המקום שבו אבטחה באמת מוכרעת היה סיפור סוף השבוע. באג אקראיות שנכתב בקושחת ארנק קר ב-2021 העניק לתוקפים 1,367 Bitcoin חמש שנים אחר כך, ושאר היום נוחת על אותו עצב חשוף: ההחלטות השקטות בתכנון שמתחת למוצר קובעות על מה הוא יכול לשרוד.
- 4,585 כתובות רוקנו, והפגם במפתח בן חמש השנים שמאחוריהן עדיין משלם
- חוק CLARITY חסר בלוח הזמנים של הסנאט כשנותר שבוע לפני הפגרה
- בנק איטליה תימחר 200 העברות של מטבעות יציבים ומצא שהעלות יושבת בשלבי ההמרה בשני הקצוות
- שתי תכונות של XRP Ledger חוזרות לאחר שחוקרי אבטחה שברו אותן
כל אחד מאלה נסוב על משהו שנבנה הרבה לפני שהגיע לחדשות. החלטת קושחה מ-2021, הצעת חוק שנוסחה למליאה שלא קבעה אותה בלוח, שלב ההמרה בשני קצוות של העברה, ותיקון שהוסר אחרי שמישהו מצא בו את החור.
פגם מפתח בן חמש שנים רוקן 4,585 ארנקי Bitcoin
מקור: Decrypt (דיקריפט)
Galaxy Research אומרת שכ-88.6 מיליון דולר ב-Bitcoin נוקזו כעת מארנקים שנוצרו עם קושחת Coldcard שיצאה במרץ 2021, שיצרה מילות גיבוי עם אקראיות נמוכה מדי והותירה את המפתחות הפרטיים שהתקבלו ניתנים לניחוש. המספר עומד על 1,367 BTC ב-4,585 כתובות בשלושה גלים, כשהאחרון לקח 207.73 BTC.
אלכס תורן, שעומד בראש הצוות שעוקב אחרי זה, מתאר את הטאטואים כמכוונים ותכנותיים, וסימן כ-600 כתובות חשודות של תוקפים לחוקרים פדרליים ולחברות ציות. המטבעות ישבו ללא נגיעה בממוצע 3.18 שנים לפני שהועברו. ההוראה של תורן לכל מי שעדיין מחזיק Bitcoin בכתובת מושפעת היא להעביר אותו מיד.
הערת Zypto: אקראיות ברגע שבו ארנק נוצר נמצאת במעלה הזרם של כל שכבת הגנה שמתווספת אחר כך, וזה מה שהופך את זה לקשה כל כך להגנה בדיעבד. שאלו איך נוצרו המפתחות שלכם, והמשיכו לשאול זאת גם על כל ארנק בשמירה עצמית שאתם סומכים עליו עם המפתחות שלכם.
חוק CLARITY חסר בלוח הזמנים של הסנאט
מקור: CryptoSlate (קריפטוסלייט)
חוק Digital Asset Market Clarity Act, שעבר את בית הנבחרים כ-H.R. 3633, אינו מופיע בלוח הזמנים של מליאת הסנאט ליום שני, שמונה הצבעה על הצעת חוק הוצאות ושום דבר אחר. לא הוגשה בקשת סגירת דיון ביומן הסנאט עד 31 ביולי.
החשבון צפוף. בקשת סגירת דיון עד יום רביעי יכולה לתמוך בהצבעה ביום שישי, והסנאט יוצא לפגרה ב-10 באוגוסט.
שבעה מנהלי משא ומתן דמוקרטים אמרו שהטיוטה הנוכחית אינה מספקת תוך התחייבות להמשיך לדבר, הסנאטורית אליזבת וורן מתנגדת לנוסח המתוקן, ומנהיג הרוב ת'ון אמר שהצבעה פרוצדורלית מתקיימת לפני הפגרה רק אם תופיע מספיק תמיכה דמוקרטית.
הערת Zypto: כללי מבנה שוק נוחתים הכי חזק על עסקים שמחליטים אם לקבל קריפטו בקופה, וכאלה שכבר עושים זאת הפסיקו לחכות להצעת חוק. Zypto Pay מסלקת תשלומי סוחרים בפיאט או ביותר מ-100 מטבעות קריפטו כבר היום, עם עמלות עיבוד בצד הסוחר החל מ-0%.
