Monad 聯合創始人 Keone Hon 呼籲加密團隊將安全置於首位，在攻擊者獲得更強大的 AI 能力之際，分享運營安全（OpSec）指南，同時推廣基金會的开源工具 Ultrafuzz。
- Hon 鼓勵開發者在自己的合約上運行 Ultrafuzz，並加強運營安全。
- Monad 的 OpSec 指南涵蓋了釣魚攻擊、憑證管理、員工設備以及第三方賬戶權限。
- Ultrafuzz 在 9 月開源，早於 Hon 最近一次呼籲團隊使用該工具。
- 指南中引用的控制劫持損失包括遺漏密鑰和供應鏈攻擊，以及社會工程學。
Monad Foundation 的資源同時覆蓋軟件團隊部署的軟件，以及用於管理這些軟件的賬戶、設備和簽名安排。Hon 在帖子中引導讀者查看《Crypto OpSec Bible》、管理員賬戶相關指南，以及利用 AI 寻找漏洞的研究。
他写道：「在這個 AI 赋能攻擊者的時代，我們行業前進的唯一方式就是繼續加強防護。安全應該是每個團隊的首要重點。」
Monad 的 OpSec 指南針對日常安全失誤
由 Omar 撰寫的《Crypto OpSec Bible》開篇就表達了對反複出現的入侵事件的挫敗感，這些事件涉及陌生代碼、釣魚攻擊、暴露的憑證以及糟糕的設備管理。
該指南引用了 ChainLight 的 Lumos 跟蹤器。根據該跟蹤器從 2023 年 1 月到指南所引用的統計截止點所追蹤的事件，由於控制劫持造成的被利用價值為 33.1 億美元，而智能合約漏洞造成的被利用價值為 9.83 億美元。
其中，控制劫持類型包括社會工程、私鑰洩露、未經授權的訪問、供應鏈攻擊以及其他傳統的安全失誤。該比較涵蓋追蹤器記錄的事件，並被作為歷史快照呈現。
Omar認為，加密組織對運營安全的重視仍然不足。他的建議包括將個人活動與工作設備分開，使用乾淨的電腦或瀏覽器處理與加密相關的事務，以及在簽名前檢查交易細節。
對於關鍵賬戶，指南建議使用硬體安全密鑰，並妥善保存備份，使用唯一的密碼，並將認證代碼與密碼分開保存。對於組織而言，建議部署終端防護，並設立明確的安全事件報告聯絡人。
Hon 催促開發者檢查管理員權限
針對智能合約開發者，Hon 強調不要依賴外部擁有的賬戶（EOA）擔任管理員角色，並提醒在簽署管理功能時使用專用筆電。
他的資源列表還包括形式化驗證，以及運用大語言模型進行威脅獵捕的研究。在另一則帖子中，他鼓勵開發者在自己的合約上運行 Ultrafuzz，並提到 Antonio Viggiano 的經驗，邀請外界提供反饋。
Hon 写道：“智能合約開發者，請在你们的合約上運行 Ultrafuzz ！！它是開源的，任何人都可以使用。”
該工具的開源公告發布於9月10日。Hon最近的帖子重新引起了外界對這一既有的發布的關注，同時也帶動了基金會運營安全資源的討論。
Ultrafuzz 將 AI 的調查與合約測試結合起來
Ultrafuzz 可以通過公開的 GitHub 仓库獲取，它協調專門的 AI 代理來審查合約、映射用戶行為、調查安全屬性、運行測試策略，並整理供審閱的發現結果。
Monad 表示，經過超過 20 次針對生態項目的運行幫助，才塑造出這一發布版本；該工具支持 Solidity 和 Vyper。
在技術解說中，Viggiano 介紹了他在幫助某團隊準備外部安全審查時開發該工具的過程。該項目缺乏模糊測試，因此促成了一个 AI 辅助工作流，用於創建這些測試。
他的解釋顯示，這些代理會識別協議應當保持的條件，然後調查特定操作或操作序列是否會破壞這些條件。隨後，發現的結果會被彙總、檢查並整理成報告。
Monad 要求使用者在可丟棄、隔離的虛擬機上運行 Ultrafuzz。其代理擁有不受限制的權限，公告警告不要在開發者工作站或存有重要憑證的機器上運行該工具。
近期安全事件暴露賬戶和軟體依賴風險
此前的一些事件涉及該指南所涵蓋的多個訪問點。
10月26日，crypto.news報導稱，錢包製造商Foundation遭遇Cloudflare API密鑰洩露，導致看似來自其官方網站的欺詐郵件得以發送。該公司已撤銷相關憑證，并表示Passport硬件及存放資金仍然安全。
7月曾發生一起Injective開發者軟件包遭入侵的事件。安全公司Socket表示，惡意代碼截獲了錢包生成函數，並通過偽造遙測將私鑰和助記詞傳輸出去。Injective首席執行官Eric Chen表示，受影響的版本已被棄用，問題也已修復。
另一項7月的調查涉及OkoBot的盜幣惡意軟件，該軟件通過伪装成合法軟件的GitHub倉庫進行傳播。該行為使用虛假的錯誤信息及修復說明，誘使受害者執行惡意命令。其模塊包括偽造的錢包恢復界面、鍵盤監控和剪貼板監視。
