Il testnet dell'hard fork Glamsterdam di Ethereum è stato annullato dopo che i ricercatori hanno individuato vulnerabilità in due Ethereum Improvement Proposal (EIP) relativi allo scaling del gas, mentre gli agenti AI hanno contribuito a coordinare gli sforzi per rilevare potenziali problemi negli smart contract.

Gli agenti AI coordinano la revisione dei rischi di Glamsterdam

Il secondo e ultimo testnet dell'hard fork Glamsterdam di Ethereum è stato annullato questa settimana dopo che ChainSecurity ha trovato vulnerabilità negli EIP-8037 e EIP-8038. I problemi avrebbero potuto interessare almeno 13 contratti di finanza decentralizzata (DeFi). Il gas è l'unità che misura il calcolo su Ethereum, quindi le proposte che modificano il modo in cui viene addebitato possono toccare un'ampia superficie di codice distribuito.

I bug erano legati alle ipotesi sul comportamento attuale del gas. I contratti che si affidano a tali ipotesi potrebbero guastarsi quando una chiamata esaurisce il gas, creando potenzialmente vulnerabilità sfruttabili da un attaccante. I dettagli tecnici sono complessi, ma la preoccupazione centrale era che le modifiche proposte potessero produrre effetti collaterali imprevisti sui contratti esistenti.

La prova generale sul testnet Hoodi non si prevede venga riprogrammata finché gli effetti del fork non saranno stati esaminati più a fondo. Il ritardo di Ethereum è stato riportato anche da Cointelegraph: Ethereum rimanda il fork del testnet Glamsterdam per rischi di sicurezza legati al gas.

In un articolo su X, Derek Chiang di Ethlabs ha detto che i problemi sono stati scoperti molto tardi nel processo, "costringendo tutti a correre ai ripari per gestire le conseguenze".

"In futuro, i progettisti di protocolli farebbero bene a condurre un'analisi molto più approfondita dei potenziali guasti che il loro aggiornamento potrebbe introdurre, e a farlo molto prima nel processo", ha detto Chiang.

Secondo Chiang, due ricercatori di Ethlabs e dell'Ethereum Foundation avevano creato in modo indipendente più agenti AI per scansionare i contratti alla ricerca vulnerabilità. Dopo aver scoperto di usare la stessa strategia, i ricercatori "hanno creato una bacheca per i loro agenti sotto forma di repository github" per coordinare il lavoro.

Chiang ha paragonato l'assetto all'hacking OpenAI-Hugging Face, in cui agenti rinnegati avevano creato una bacheca per coordinare gli attacchi. "Ebbene, si è scoperto che lo stesso schema è utile anche agli agenti buoni", ha detto.

L'esercizio ha avuto così tanto successo nell'identificare potenziali problemi che è stata creata una seconda bacheca per esaminare l'EIP-8198, noto come "Quick Slots". La proposta è stata presentata per il successivo hard fork Hegota.

La sfida "Steal My Bitcoin" risolta in un giorno

Un sito web che sfidava gli utenti a "rubare i miei Bitcoin" sfruttando vulnerabilità PHP2Shell non patchate è stato hackerato con successo nel giro di un giorno. L'organizzatore della sfida aveva nascosto la chiave di un wallet Bitcoin del valore di circa 2.000 dollari. La chiave era accessibile all'account utente PHP tramite un binario chiamato print-flag.

Il sito ha attirato notevole interesse ed è andato periodicamente offline a causa del traffico intenso e dei tentativi di esplorazione. La sfida è stata risolta da KillerBoi, che ha estratto la chiave privata. Tuttavia, la chiave non consentiva l'accesso all'indirizzo del wallet mostrato sul sito. L'organizzatore James Pavur ha riconosciuto che si trattava di un errore e ha detto che i fondi sarebbero stati trasferiti.

La sfida dal vivo e la sua risoluzione sono documentate nel repository proof-of-concept StealMyBitcoin. Pavur ha anche commentato il risultato su X.

In un post su X, il fondatore di WordFence Mark Maunder ha detto che, nonostante la chiave sia stata estratta in un giorno, la sfida ha dimostrato la difficoltà di sfruttare PHP2Shell:

"Questa è la migliore spiegazione possibile di quanto sia difficile sfruttare #php2shell. L'autore ha dovuto innescare una condizione precisa di corruzione della memoria, far trapelare indirizzi di memoria interni, bypassare l'aslr, fare reverse engineering delle strutture di memoria interne di php, forgiare strutture per dirottare l'esecuzione e tenere conto delle differenze di build di php, del comportamento dei worker e del timing."

