã hóa và bề mặt phơi lộ các thuật toán yếu trong nội bộ doanh nghiệp. Sau đó, gom các “tài sản mã hóa ẩn” đang rải rác ở cloud, SaaS, và kho mã nguồn lại thành một danh sách có thể quản trị, đồng thời đối chiếu các tiêu chuẩn hậu lượng tử của NIST để tạo lộ trình di chuyển.

Vì sao vòng này đáng chú ý:
· Cửa sổ tuân thủ PQC toàn cầu đang chuyển từ “khuyến nghị” sang “bắt buộc”, các ngành tài chính, viễn thông và chính phủ chịu áp lực trước
· Việc Singtel Innov8 tham gia cho thấy các kịch bản di chuyển mã hóa ở cấp độ viễn thông đã được xác thực
· So với các nhà cung cấp PKI truyền thống, điểm chạm của QIZ là khả kiến và quản trị, không phải tự cấp chứng thư—thuộc vị trí điển hình của “người bán xẻng”

Câu chuyện chống lượng tử trên chuỗi thường bị xem như meme, nhưng ở cấp doanh nghiệp, đó là một cuộc viết lại nền hạ tầng có tính chắc chắn trong 5 năm tới. Vòng Seed đã khóa vào các quỹ an ninh hàng đầu, cho thấy tổ chức đã xếp hàng từ sớm.

#PostQuantum #Cybersecurity #Web3Security

Tin tặc đã tìm cách cài backdoor vào một gói npm của Injective để đánh cắp khóa ví — tôi thấy tin này trên Cointelegraph sáng nay. Nói thật, đây là kiểu tin tức dành cho giới dev mà tôi nhớ lâu hơn bất kỳ cú nhảy giá nào.

Các vấn đề chuỗi cung ứng thật sự rất “lén lút”. Không ai cài một dependency và nghĩ rằng mình đang trao chìa khóa cho người khác; bạn chỉ cần cài đặt rồi tiếp tục. Với $INJ and bất cứ thứ gì được xây dựng trên Injective, phần khó chịu không nằm ở biểu đồ — mà là liệu các đội có thực sự dừng lại để kiểm tra xem họ đã kéo (pull) vào trong tuần này hay chưa.

Điều tôi đang theo dõi: liệu Injective có công bố danh sách rõ ràng các phiên bản gói bị xâm phạm hay không, và liệu các dự án khác trong hệ Cosmos có chạy các kiểm tra tương tự trước khi coi là xong hay không.

#Injective #INJ #Web3Security

Thêm một người chơi mới tham gia “đường đua an ninh” trong thời kỳ hậu lượng tử. QIZ Security vừa hoàn tất vòng gọi vốn Seed trị giá 17 triệu USD, do Bessemer Venture Partners và Merlin Ventures dẫn dắt, với sự tham gia của Evolution Equity, Singtel Innov8 và các bên khác.

Điều tôi quan tâm hơn là bối cảnh đội ngũ—đồng sáng lập Itan Barmes trước đây từng phụ trách mảng chuẩn bị an ninh mạng cho mạng lượng tử toàn cầu tại Deloitte. Ben Volkow và Lenny Ridel cũng đều là các “cựu binh” trong lĩnh vực an ninh doanh nghiệp. Những việc họ làm không hẳn quá “sexy”, nhưng rất “đỉnh”: giúp doanh nghiệp kiểm kê tài sản mã hóa, đánh giá rủi ro bị máy tính lượng tử bẻ khóa, và thúc đẩy các biện pháp chuyển đổi/khắc phục. Hiện nền tảng đã được triển khai tại các lĩnh vực tài chính, viễn thông, y tế và hạ tầng quan trọng; trong danh sách đối tác có Cisco, AWS, Google, CrowdStrike, Deloitte, EY và IBM.

Bài học dành cho ngành mã hóa thực ra khá thẳng thắn. Thuật toán đường cong elip—đặc biệt là những gì Bitcoin, Ethereum và phần lớn các chữ ký trên chuỗi (on-chain signatures) dựa vào—sẽ trở nên mong manh trước những máy tính lượng tử đủ mạnh. Dù “Q-day” chưa tới, các cơ quan quản lý đã bắt đầu thúc đẩy các lộ trình chuyển đổi sang PQC. Các ví cấp doanh nghiệp và bên lưu ký (custodian) sớm muộn cũng sẽ phải đối mặt với bài toán tương tự. Khi tài chính truyền thống và các nhà cung cấp cloud bắt đầu dành ngân sách cho hậu lượng tử, thì phía các dự án crypto cũng nên đưa việc này vào kế hoạch roadmap nhiều năm—thay vì chờ đến ngưỡng tới hạn mới xử lý vội vàng.

Vòng Seed 17 triệu USD đối với một nền tảng quản lý PQC là mức định giá khá “mạo hiểm”, cho thấy VC tin rằng “cửa sổ cơ hội” đang mở ra.

#PostQuantum #Cybersecurity #Web3Security

Ủy ban Chứng khoán Hồng Kông đã ra tay, trực tiếp kẻ vạch đỏ với các công ty chứng khoán Internet và nền tảng giao dịch tài sản ảo: không được tiếp tục sử dụng mật khẩu dùng một lần (OTP) nữa nếu khách hàng đăng nhập và thiết bị được liên kết.

