慢霧余弦：Ledger代碼庫攻擊團伙在 ledgerhq/connect-kit 1.1.5版本就已開始篡改

金色財經報道，慢霧創始人余弦在社交媒體上發文表示，從代碼編輯頁面來看，本次 Ledger 代碼庫攻擊團伙在 ledgerhq/connect-kit 1.1.5 版本就開始篡改了，但沒有植入惡意代碼，僅寫入一些嘲諷信息。1.1.6 版本開始植入惡意代碼，但可能有點問題，隨后發布了 1.1.7 帶惡意代碼的版本。最終，黑客留言感謝了前段時間宣布停止服務的網絡釣魚工具包 Inferno Drainer。

其它快訊：

慢霧：PREMINT攻擊者共竊取約300枚NFT，總計獲利約280枚ETH:7月18日消息，慢霧監測數據顯示，攻擊PREMINT的兩個黑客地址一共竊取了大約300枚NFT，賣出后總計獲利約280枚ETH。此前報道，黑客在PREMINT網站植入惡意JS文件實施釣魚攻擊，從而盜取用戶的NFT等資產。[7/18/2022 9:53:51 AM]

分析 | 慢霧分析 MimbleWimble攻擊思路：本質上是一種中間人攻擊思路:慢霧關于Dragonfly Capital研究員披露MimbleWimble隱私缺陷的一些補充觀點：

1. 攻擊思路本質上也是一種中間人攻擊思路：通過需要付出一些成本的“嗅探節點”技術監聽MimbleWimble的聚合前的交易流量，以此分析發現from/to兩個關鍵隱私因子的值，雖然不知道 value(金額)，但有能力知道許多交易的來源與去向，但不是完全；

2. 這種“嗅探”思路類似美國等國家針對暗網Tor網絡的溯源思路，通過部署或控制的足夠多的節點來抓取Tor網絡里的IP連接。但針對MimbleWimble網絡，由于節點P2P通信特點，倒是不需要部署或控制許多節點；

3. MimbleWimble協議需要進化以應對這種“嗅探”技術，但我們都知道 Grin、Beam 不僅 MimbleWimble 協議，隱私策略在上層也有加強空間；

4. 隱私幣在鏈上本質要解決的核心問題是：from/to/value 的隱私問題，但隱私不僅是鏈上的，還有鏈下部分，比如IP等隱私，這是所有隱私幣都需要面對的問題。雖然MimbleWimble 這個純鏈上的隱私技術不完美，這是必然的，完美是不存在的，不僅是MimbleWimble；

5. 隱私是一個工程級問題，Dragonfly Capital研究員的對抗思路也是工程級的，在工程級對抗上，不存在完美的隱私幣；

5. 期待隱私幣的一系列進化，在超級對抗中能進化的都是好隱私幣。[11/19/2019 12:00:00 AM]

聲音 | 慢霧區：目前已知5個LocalBitcoins賬戶被盜 損失約8個BTC:對于比特幣OTC平臺LocalBitcoins被黑事件，慢霧安全團隊的分析：目前已知5個用戶被盜（損失7.95205862 BTC），盜幣攻擊行為持續37分鐘，被攻擊的是LocalBitcoins的論壇(forums)，目前已下線，但主頁還在持續提供服務。安全團隊分析，初步懷疑是論壇出現XSS攻擊，被盜幣用戶的頁面觸發了惡意JavaScript代碼，由于論壇與主頁在同一個域下，只要這類攻擊觸發，是可以比較容易盜走BTC的。LocalBitcoins的安全架構上犯了至少兩個錯誤：第一個是：論壇這種高交互性的頁面不應該和主頁在同一個域下，應該分離出子域名形式；另一個是：主頁相關重要功能模塊加載了幾個第三方JavaScript模塊，只要任意一個第三方被黑或作惡，LocalBitcoins也能輕易被黑。[1/27/2019 12:00:00 AM]