재미있는 공격 1)
x402에서 퍼실리테이터의 주된 역할은 가스 스폰서링(EIP3009, EIP2612, ..)
-> EVM과 다르게 솔라나는 ATA신규 수취인 처리를 위한 초기화 과정에서 0.002SOL (165byte) 필요
-> 그러면 공격자가 payload구성시, 서비스 제공자 역할하는 지갑(A)을 임의로 하나 생성해서 구성 (참고로 EVM에서는 퍼실리테이터가 직접 트랜잭션을 구성하기 때문에 해당 공격 불가능 + Rent Fee도 없음)
-> 해당 페이로드를 퍼실리테이터로 보내서 온체인 정산 시작, verify/settle하는 과정에서 퍼실리테이터는 0.002SOL을 (A) 지갑에 제공
-> 렌트피가 (A)에 전달되면 바로 해당 수수료 회수(Sol-Incinerator) 쓰는것처럼
-> 퍼실리테이터에게서 0.002SOL 갈취 성공!
x402에서 퍼실리테이터의 주된 역할은 가스 스폰서링(EIP3009, EIP2612, ..)
-> EVM과 다르게 솔라나는 ATA신규 수취인 처리를 위한 초기화 과정에서 0.002SOL (165byte) 필요
-> 그러면 공격자가 payload구성시, 서비스 제공자 역할하는 지갑(A)을 임의로 하나 생성해서 구성 (참고로 EVM에서는 퍼실리테이터가 직접 트랜잭션을 구성하기 때문에 해당 공격 불가능 + Rent Fee도 없음)
-> 해당 페이로드를 퍼실리테이터로 보내서 온체인 정산 시작, verify/settle하는 과정에서 퍼실리테이터는 0.002SOL을 (A) 지갑에 제공
-> 렌트피가 (A)에 전달되면 바로 해당 수수료 회수(Sol-Incinerator) 쓰는것처럼
-> 퍼실리테이터에게서 0.002SOL 갈취 성공!
과거 트랜잭션에 대한 Ground Truth가 없어서 이 공격이 확실하다는 증거는 없지만 논문에서는 전체 ATA의 60.59%가 토큰 transfer 3회 미만에서 폐쇄됐고, Gini 계수 0.664. 극단적 tail 행동과 빠른 폐쇄 패턴을 들어 리스크 증거로 설명했습니다
엄선된 준의 식견
재미있는 공격 1) x402에서 퍼실리테이터의 주된 역할은 가스 스폰서링(EIP3009, EIP2612, ..) -> EVM과 다르게 솔라나는 ATA신규 수취인 처리를 위한 초기화 과정에서 0.002SOL (165byte) 필요 -> 그러면 공격자가 payload구성시, 서비스 제공자 역할하는 지갑(A)을 임의로 하나 생성해서 구성 (참고로 EVM에서는 퍼실리테이터가 직접 트랜잭션을 구성하기 때문에 해당 공격 불가능 + Rent Fee도 없음) …
YouTube
"인증할 때 받는 '1원', 10만 번 반복해 10만 원 빼갔다" / SBS / 실시간 e뉴스
은행에서 계좌를 만들거나 혹은 비대면 거래를 할 때 내 계좌에 1원을 받고 실명 인증을 하는 경우가 있죠.
이것을 악용한 사례가 나타났습니다.
최근 한 은행에서는 1원 계좌 인증을 통해 10만 원을 빼간 사례가 포착됐습니다.
해당 이용자는 일주일에 거쳐서 무려 10만 번의 인증을 시도한 것인데요.
물리적인 시간상 불가능에 가까워서 매크로를 사용한 것으로 추정됐습니다.
해당 은행은 악용 방법이 온라인에 공유돼 피해가 커지는 것을 막기 위해 1원…
이것을 악용한 사례가 나타났습니다.
최근 한 은행에서는 1원 계좌 인증을 통해 10만 원을 빼간 사례가 포착됐습니다.
해당 이용자는 일주일에 거쳐서 무려 10만 번의 인증을 시도한 것인데요.
물리적인 시간상 불가능에 가까워서 매크로를 사용한 것으로 추정됐습니다.
해당 은행은 악용 방법이 온라인에 공유돼 피해가 커지는 것을 막기 위해 1원…
엄선된 준의 식견
2/ https://arxiv.org/html/2607.19545 새로운 논문이 나왔군요 한번 뜯어보죠
3/ 결국 논문으로 돌아가면, 이 공격 벡터들이 나오는 근본 원인은 세 가지 설계 결정으로 나온다고 생각하는데:
첫째, verify가 nonce 소비나 자금 예약 없는 stateless 검사, 사실상 prediction에 그친다는 점
- 카드 결제의 authorization이 자금을 실제로 묶는 상태 변경인 반면, x402의 verify는 "settle 시점에도 유효할 것"이라는 예측일 뿐 보증이 아니므로 취약점 생길 가능성 농후
둘째, 소비자와 머천트를 동시에 보호하려다 보니 verify - execute - settle이라는 분리 구조가 나옴.
