二要素認証

Bitcoin Newsによると、Blinkは9月19日の攻撃事件の完全な振り返りを発表しました。この攻撃により、24の顧客アカウントから合計6.61枚のBTCが盗まれました。同社は、この脆弱性が2023年10月から存在しており、無料のBlinkアカウントを持つユーザーは誰でもカスタマーサービスレベルの権限を取得し、顧客アカウントを乗っ取り、出金限度額を引き上げる可能性があると述べています。攻撃者は、3817のアカウントの一部情報を取得しました。これには一部の電話番号や電子メールアドレスが含まれていますが、名前、身分証明書、住所、パスワード、及びリカバリーフレーズは漏洩していません。盗まれた24のアカウントはすべて二段階認証を有効にしていませんでした。攻撃者は、9つの二段階認証保護が有効なアカウントから18回の出金を試みましたが、すべて失敗しました。Blinkの株主は、すべての影響を受けた顧客に全額賠償を行いました。約5枚の盗まれたBTCは、その後クロスチェーン交換サービスを通じて移転されました。Blinkは現在、最大約3.3枚のBTCの回収報酬を提供しており、回収に成功した資金の半分は、有効な手がかりを提供した者及びビットコイン循環経済体に分配されます。

Decrypt の報道によると、Google の脅威インテリジェンスチームは、サイバー犯罪者が人工知能モデルを利用して、人気のあるオープンソースの Web 管理ツールに存在するゼロデイ脆弱性を発見し、悪用したことを確認しました。この脆弱性は二要素認証を回避することができます。Google は、これは同社が実際の環境で AI 支援のゼロデイ脆弱性開発を確認した初めてのケースであると述べています。攻撃者が大規模に悪用する準備をする前に、Google は影響を受けたベンダーと協力してこの脆弱性を修正しました。Google の報告によると、この脆弱性は論理エラーであり、ソフトウェアが二要素認証を回避する条件を信頼していました。従来のスキャナーがクラッシュやエラーコードを探すのとは異なり、AI はソフトウェアの期待される動作を分析し、論理的矛盾を検出することで、攻撃者が暗号を破壊することなくセキュリティチェックを回避できるようにしました。

ChainCatcher のメッセージによると、赵长鹏は X プラットフォーム（旧 Twitter）で、Vitalik の Twitter アカウントがハッキングされたと述べ、ユーザーはソーシャルメディア上のコンテンツ（著名な KOL からのコンテンツを含む）を読む際に警戒を怠らないようにすべきだとしています。Twitter のアカウントのセキュリティは、金融プラットフォームとして設計されていません。二要素認証（2FA）の有効化や、ログイン ID がユーザー名やメールアドレスとは異なるべきなど、より多くの機能が必要です。赵长鹏は、過去に彼の Twitter アカウントがハッカーによるブルートフォース攻撃（異なるパスワードを繰り返し試みること）によって何度かロックされたことがあると述べており、これらの出来事はマスクが Twitter を買収する前に発生しました。さらに、赵长鹏はユーザーに対し、すべての暗号プラットフォームで二要素認証（Yubikey など）を使用することを推奨しています。