gm! JS инфраструктура в очередной раз поддается атакам на криптанов.

В этот раз задели несколько старых системных JS пакетов – debug (357M установок в неделю) и chalk (299М установок в неделю) и пачку остальных, с помощью взлома Git одного из предыдуших мейнтейнеров. Можно прочитать полный репорт здесь от владельца взломанного аккаунта. Вкратце – взлом 2FA доступов к NPM через email.

Как это может задеть вас?

При обыкновенном подключении кошелька ничего без вашего ведома не произойдет.

Скрипт внедряется в любую страницу, содержащую JS код и проверяет наличие Ethereum кошельков (с помощью проверки `window.ethereum`), затем при попытке отправки любой транзакции через кошелек просто подменяет адрес получателя.

Уязвимым может оказаться буквально любой веб-сайт, который в течение последних пары часов обновлял свои зависимости и установил взломанную версию. На текущий момент с NPM уже удалили версию с багом

Кажется, что ближайшие пару дней лучше избегать подписи транзакций, либо быть максимально внимательным к адресу получения. Адрес злоумышленника – 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

Что сделать разработчикам?

Проверьте lock файлы, ведь взломанные пакеты по большей части служебные и могут не использоваться напрямую в проекте.

Учитывая то, что пакетов – много, лучше пройти grep c фильтром на строку кода:

grep -r "const _0x112" node_modules/

Обфусцированный скрипт оставили здесь, а тут немного больше деталей, как он работает под капотом.

Issues с предупреждениями и больше технических деталей:
https://github.com/chalk/chalk/issues/656
https://github.com/debug-js/debug/issues/1005

но tbh пока выглядит как самая грустная атака, кошелек абсолютно пустой 🥰

PERP DEX SEASON

Один из главных трендов 2025 года это перп дексы, ведь главное в продукте - это заработок, а протоколы которые позволяют торговать отлично это делают с помощью взимаемых комиссий

У нас уже был тренд на перпы, среди которых числились: Hyperliquid, Drift, Aevo, KiloEx и другие, большинство из них - загнулись, некоторые (Например Drift, продолжают держаться на плаву, но не сильно популярны), Hyperliquid же стал лидером в данном сегменте

Сейчас это направление заиграло новыми красками, пампят старые протоколы (MYX), успешно выходят новые(Avantis, Aster), а еще целая куча только собираются выходить. В данном посте я расскажу о перпах, которые отрабатываю лично

⏺️ Asterdex - токен у проекта запустился неделю назад и уже входит в топ-50 кмк, конечно благодаря прямой поддержке от CZ. Вчера анонсировали, что на 2 стадию аирдропа выделено 4% от токенов (≈320M $ASTER = ≈$550M) и продлится она до 5 октября 23:59 UTC

Не стану делать расчеты, так как подозреваю что они все равно в конечном счете окажутся неправильными, но думаю, что с таким огромным дропом нам нарисуют несколько иксов на затраченную комиссию. Главное открутить максимально выгодно, для этого:

1️⃣ Регистрируемся по данной реферальной ссылке (Получаем 30% скидки на комиссии благодаря максимальному рефбеку). Регистрировать аккаунт лучше сразу, чтобы также получить бонус до 1.5х к поинтам за объем всех участников команды (Рефералов)
2️⃣ По возможности торгуем с помощью лимиток, так как комиссия будет в 3.5 раза меньше, но будут давать в 2 раза меньше поинтов по сравнению со сделками по маркету. Также торгуем самыми ликвидными токенами (BTC, ETH, SOL)
3️⃣ Платим комиссию с помощью токенов $ASTER (Дополнительная 5% скидка)
4️⃣ Держите сделки открытыми, не занимайтесь вош-трейдингом. Для того чтобы не рисковать курсом, открываем дельта-нейтральные позиции, сделать это можно с помощью:
а) Противоположной позиции на другой платформе из данного списка.
б) Регистрируем три аккаунта здесь, на одном условно открываем на 50% лонг, на двух других 25% шорт, в таком случае риск блокировок минимальный

⏺️ Lighter - один из самых ожидаемых перп-дексов с нулевой комиссией, закрытый бета тест закончится уже в ближайшее время, а там и выход токена не за горами. Я считаю что даже сейчас не поздно начать отрабатывать данный проект, так как думаю что он выйдет очень хорошо, а затраты на поинты все еще адекватные. Я сам фармлю с помощью софта одувана, также с помощью дельта-нейтральных сделок