- 온체인 정산은 되돌릴 수 없으므로 business logic이 성공한 뒤에만 정산해야 하는데, 이 순서가 verify와 settle 사이에 어느 당사자도 책임지지 않는 상태 구간을 만든다.
셋째, gas와 rent 부담을 facilitator에게 이전함.
- 지갑에 native token이 없는 에이전트도 결제하게 하려는 선택인데, 그 순간 공격자 통제 입력이 facilitator 비용으로 직결
낙관적으로 보면, Cloudflare Monetization Gateway처럼 검증된 빅테크의 수직 통합 모델에서는 이 문제들이 그렇게 큰 문제를 야기하지는 않는데:
- 게이트웨이가 reverse proxy로 앉아 있어 origin이 리소스를 만들어놓아도 정산이 확정될 때까지 응답을 반출하지 않으면 되고(release를 settle 뒤로 미루는 것)
- gas와 rent도 자신이 fee payer라 통제 가능
다만 이건 취약점을 제거한 것이 아니라 다수의 분산된 구현 버그를 소수의 집중된 신뢰 가정으로 치환한 것에 가깝기 때문에...
첫째, verify가 nonce 소비나 자금 예약 없는 stateless 검사, 사실상 prediction에 그친다는 점
- 카드 결제의 authorization이 자금을 실제로 묶는 상태 변경인 반면, x402의 verify는 "settle 시점에도 유효할 것"이라는 예측일 뿐 보증이 아니므로 취약점 생길 가능성 농후
둘째, 소비자와 머천트를 동시에 보호하려다 보니 verify - execute - settle이라는 분리 구조가 나옴.
- 온체인 정산은 되돌릴 수 없으므로 business logic이 성공한 뒤에만 정산해야 하는데, 이 순서가 verify와 settle 사이에 어느 당사자도 책임지지 않는 상태 구간을 만든다.
셋째, gas와 rent 부담을 facilitator에게 이전함.
- 지갑에 native token이 없는 에이전트도 결제하게 하려는 선택인데, 그 순간 공격자 통제 입력이 facilitator 비용으로 직결
낙관적으로 보면, Cloudflare Monetization Gateway처럼 검증된 빅테크의 수직 통합 모델에서는 이 문제들이 그렇게 큰 문제를 야기하지는 않는데:
- 게이트웨이가 reverse proxy로 앉아 있어 origin이 리소스를 만들어놓아도 정산이 확정될 때까지 응답을 반출하지 않으면 되고(release를 settle 뒤로 미루는 것)
- gas와 rent도 자신이 fee payer라 통제 가능
다만 이건 취약점을 제거한 것이 아니라 다수의 분산된 구현 버그를 소수의 집중된 신뢰 가정으로 치환한 것에 가깝기 때문에...
엄선된 준의 식견
3/ 결국 논문으로 돌아가면, 이 공격 벡터들이 나오는 근본 원인은 세 가지 설계 결정으로 나온다고 생각하는데: 첫째, verify가 nonce 소비나 자금 예약 없는 stateless 검사, 사실상 prediction에 그친다는 점 - 카드 결제의 authorization이 자금을 실제로 묶는 상태 변경인 반면, x402의 verify는 "settle 시점에도 유효할 것"이라는 예측일 뿐 보증이 아니므로 취약점 생길 가능성 농후 둘째, 소비자와 머천트를…
4/ 결국 여기서 또 블록체인/탈중앙화의 아이러니가 나온거 같네요.
