安全公司：惡意npm包試圖竊取Discord令牌

12月10日消息，DevOps安全公司JFrog在npm（Node.js包管理器）存儲庫中發現17個新的惡意軟件包，這些軟件包故意試圖攻擊和竊取用戶的Discord令牌。JFrog安全研究高級主管Shachar Menashe和Andrey Polkovnychenko解釋說，劫持用戶的Discord令牌（用戶憑據）使攻擊者能夠完全控制用戶的賬戶。

Menashe表示，“如果執行得當，這種類型的攻擊會產生嚴重的影響，在這種情況下，公共黑客工具使這種攻擊變得足夠容易，即使是新手黑客也可以執行。我們建議各組織采取預防措施并管理其使用npm進行軟件管理，以降低將惡意代碼引入其應用程序的風險。”

兩人解釋說，這些軟件包的有效負載各不相同，從信息竊取者到完全遠程訪問后門。他們補充說，這些軟件包有不同的感染策略，包括鍵入錯誤、依賴性混淆和特洛伊木馬功能。這些軟件包已經從npm存儲庫中刪除，JFrog安全研究團隊表示，它們“在獲得大量下載之前”就被刪除了。

JFrog指出，由于Discord平臺是一款流行的視頻/語音/文本聊天應用程序，目前已擁有超過3.5億注冊用戶，因此旨在竊取Discord令牌的惡意軟件有所增加。（ZDNet）

區塊鏈安全公司Sec3完成1000萬美元融資:金色財經報道，區塊鏈安全公司 Sec3 完成 1000 萬美元種子輪融資，Multicoin Capital 領投，參投方包括 Sanctor Capital 和 Essence VC，個人投資者包括前 ParaFi Capital 合伙人 Santiago Santos 和 Solana 聯合創始人 Anatoly Yakovenko 等。Sec3 目前僅服務于 Solana 生態項目其客戶包括 Helium Network、Metaplex 和 Tulip，Sec3 計劃未來擴展到以太坊、Aptos、Sui 和 Polygon，其產品 Launch Audits、X-Ray、CircuitBraker 和 WatchTower 覆蓋了項目從啟動前到后期的安全解決方案。[2023/2/1 11:39:35]

安全公司：年度最大DeFi黑客事件Poly Network遭受攻擊源頭已找到:對于跨鏈互操作協議Poly Network遭受攻擊事件，成都鏈安技術團隊經過深度分析已找到攻擊的源頭。該筆交易對應的跨鏈交易由本體鏈上f771ba開頭的這筆交易發出，并定位到本體鏈上AM2W2L開頭的攻擊者地址。攻擊者在ONT鏈上進行攻擊嘗試發現有效后，通過這筆f771ba開頭的地址交易批量向多個鏈發起更改Keeper的跨鏈消息，然后BSC鏈的relayer 0xa0872c79開頭地址率先處理了該筆跨鏈交易，并將keeper設置為攻擊者指定的以0xa87開頭的地址。

接著Ethereum、Polygon兩條鏈上攻擊者重放了BSC鏈的 relayer所使用的有效簽名。Keeper地址更改為自己的地址后，攻擊者使用自己可控的Keeper發起了提幣交易，轉移了跨鏈池中的資產。此處攻擊成功表明PolyNetwork在對跨鏈交易事件的驗證存在缺陷，導致了惡意的跨鏈消息被接收并在對應的鏈上進行了跨鏈消息所指定的操作。[2021/8/11 1:49:10]

動態 | 區塊鏈安全公司SecuX將展出其一體化加密貨幣零售支付解決方案:區塊鏈安全公司SecuX Technology Inc.（簡稱SecuX）將于2020年1月7日至10日在美國拉斯維加斯國際消費電子展上展出其內置區塊鏈硬件錢包的一體化加密貨幣零售支付解決方案，該解決方案允許各實體零售商在同一設備上通過多個錢包移動應用接受不同的加密貨幣。（BusinessWire）[2020/1/7]