Lý do rất thẳng thắn—đã có quá nhiều trường hợp OTP bị câu lừa, SIM bị chiếm đoạt để vượt qua kiểm soát, nên không thể chống đỡ trước các hình thức lừa đảo giả mạo. Cơ quan quản lý yêu cầu chuyển sang khóa truy cập (passkey) hoặc các phương thức xác thực “cứng” hơn như liên kết thiết bị. Các công ty chứng khoán lớn lập tức triển khai, các tổ chức khác sẽ đưa vào trong vòng 12 tháng.

Ngoài việc phòng ngừa, nền tảng còn phải làm được:
· Phát hiện đăng nhập, giao dịch, rút tiền đáng ngờ
· Thông báo theo thời gian thực cho người dùng về các hành động tài khoản quan trọng
· Ứng phó nhanh khi có sự cố tấn công mạng
· Nhắc nhở khách hàng thường xuyên để phòng chống lừa đảo

Tín hiệu dành cho ngành rất rõ ràng: chi phí tuân thủ sẽ tăng thêm một bậc, nhưng đây cũng là lối đi tất yếu để các nền tảng tài sản ảo tiến tới chuẩn an ninh cấp tài chính truyền thống. Trách nhiệm khi tài sản người dùng bị đánh cắp, nền tảng sẽ khó có thể “đổ đi” như trước.

Nhân tiện nhắc một câu—dù nền tảng có “cứng” đến đâu, khóa cá nhân của bạn, cụm từ khôi phục (seed/助记词), và thiết bị đăng nhập của bạn, vẫn luôn là lớp phòng tuyến đầu tiên.

#香港监管 #交易所安全 #Web3Security

🧠 Hãy ngừng để marketing crypto lười biếng lừa bạn.

Mỗi giao thức mới đều thích dán dòng chữ “Được bảo mật bởi EigenLayer” lên trang của họ để nhận ngay sự hứng khởi và uy tín. Nhưng một giao thức không chỉ thụ động “mượn” bảo mật như người thuê mượn danh tiếng của chủ nhà.

Các “nguyên thủy hạ tầng” thực sự như Newton Protocol ($NEWT )*hoạt động hoàn toàn khác biệt. Là một Dịch vụ Được Xác thực Chủ động (AVS), các nhà điều hành node phải tự nguyện rõ ràng và đặt cọc các $NEWT token của chính họ trực tiếp theo các quy tắc nghiêm ngặt của công cụ chính sách trước giao dịch (pre-transaction) của Newton.

Nếu một nhà điều hành cấu kết hoặc cố gắng cho dữ liệu gian lận lọt qua “sandbox” thực thi, lượng NEWT họ đã đặt cọc sẽ bị cắt (slash) trực tiếp ngay trong cuộc chơi.

Giá trị tổng khóa (TVL) nổi bật của một mạng lưới chẳng có ý nghĩa gì nếu vốn không được cam kết chủ động vào đúng các điều kiện cắt phạt đó. Các biện pháp răn đe kinh tế thực sự cần hệ quả thật.

Khi thị trường loại bỏ nhiễu đầu cơ, những token tiện ích được xây trên khả năng xác minh mật mã và “sàn bảo mật kinh tế” cứng—như $NEWT anchoring tự định vị mình như một nền tảng hạ tầng mang tính cấu trúc—là thứ định nghĩa kiến trúc thực sự của năm 2026.

👇 Bạn đang đầu tư dựa trên những “từ khóa marketing” bắt tai, hay bạn đang xem xét các điều kiện slashing thực tế của nhà điều hành? Hãy để lại quan điểm của bạn trong phần bình luận!

@NewtonProtocol #Newt $NEWT #EigenLayer #AVS #CryptoInfrastructure #Web3Security

Dừng việc mù quáng tin tưởng các bot giao dịch của bạn 🤖

Hầu hết các công cụ tự động hóa lợi nhuận và giao dịch đều chạy trên các máy chủ riêng tư, ẩn danh—tức là bạn đang mù quáng tin tưởng một “hộp đen” với ví của mình. Newton Protocol thay đổi cục diện bằng cách thay thế các script thực thi đóng kín bằng các tác nhân thông minh phi tập trung, hoàn toàn có thể xác minh. Tự động hóa onchain thực sự không chỉ là về tốc độ; đó là việc chứng minh bằng mật mã rằng chiến lược của bạn đã tuân theo các quy tắc của bạn.

#DeFi #CryptoAutomation #Web3Security

Trust Wallet tích hợp bảo vệ Intercepta cho hơn 220 triệu người dùng

Trust Wallet đã tích hợp công nghệ bảo mật Intercepta, phân tích rủi ro trước khi hoàn tất giao dịch. Đây là một bản cập nhật lớn cho một trong những ví self-custody (tự quản lý) lớn nhất thế giới.

Intercepta được phát triển bởi đội ngũ web3_antivirus và bổ sung một lớp phát hiện mối đe doạ theo thời gian thực. Giờ đây, hơn 220 triệu người dùng Trust Wallet được bảo vệ trước khi tiền được gửi đi hoặc trước khi một hợp đồng độc hại được ký.

Tự lưu trữ mang lại quyền kiểm soát hoàn toàn, nhưng cái giá cho một sai lầm là rất cao. Chỉ một chữ ký lừa đảo là tài sản có thể mất vĩnh viễn. Thay vì chỉ dựa vào sự cẩn trọng của người dùng, Trust Wallet nhúng bảo vệ trực tiếp vào quy trình giao dịch: chặn lừa đảo, kiểm tra hợp đồng của DApp và kiểm soát địa chỉ người nhận.

An toàn chủ động đang trở thành tiêu chuẩn. Câu hỏi là liệu người dùng đại chúng có sẵn sàng tin tưởng vào những giải pháp như vậy không?

#TrustWallet #Web3Security

$TWT