Monad 联合创始人 Keone Hon 呼吁加密团队把安全放在首位，并在攻击者获得更强大的 AI 能力之际，分享运营安全（OpSec）指南，同时推广基金会的开源工具 Ultrafuzz。

• Hon 鼓励开发者在自己的合约上运行 Ultrafuzz，并加强运营安全。
• Monad 的 OpSec 指南涵盖钓鱼、凭证管理、员工设备以及第三方账户权限。
• Ultrafuzz 于 9 月开源，早于 Hon 最近一次呼吁团队使用该工具。
• 指南中引用的控制劫持损失包括泄露密钥和供应链攻击，以及社会工程学。

Monad Foundation 的资源同时覆盖软件团队部署的软件，以及用于管理这些软件的账户、设备和签名安排。Hon 在帖子中引导读者查看《Crypto OpSec Bible》、管理员账户相关指南，以及利用 AI 寻找漏洞的研究。

他写道：“在这个 AI 赋能攻击者的时代，我们行业前进的唯一方式就是继续加固。安全应该是每个团队的首要重点。”

Monad 的 OpSec 指南针对日常安全失误

由 Omar 撰写的《Crypto OpSec Bible》开篇就表达了对反复出现的入侵事件的挫败感，这些事件涉及陌生代码、钓鱼、暴露的凭证以及糟糕的设备管理。

该指南引用了 ChainLight 的 Lumos 跟踪器。根据该跟踪器从 2023 年 1 月到指南所引用的统计截止点所追踪的事件，因控制劫持造成的被利用价值为 33.1 亿美元，而智能合约漏洞造成的被利用价值为 9.83 亿美元。

其中，控制劫持类别包括社会工程、私钥泄露、未经授权访问、供应链攻击以及其他传统安全失误。该比较涵盖跟踪器记录的事件，并被作为历史快照呈现。

Omar 认为，加密组织对运营安全的重视仍然不足。他的建议包括将个人活动与工作设备分开，使用干净的电脑或浏览器处理加密相关事务，以及在签名前检查交易细节。

对于关键账户，指南建议使用硬件安全密钥，并妥善保存备份，使用唯一密码，并将认证代码与密码分开保存。对组织而言，建议部署终端防护，并设立明确的安全事件报告联系人。

Hon 敦促开发者检查管理员权限

针对智能合约开发者，Hon 强调不要依赖外部拥有账户（EOA）担任管理员角色，并提醒在签署管理功能时使用专用笔记本电脑。

他的资源列表还包括形式化验证以及利用大语言模型进行威胁狩猎的研究。另在一则帖子中，他鼓励开发者在自己的合约上运行 Ultrafuzz，并提到 Antonio Viggiano 的经验，邀请外界反馈。

Hon 写道：“智能合约开发者，请在你们的合约上运行 Ultrafuzz！！它是开源的，任何人都可以使用。”

该工具的开源公告发布于 9 月 10 日。Hon 最近的帖子重新引发了外界对这一既有发布的关注，同时也带动了基金会运营安全资源的讨论。

Ultrafuzz 将 AI 调查与合约测试结合

Ultrafuzz 可通过公开的 GitHub 仓库获取，它协调专门的 AI 代理来审查合约、映射用户行为、调查安全属性、运行测试策略，并整理供审阅的发现结果。

Monad 表示，超过 20 次针对生态项目的运行帮助塑造了这一发布版本，该工具支持 Solidity 和 Vyper。

在技术讲解中，Viggiano 介绍了他在帮助某团队准备外部安全审查时开发该工具的过程。该项目缺少模糊测试，因此促成了一个 AI 辅助工作流，用于创建这些测试。

他的解释显示，这些代理会识别协议应当保持的条件，然后调查特定操作或操作序列是否会破坏这些条件。随后，发现结果会被汇总、检查并整理成报告。

Monad 要求用户在可丢弃、隔离的虚拟机上运行 Ultrafuzz。其代理拥有不受限制的权限，公告警告不要在开发者工作站或存有重要凭证的机器上运行该工具。

近期安全事件暴露账户和软件依赖风险

此前的一些事件涉及该指南所覆盖的多个访问点。

10 月 26 日，crypto.news 报道称，钱包制造商 Foundation 遭遇 Cloudflare API 密钥泄露，导致看起来来自其官方域名的欺诈邮件得以发送。该公司已撤销相关凭证，并表示 Passport 硬件和存放资金仍然安全。

7 月曾发生一起 Injective 开发者软件包遭入侵的事件。安全公司 Socket 表示，恶意代码拦截了钱包生成函数，并通过伪造遥测将私钥和助记词传输出去。Injective 首席执行官 Eric Chen 表示，受影响的版本已被弃用，问题也已修复。

另一项 7 月的调查涉及 OkoBot 的盗币恶意软件，该软件通过伪装成合法软件的 GitHub 仓库传播。该行动使用虚假的错误信息和修复说明，诱使受害者执行恶意命令。其模块包括伪造的钱包恢复界面、键盘监控和剪贴板监视。