【慢雾余弦：friend.tech

【慢雾余弦：friend.tech的2FA机制实际是设置独立密码，用户务必妥善保管】2023年10月10日12点22分10月10日消息，慢雾创始人余弦发文称，测试了下friend.tech新增的2FA机制，这个2FA实际上是让用户设置了个独立的密码，当用户在进行买卖key、提现资金、导出私钥等资金有关操作时，需要验证一次这个独立密码，用户一定要保管好这个独立密码，否则等于你的资金就没了。老不正经今日报道，friend.tech新增支持2FA密码功能，friend.tech强调官方和Privy团队都无法重置这些密码，因此用户使用此功能时请小心。

【慢雾余弦：Balancer攻击和知名的Angel Drainer钓鱼团伙有关】

【慢雾余弦：Balancer攻击和知名的AngelDrainer钓鱼团伙有关】2023年09月20日10点44分老不正经报道，慢雾创始人余弦在X平台（原推特）表示，Balancer攻击恐怕又是DNS劫持攻击，和知名的AngelDrainer钓鱼团伙有关。钓鱼产业利益分配激励大，传统各高级手法都可能被运用起来，Web3项目的安全威胁不仅来自自己的哪些智能合约代码，还有Web1/2里的各种基础组件，包括人。

慢雾余弦：Velodrome 的攻击团伙来自 Angel Drainer

慢雾余弦：Velodrome的攻击团伙来自AngelDrainer慢雾创始人余弦在社交媒体上表示，和ScamSniffer创始人fun交流，得知Velodrome被攻击的罪魁祸首来自老钓鱼团伙AngelDrainer，钓鱼者也用了create2来预生成钱包地址。这种手法还有个优点：更不容易明确到底多少钓鱼钱包地址和本次事件有关。此外，据慢雾首席信息安全官23pds表示，他追踪了AngelDrainer，发现他们擅长社会工程学攻击，比起来过往的其他Drainer，他们相对低调。

慢雾余弦：铭文问题被分配 CVE 编号意味着定性为漏洞

慢雾余弦：铭文问题被分配CVE编号意味着定性为漏洞慢雾创始人余弦在社交媒体上发文称，铭文这个问题被分配了个CVE编号，这是釜底抽薪了，态度鲜明地定性漏洞了：CVE编号不是什么新鲜事，许多安全团队/个人都可以申请，可能比特币生态相关角色会看重这个，CVE编号在安全行业是最知名的漏洞证明之一。早些时间报道，BitcoinCore开发者LukeDashjr表示，此前铭文（Inscription）正在利用BitcoinCore客户端的一个漏洞向区块链发送垃圾信息。此漏洞已被分配标识符CVE-2023-50428。

慢雾余弦：玩 Restake 的用户注意钓鱼风险

慢雾余弦：玩Restake的用户注意钓鱼风险慢雾余弦在X平台表示，玩Restake的朋友们注意下这种钓鱼风险，老钓鱼团伙AngelDrainer专门针对EigenLayerStrategyManager合约的queueWithdrawal(0xf123991e)函数写了利用。如果你在钓鱼网页签了queueWithdrawal函数，你在EigenLayer质押的奖励就属于钓鱼指定的withdrawer了。

慢雾余弦：TON 生态的钓鱼开始增多，许多钓鱼链接通过消息群组方式传播

慢雾余弦：TON生态的钓鱼开始增多，许多钓鱼链接通过消息群组方式传播慢雾创始人余弦在社交媒体上称，TON生态的钓鱼开始多了，Telegram生态过于自由的特点，许多钓鱼链接（或bot形式）通过消息群组方式传播，空投等诱骗方式来批量钓走用户TON钱包里的有关资产（包括NFT，特别的如AnonymousTelegramNumbers，类似手机号，许多人用于创建Telegram账号，这个被钓走，意味着对应的Telegram账号可能也没了，除非用户开启了独立密码，即Two-StepVerification）。钓鱼方式基本大同小异，注意注意。