漏洞披露

ChainCatcher 消息，比特币核心开发者 Antoine Poinsot 在比特币开发邮件列表中宣布调整安全漏洞披露政策。他表示，过去漏洞通常被长期保密，以便用户在细节公开前完成升级，但这也导致修复无法回移植到旧版本，用户需等待下一个大版本发布。Poinsot 指出，大语言模型使部分漏洞极易被重新发现，继续延迟修复所能提供的保护已十分有限。根据新政策，被判定为“易于发现”的漏洞将尽快在所有受维护的主版本中修复，并同步发布安全公告。该分类适用于仅需极少努力即可发现的漏洞，例如通过简单的 LLM 提示词。其他漏洞仍按严重程度遵循披露时间表：低严重性漏洞在包含修复的大版本发布两周后披露；中高严重性漏洞则在最后一个受影响版本达到生命周期终止（通常为修复在新大版本发布一年后）两周后披露。关键漏洞不在标准政策范围内，可能需要临时程序处理。比特币生态安全研究者 Luke de Wolf 表示，他过去不认同 Poinsot 的安全策略，但认为此次更新是好的调整。今年 8 月，志愿性质的 Bitcoin Red Team 在 390 个项目中报告了近 5000 个潜在问题，当时仅约五分之一得到复现。同月，Core Lightning 开发者在收到多份 AI 生成的漏洞报告后，敦促运营者升级或将节点下线，并保留技术细节两周。

ChainCatcher 消息，据 The Block 报道，在 UwU Lend 平台攻击者未能归还资金后，该协议正在采取另一项举措来寻找黑客。根据以太坊上的 Input Data Message (IDM)，UwU Lend 为“第一个识别并找到”漏洞利用者的人设立了价值 500 万美元的 ETH 赏金，并补充道，“无需追回资金或费用”。 此前，该协议曾与漏洞利用者直接讨论过设立赏金。攻击者可以保留他们所窃取的 20%，只要他们归还 80%，如果漏洞利用者遵守，该协议表示将不再进一步追究此事，也不会让执法部门介入此事。 据悉，攻击者必须在周三下午 1 点（美国东部时间）之前归还资金。但在周四发给攻击者的消息中，UwU Lend 写道“你所窃取资金的偿还期限已过。”

ChainCatcher 消息，据 Bitcoin.com 报道，Bitcoin Core（比特币核心）的 Optech Newsletter #306 建议用户“在未来两周内升级到 Bitcoin Core 25.0 或更高版本，最新版本为 27.0。” 几位比特币核心项目成员讨论了一项关于漏洞披露的新政策。如果比特币核心发布新版本，低严重性漏洞将在新版本发布后两周左右披露，而大多数其他漏洞将在受影响版本到期后披露。

ChainCatcher 消息，据 The Block 报道，针对 dWallet Labs 的安全研究人员发现的一个漏洞，Lido Finance 核心节点运营商之一的 InfStones 将暂时将其以太坊验证器从流动性质押协议中撤出，并实施密钥轮换。 该漏洞与开源库 Tailon 相关，于 2023 年 7 月向 InfStones 报告，现已得到解决。尽管如此，这一事件导致采取了预防性安全措施。Lido Finance 确认该漏洞与影响 25 个 InfStones 验证器服务器的潜在根级访问有关，但没有证据表明此问题导致任何密钥泄露或被利用。

链捕手消息，以太坊扩容方案Boba Network近日宣布向Optimism漏洞披露者@saurik发放10万美元的最高额度赏金，以表彰他在发现 print-ETH 漏洞并将其报告给 Optimism 方面的出色侦探工作。此前，Optimism 已经宣布向@saurik发放100万美元的漏洞赏金。 据悉，Boba Network是由OMG 基金会核心团队开发的以太坊扩容方案，并由Optimism分叉而来，目前总锁仓量为2.2亿美元。（来源链接）

链捕手消息，以太坊扩容解决方案Optimism今日发布博客表示，Optimism 团队在 2 月 2 日收到Jay Freeman的警告，Optimism 的 Geth 分叉中存在严重错误，使得通过重复触发SELFDESTRUCT持有 ETH 余额的合约上的操作码，可以在 Optimism 上创建 ETH。对 Optimism 链历史的分析表明，该漏洞未被利用。 在确认后数小时内，Optimism对该问题的修复进行了测试并部署至主网。作为官方 Immunefi 漏洞赏金计划的一部分，Optimism表示将向漏洞披露者奖励最高 2,000,042 美元的赏金。（来源链接）