Инвайты по ссылке выше могут закончится, буду обновлять по возможности, если что стучите в личку @mishaberkut. Каких-то плюшек по рефке к сожалению команда не предоставляет, на последок скажу что здесь 5 аккаунтов с 200k объема будут лучше чем 1 с миллионом объема

⏺️ Pacifica - новенький self-funded perp на солане, сейчас идет только третья неделя поинтов, а проект уже входит в топ-12 по торговому объему на Defillama. Только благодаря этому факту рекомендую как можно скорее крутануть объема, скорее всего конкуренция будет только расти и затраты на поинт будут выходить дороже, сам планирую активно пофармить ближайшие пару недель, а потом буду смотреть по ситуации

Вход только по рефералке, по ней 10% буста к поинтам, также готов выделить 15% рефбека (Для людей которые совершат более 500k$ объема), за рефбеком пишите в лс @mishaberkut

⏺️ Ranger Finance - агрегатор пепров, темная лошадка на мой взгляд, которая может стрельнуть и принести иксов больше чем все три проекта выше вместе взятые, а может и выйти в ноль/минус. Подробно расписывать не буду, ознакомится с проектом можно в данном посте

По моей рефке как обычно лучшие условия:
1. 50% рефбека с перпов/30% со спота
2. 1.3x буста к поинтам на сделки открытые с помощью HL (До закрытия опен-беты), 1.1х буст на все остальное
3. Для людей которые сделают более $5M объема у меня есть эксклюзивные условия (Предоставляю определенное кол-во токенов $RANGER за каждый лям объема), если являетесь таковым - пишите в лс @mishaberkut

Работаем (Чат: @chat_berkut)

Alpha Berkut | Telegram | YouTube

Кампания HODL Yield от Momentum x BuidlPad

🫥 Momentum совместно с BuidlPad анонсировали запуск кампании HODL Yield, в рамках которой можно предоставлять ликвидность и получать дополнительную доходность (До 177% APR), а также в два раза больше Bricks (Поинты протокола)

Как принять участие:
1. Переходим на Buildpad и подключаем кошелек (С которого будете добавлять ликвидность)
2. Выбираем интересующую вас LP-пару и переходим на Momentum
3. Добавляем ликвидность с кошелька который подключили/привязали к Buildpad

Доступные пары ликвидности:
• SUI–USDC
• suiUSDT–USDC (0,01% и 0,001%)
• LBTC–wBTC
• xBTC–wBTC
• xSUI–SUI

Кампания продлится до 19 октября включительно (По UTC), подробнее с ее условиями можно ознакомиться в официальной статье

Очень приятно видеть что Momentum ($MMT), запустили партнерство с тир-1 лаунчпадом, это скорее всего последняя возможность выгодно заработать поинты перед TGE

Early Berkut | Telegram | YouTube

Новости по проектам из данного поста:

❗️1. Pacifica - снизили комиссию на 50% до 6 октября. Напоминаю что снепшот объема для поинтов происходит по четвергам (В 00:00 UTC/3 утра МСК), следующий снепшот произойдет 2 октября, а это значит что можно выгодно пофармить сразу две недели

2. Asterdex - Закончилась эпоха №3, если распределят 1% на неделю и токен будет 1.9$ - прокрут выйдет +- в ноль. Я конечно надеюсь что первым двум неделям не станут выделять по проценту, чтобы больше ревардов выделили на 3 и 4 неделю. Я еще не кручу много объема на одном аккаунте, выбираю стратегию через друзей на бейс ревард

3. Lighter - здесь новостей нет, откручиваю в связке с астером. Видел некоторые посты с подсчетами где предиктят 50$ за поинт заоблачные, из-за подобных постов аккаунты на лайтере регистрируются в геометрической прогрессии... бтв цена за поинт выходит все еще дешево, продолжаю крутить (Поинты распределяют по средам, но снепшот по понедельникам). Инвайтов пока нет, если что пишите в личку @mishaberkut, отправлю как появится

4. Ranger - пока не показывают поинты за предыдущую неделю, переносят базу данных на более высокие мощности отсюда и задержка, поэтому ждемс

Early Berkut | Telegram | YouTube