慢霧創始人余弦：門羅幣CCS錢包被盜事件并非因門羅幣隱私模型的漏洞造成的

金色財經報道，慢霧創始人余弦在社交媒體上發文表示，前兩天門羅幣官方發通告社區眾籌系統里的門羅幣被盜了，簡單說下內部討論后的觀點：不是門羅幣隱私模型的漏洞（至少不是什么新風險）；數據統計分析+威脅情報合作網絡的結合確實有可能大力出奇跡。

其它快訊：

慢霧科技啟富：去中心化錢包安全核心在于私鑰、助記詞的存儲及加密:11月6日消息，慢霧科技合伙人啟富在做客《HyperPay焦點》欄目時提及：去中心化錢包的安全涉及到很多方面，最核心的是對私鑰、助記詞的存儲及加密。用戶在選擇錢包時盡量選擇國際知名、一流的錢包，同時注意看錢包App的代碼是否開源、代碼是否經過安全審計、團隊內是否有CSO或安全負責人，這些都可能影響到錢包不斷迭代、升級過程中的安全是否有保障。同時，作為用戶一定要從錢包的官網下載App，避免誤入釣魚網站下載到被植入了后門的錢包App。[11/6/2020 11:51:30 AM]

動態 | 慢霧發布針對 EOS 交易 hard_fail 狀態的新型攻擊說明:據 IMEOS 報道，慢霧發文解析了 hard_fail 狀態攻擊，根據其的情報捕獲與分析，慢霧意識到針對 EOS hard_faild 狀態的新型攻擊手法可能會造成更大范圍的影響，本次手法成因為項目方未對交易狀態進行嚴格且完備的檢驗導致攻擊發生，屬于“假充值”攻擊類型的一種。在此，慢霧安全團隊建議交易所和錢包要對發送給自己的轉賬交易在不可逆的區塊前提下檢測以下幾點：1. 判斷 status 是否為 executed2. 判斷 action 是否為 transfer3. 判斷合約賬號是否為 eosio.token 或其它 token 的官方合約4. 判斷代幣名稱及精度5. 判斷金額6. 判斷 to 是否是自己平臺的充幣賬號補充說明：本次攻擊可繞過節點 read-only 模式，開啟 read-only 模式仍然會受到攻擊。因為交易的狀態為：未執行->已經執行但執行失敗，并不是回滾所以即使開啟了 read-only 模式，依然會受到攻擊。[3/12/2019 12:00:00 AM]

動態 | 慢霧區發布0day漏洞預警 可盜取交易所賬號:慢霧區0day漏洞預警：某第三方知名 JS 庫存在 XSS 0day 漏洞，可繞過 Cloudflare 等防御機制。該漏洞如果被惡意利用會導致數字貨幣交易所等平臺的用戶帳號權限被盜、惡意操作等資產損失。經過慢霧安全團隊確認該漏洞影響范圍非常之廣，漏洞利用過程簡單，威力十足。[9/18/2018 12:00:00 AM]