x402가 겨냥하는 시장은 원래 누구나 API를 팔 수 있는 개인과 소규모 공급자들의 마이크로페이먼트 시장인데, 완벽한 패널티 매커니즘(카드의 차지백같은)을 구현하지 않는 이상 컨슈머와 머천트를 동시에 보호하려는 탈중앙 설계는 필연적으로 실패할수 밖에 없다고 생각이 드네요
x402가 겨냥하는 시장은 원래 누구나 API를 팔 수 있는 개인과 소규모 공급자들의 마이크로페이먼트 시장인데, 완벽한 패널티 매커니즘(카드의 차지백같은)을 구현하지 않는 이상 컨슈머와 머천트를 동시에 보호하려는 탈중앙 설계는 필연적으로 실패할수 밖에 없다고 생각이 드네요
엄선된 준의 식견
4/ 결국 여기서 또 블록체인/탈중앙화의 아이러니가 나온거 같네요. x402가 겨냥하는 시장은 원래 누구나 API를 팔 수 있는 개인과 소규모 공급자들의 마이크로페이먼트 시장인데, 완벽한 패널티 매커니즘(카드의 차지백같은)을 구현하지 않는 이상 컨슈머와 머천트를 동시에 보호하려는 탈중앙 설계는 필연적으로 실패할수 밖에 없다고 생각이 드네요
5/ 결국 그러한 시장이 온다고 하더라도, 지금 당장 드는 생각은 어그리게이터도 어느정도 인증된 기관이나 프로젝트들이 해야하지 않나 싶고(ex) Coinbase)
이러한 점에서 orthogonal(https://x.com/orthogonal_sh)과 같은 프로젝트들이 더욱 주목받지 않을까 하네요
이러한 점에서 orthogonal(https://x.com/orthogonal_sh)과 같은 프로젝트들이 더욱 주목받지 않을까 하네요
X (formerly Twitter)
Orthogonal (YC W26) (@orthogonal_sh) on X
Giving AI agents the tools they need.
Forwarded from Shoal Research Hub
MoonPay and Tempo Announce Ecosystem Partnership to Power Stablecoin Payments
> PathUSD and USDC.e on Tempo are live across MoonPay's Ramps and Virtual Accounts, along with native onramping support in Tempo Wallet.
Source: https://x.com/moonpay/status/2081726668926861567
> PathUSD and USDC.e on Tempo are live across MoonPay's Ramps and Virtual Accounts, along with native onramping support in Tempo Wallet.
Source: https://x.com/moonpay/status/2081726668926861567
👏1
Forwarded from Four Pillars Research (KR)
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3❤1
Forwarded from Four Pillars Research (KR)
: : 포필러스, 국내 대학 블록체인 학회 대상 "Four Pillars Research Challenge 2026" 개최
포필러스가 국내 주요 대학 블록체인 학회를 대상으로 총 상금 $8,000 규모의 리서치 경진대회인 "Four Pillars Research Challenge 2026"을 개최합니다.
솔라나(Solana), 메타마스크(MetaMask), 칸토8(Cantor8), 서프 AI(Surf AI)가 스폰서로 참여하여 4개의 리서치 트랙이 존재하며, 참가 학회들에게는 더블록 프로(The Block Pro)와 서프 AI의 유료 구독 계정이 제공될 예정입니다.
공정한 대회 진행을 위해 참가 신청부터 리서치 작성, 제출은 전부 익명으로 진행되며, 10월 1일 저녁에는 해시드 라운지에서 시상식 및 학회 중심의 행사가 있을 예정이니 많은 관심 부탁드립니다.
[상금 및 특전]
• 총 상금: $8,000
• 각 리서치 트랙당 1위 1팀($1,000), 2위 1팀($500), 3위 2팀($250) 수상 예정
• 각 트랙별 수상팀의 리서치는 포필러스 채널에 배포될 예정이며, 솔라나 트랙의 우수작은 추후에 솔라나 공식 채널에 업로드 될 예정
[리서치 트랙]
• 솔라나 트랙: Solana Blockchain Core (Alpenglow, SIMD, Firedancer, etc.)
• 메타마스크 트랙: LLMs for Security, Formal Verification, or AI-assisted Smart Contract Security
• 칸토8 트랙: PoS Economic Security Rises of RWA or Legal/Criminal Risks of Public-Chain Stablecoin Issuance
• 서프AI 트랙: Open-Topic Research with Surf AI
[일정]
• (~08/02) 대회 참가 신청
• (08/03~09/06) 리서치 작성 및 제출
• (09/07~09/13) 심사
• (10/1) 시상식 및 오프라인 행사
📱 X 포스트
📰 관련기사 (1/2/3/4)
문의: @eth100y
FP Website | Telegram (EN / KR) | X (EN / KR)
포필러스가 국내 주요 대학 블록체인 학회를 대상으로 총 상금 $8,000 규모의 리서치 경진대회인 "Four Pillars Research Challenge 2026"을 개최합니다.
솔라나(Solana), 메타마스크(MetaMask), 칸토8(Cantor8), 서프 AI(Surf AI)가 스폰서로 참여하여 4개의 리서치 트랙이 존재하며, 참가 학회들에게는 더블록 프로(The Block Pro)와 서프 AI의 유료 구독 계정이 제공될 예정입니다.