PHP è un linguaggio di programmazione ampiamente utilizzato per realizzare siti web e applicazioni web, inclusi i sistemi di gestione dei contenuti. È proprio questa diffusione che spiega perché un difetto nel runtime del linguaggio può costringere molte organizzazioni ad applicare patch o portare offline siti contemporaneamente. Agenzie governative e altre organizzazioni nei Paesi Bassi, in Australia, in Giappone, in Finlandia e altrove hanno portato offline siti web critici mercoledì come precauzione, mentre venivano sviluppate patch di emergenza per due vulnerabilità critiche correlate.

Le vulnerabilità potevano consentire ad attacc non autenticati di eseguire codice sui server interessati senza effettuare l'accesso. I commenti di Maunder sono stati pubblicati su X, e l'hashtag relativo PHP2Shell ha attirato attenzione sulla sfida.

L'aggiornamento Alpenglow di Solana va in produzione

Il primo importante aggiornamento al consenso di Solana, Alpenglow, è andato in produzione sulla mainnet alle 13:54 UTC circa di mercoledì, secondo la dashboard Alpenglow della Solana Foundation.

Lo sviluppatore di Agave Anza ha detto che il tempo necessario affinché una transazione diventi definitiva — il punto in cui è considerata regolata e irreversibile — è sceso da circa 12,8 secondi a circa 150 millisecondi. L'attività DeFi è rimasta stabile o leggermente in calo dopo l'aggiornamento, anche se il periodo successivo all'aggiornamento era ancora breve.

La prima fase dell'aggiornamento, Votor, sostituisce l'attuale meccanismo di voto e finalizzazione di Solana con la votazione diretta dei validatori e un sistema basato su certificati. La modifica dovrebbe ridurre il numero di transazioni dichiarato di circa il 60%.

Una fase successiva introdurrà Rotor, un nuovo protocollo per la distribuzione dei dati dei blocchi destinato a sostituire Turbine. Cointelegraph ha riportato anche il lancio sulla mainnet di Alpenglow.

La community di Starknet approva la ricerca su un L1 post-quantistico

La community di Starknet ha votato a sostegno della ricerca per diventare una blockchain layer-1 indipendente e post-quantistica. La crittografia post-quantistica indica i metodi progettati per resistere agli attacchi dei computer quantistici. Il voto di governance della durata di sette giorni ha raccolto circa 3.200 voti, con il 93,52% del potere di voto a favore della transizione.

La transizione vera e propria richiederebbe un voto di governance separato e vincolante. Fino ad allora, Starknet continuerà a operare come rete layer-2 di Ethereum. I prossimi traguardi sono la bozza del whitepaper a novembre e l'eventuale voto vincolante.

"Stiamo iniziando a lavorare a un whitepaper ancora prima che inizi il fine settimana, e speriamo di pubblicare una bozza per l'esame pubblico a novembre", ha detto a Cointelegraph il CEO di StarkWare Eli Ben-Sasson.

Starknet ha registrato il calo maggiore tra le prime 100 criptovalute della settimana, perdendo un quarto del proprio valore. Il voto è stato trattato anche nel report di Cointelegraph sulla ricerca post-quantistica layer-1 di Starknet.

Senatore statunitense chiede informazioni a Tether

Il senatore Richard Blumenthal, il più alto democratico della sottocommissione d'inchiesta del Senato, ha richiesto informazioni al CEO di Tether Paolo Ardoino dopo che il Wall Street Journal ha riportato che la società di stablecoin ha firmato un accordo da 6,3 milioni di dollari con una società di marketing co-fondata da Bo Hines, ex consulente crypto della Casa Bianca. Tether è l'emittente di USDT, la stablecoin più grande per capitalizzazione di mercato.

In unaa ad Ardoino di giovedì, il senatore del Connecticut ha affermato che la Commissione permanente d'inchiesta del Senato richiedeva "documenti e informazioni relative a contratti, pagamenti, comunicazioni e lobbying" collegati all'accordo.

Blumenthal ha affermato che l'intesa potrebbe violare le regole in materia di etica, corruzione e lobbying. Tether ha detto che un'indagine esterna "non ha trovato prove di illeciti". La lettera della sottocommissione è disponibile come PDF, e Cointelegraph ha riportato l'inchiesta del Senato sul presunto accordo di Tether.