בנק איטליה תימחר 200 העברות של מטבעות יציבים
מקור: CoinDesk (קוינדסק)
חוקרי בנק איטליה שלחו 200 העברות USDC על פני עשרה מסדרונות דו-כיווניים שמחברים את איטליה עם ברזיל, ארגנטינה, יפן, איחוד האמירויות ודרום אפריקה, ומצאו עלויות שנעות בין 0.3% לכמעט 9%. זה עובר את הממוצע העולמי של הבנק העולמי, 6.65%, אף שמטבעות יציבים יצאו קדימה מול Wise רק בשלושה משבעת המסדרונות שבהם אפשר היה להשוות את שניהם.
העלות הייתה מרוכזת בקצוות. עמלות בורסה והמרת מטבע היוו את רובה בעוד שעמלות הבלוקצ'יין היו נתח קטן. העברות נסלקו בפחות מ-20 דקות בכל מקום שבו הייתה מערכת תשלומים מיידית, ולקחו יום עד יומיים עסקים במקום שבו לא הייתה.
החוקרים הוסיפו את השורה שכדאי לקרוא פעמיים: אילו אפשר היה להוציא מטבעות יציבים ישירות על סחורות, שכר דירה או שכר לימוד בלי להמיר אותם חזרה למטבע מקומי, היתרון הכלכלי היה גבוה בהרבה.
הערת Zypto: השורה האחרונה הזו מתארת מוצר ולא השערה. תשלום חשבונות בקריפטו מגיע ליותר מ-87,000 גובים ב-126 מדינות ישירות מארנק, בלי חשבון בנק ובלי נקודת יציאה ידנית באמצע.
שתי תכונות של XRP Ledger חוזרות לאחר שחוקרים שברו אותן
מקור: CoinDesk (קוינדסק)
גרסה 3.3.0 של xrpld צפויה השבוע ונושאת חמישה תיקונים מוצעים, שכל אחד מהם דורש אישור של 80% מהוולידטורים במשך שבועיים רצופים. שניים חוזרים לאחר שהוסרו בגלל באגי אבטחה.
Batch מאפשרת לעד שמונה עסקאות בין חשבונות להתבצע באופן אטומי, כך שכולן נוחתות או אף אחת. וולידטורים דחו אותה ומהדורת חירום סימנה אותה כלא נתמכת לאחר ש-Pranamya Keshkamat והחברה Cantina מצאו בפברואר 2026 פגם באימות חתימות שהיה מאפשר לתוקף לבצע עסקאות מכל חשבון בלי להחזיק במפתחות שלו.
Permission Delegation, שמעניקה סמכות חתימה מוגבלת בהיקפה בלי למסור שליטה מלאה, הושבתה לאחר גילוי בספטמבר 2025 שהראה שחשבון אחד יכול לחייב עמלות על אחר ואולי לרוקן את יתרתו. Confidential MPT, Sponsored Fees and Reserves ו-Dynamic MPT משלימות את ההצבעה.
הערת Zypto: שרשרת שמוכנה לסגת מהתכונה שלה, לשבת עם הבעיה ולהציע אותה מחדש עושה כראוי את החלק חסר הזוהר של העבודה. XRPL היא אחת מ-20+ שרשראות באפליקציית Zypto, וחתימה מואצלת היא בדיוק סוג הפרימיטיב שגורם לתהליכי תשלום עסקיים לעבוד בלי שאף אחד יוותר על המפתחות שלו.
עיקרי הדברים
- אבטחה מוכרעת ברגע היצירה. כל מה שאחרי זה מודד את הנזק במקום למנוע אותו.
- לוחות זמנים חקיקתיים נעים לאט יותר מאימוץ, והעסקים שמקבלים קריפטו כבר הפסיקו לחכות להם.
- העברת כסף on-chain הפסיקה ברובה להיות עלות שרשרת והפכה לעלות המרה.
- השרשראות שמרוויחות אמון הן אלה שמוכנות להסיר תכונה, לתקן אותה ולנסות שוב בפומבי.
- עקבו אחרי שלב ההמרה. מי שיסיר אותו מהוצאה יומיומית יגבה את החיסכון שהמחקרים האלה ממשיכים למצוא בקצוות.