공정한 대회 진행을 위해 참가 신청부터 리서치 작성, 제출은 전부 익명으로 진행되며, 10월 1일 저녁에는 해시드 라운지에서 시상식 및 학회 중심의 행사가 있을 예정이니 많은 관심 부탁드립니다.
[상금 및 특전]
• 총 상금: $8,000
• 각 리서치 트랙당 1위 1팀($1,000), 2위 1팀($500), 3위 2팀($250) 수상 예정
• 각 트랙별 수상팀의 리서치는 포필러스 채널에 배포될 예정이며, 솔라나 트랙의 우수작은 추후에 솔라나 공식 채널에 업로드 될 예정
[리서치 트랙]
• 솔라나 트랙: Solana Blockchain Core (Alpenglow, SIMD, Firedancer, etc.)
• 메타마스크 트랙: LLMs for Security, Formal Verification, or AI-assisted Smart Contract Security
• 칸토8 트랙: PoS Economic Security Rises of RWA or Legal/Criminal Risks of Public-Chain Stablecoin Issuance
• 서프AI 트랙: Open-Topic Research with Surf AI
[일정]
• (~08/02) 대회 참가 신청
• (08/03~09/06) 리서치 작성 및 제출
• (09/07~09/13) 심사
• (10/1) 시상식 및 오프라인 행사
문의: @eth100y
FP Website | Telegram (EN / KR) | X (EN / KR)
Please open Telegram to view this post
VIEW IN TELEGRAM
❤1
https://news.kbs.co.kr/news/pc/view/view.do?ncd=8621941
유 전 시장 부부는 보유 가상자산 2만 1천 개를 해외거래소로 이전해 지방선거 후보자 재산 신고에서 고의로 누락했다는 의혹을 받고 있습니다.
KBS 뉴스
경찰, ‘가상자산 신고 고의 누락’ 의혹 유정복 전 인천시장 압수수색
6·3 지방선거 기간에 불거진 ‘가상자산 은닉’ 의혹과 관련해 경찰이 유정복 전 인천시장을 상대로 강제수...
👏2👍1💯1
Forwarded from Steve’s Catallaxy
크립토랑 무관하지만, 저랑 친한 지인의 아주 각별한 지인이 서울 신사에서 가우디 전시전을 하신다고 해서 공유합니다.
저도 평소에 교양이나 예술적 소양따위는 없지만, 그래도 아주 친한 지인의 아주 각별한 지인께서 하시는 것이다보니 겸사겸사 예술적 소양을 기르러 가보려고 합니다.
광고 아님.
링크
저도 평소에 교양이나 예술적 소양따위는 없지만, 그래도 아주 친한 지인의 아주 각별한 지인께서 하시는 것이다보니 겸사겸사 예술적 소양을 기르러 가보려고 합니다.
광고 아님.
링크
Forwarded from 크립토메이지
MoonPay가 PayBox를 출시했습니다.
이제 ChatGPT나 Claude에서 자연어로 명령하면 Solana 기반 자산을 거래할 수 있습니다.
예를 들어:
• "SOL 100달러 매수"
• "USDC 전송"
• "지갑으로 송금"
이런 프롬프트를 입력하면 AI가 거래를 준비하고, 사용자가 최종 승인하면 실행되는 구조입니다.
핵심 특징:
• AI 에이전트 전용 비수탁(Non-custodial) 지갑
• MPC + TEE 기반으로 개인키를 분산 보호
• MoonPay나 AI도 단독으로 개인키를 보유하거나 거래를 실행할 수 없는 구조
• 사용자 승인 없이는 자금 이동 불가
AI가 단순히 정보를 찾아주는 단계를 넘어 실제 결제와 온체인 거래까지 수행하는 시대가 시작되고 있습니다.
🔗 https://paybox.sh/
🔗 https://x.com/moonpay
이제 ChatGPT나 Claude에서 자연어로 명령하면 Solana 기반 자산을 거래할 수 있습니다.
예를 들어:
• "SOL 100달러 매수"
• "USDC 전송"
• "지갑으로 송금"
이런 프롬프트를 입력하면 AI가 거래를 준비하고, 사용자가 최종 승인하면 실행되는 구조입니다.
핵심 특징:
• AI 에이전트 전용 비수탁(Non-custodial) 지갑
• MPC + TEE 기반으로 개인키를 분산 보호
• MoonPay나 AI도 단독으로 개인키를 보유하거나 거래를 실행할 수 없는 구조
• 사용자 승인 없이는 자금 이동 불가
AI가 단순히 정보를 찾아주는 단계를 넘어 실제 결제와 온체인 거래까지 수행하는 시대가 시작되고 있습니다.
🔗 https://paybox.sh/
🔗 https://x.com/moonpay
👍1