Vincitori e perdenti

A fine settimana, Bitcoin (BTC) era in calo dell'1,2% a 80.549 dollari, mentre Ethereum (ETH) era sceso dell'1,9% a 2.343 dollari. XRP (XRP) è salito dello 0,9% a 1,20 dollari. La capitalizzazione totale del mercato delle criptovalute si attestava a 2,68 mila miliardi di dollari, secondo CoinMarketCap.

Tra le 100 maggiori criptovalute, i tre altcoin con i maggiori guadagni settimanali sono stati MemeCore (M), +24,4%; Venice Token (VVV), +14,8%; ed Ethena (ENA), +14,1%.

I tre altcoin con i maggiori cali settimanali sono stati Starknet (STRK), -24,9%; Aerodrome Finance (AERO), -12,5%; e Sei (SEI), -12,5%.

Previsione della settimana: JPMorgan prevede la sovraperformance di Bitcoin

JPMorgan Asset Management prevede che Bitcoin (BTC) sovraperformerà le azioni statunitensi e l'oro nel prossimo decennio, avvertendo però che la volatilità della criptovaluta la rende attualmente inadatta come diversificatore di portafoglio.

Lunedì JPMorgan ha pubblicato il suo report 2027 Long-Term Capital Market Assumptions, che prevede un rendimento annualizzato del 10% per Bitcoin, rispetto al 7,5% delle azioni statunitensi a grande capitalizzazione e al 5,5% dell'oro.

"Al momento, non sosteniamo l'uso di Bitcoin come diversificatore nei portafogli a causa delle sue correlazioni di mercato instabili", dice il report. "Vediamo Bitcoin come un asset speculativo e una copertura contro l'allentamento monetario." Cointelegraph ha trattato anche le previsioni di JPMorgan su Bitcoin.

Top FUD della settimana

Il procuratore generale di New York chiede 1,37 miliardi di dollari ai fondatori di NovaTech

Il procuratore generale di New York Letitia James ha chiesto a un tribunale di ordinare ai fondatori della piattaforma di trading crypto e forex chiusa NovaTech, Cynthia ed Eddy Petion, e alle società collegate di pagare 1,37 miliardi di dollari per uno schema Ponzi presunto.

L'ufficio del procuratore generale ha detto che oltre 11.000 newyorkesi hanno perso decine di milioni di dollari attraverso NovaTech e un precedente schema di mining crypto noto come AWS Mining. Il reclamo sostiene che i promotori hanno preso di mira le comunità haitiane e altri immigrati tramite gruppi di preghiera, social media e WhatsApp, promettendo alti rendimenti e bonus di reclutamento.

Il caso è dettagliato nel report di Cointelegraph sull'azione del procuratore generale di New York contro NovaTech.

Bitcoin Core rivede la politica di sicurezza mentre l'AI accelera la scoperta dei bug

Bitcoin Core sta cambiando il suo approccio alle vulnerabilità di sicurezza perché i modelli linguistici di grandi dimensioni possono individuare difetti software più rapidamente. La stessa dinamica è emersa su Ethereum questa settimana, dove ricercatori di Ethlabs e dell'Ethereum Foundation hanno schierato agenti AI coordinati per scansionare i contratti alla ricerca di vulnerabilità.

Lo sviluppatore di Bitcoin Core Antoine Poinsot ha detto che in passato le vulnerabilità erano generalmente mantenute sotto lunghi embarghi di divulgazione, per dare agli utenti il tempo di aggiornarsi prima che i dettagli tecnici diventassero pubblici. Tuttavia, ha detto che gli LLM hanno reso alcuni difetti così facili da riscoprire che ritardare la divulgazione offre poca protezione. Gli embarghi di divulgazione sono da tempo una pratica standard nell'industria del software.

"Il periodo di embargo ottiene poco ma ritarda la disponibilità di una versione corretta", ha detto Poinsot. "Stiamo quindi aggiornando la nostra politica di divulgazione per adeguarci." La discussione è disponibile nel thread della mailing list di sviluppo Bitcoin, e Cointelegraph ha trattato il cambiamento di politica di Bitcoin Core.

Il Pentagono vieta al personale di usare informazioni militari per scommettere

Il segretario alla Difesa statunitense Pete Hegseth ha vietato al personale del Pentagono di usare informazioni non divulgate per effettuare scommesse su future azioni militari, anche tramite piattaforme di mercati predittivi come Kalshi e Polymarket, che permettono agli utenti di assumere posizioni finanziarie sugli esiti di eventi reali.

In un memorandum inviato martedì ai vertici del Pentagono e alle agenzie della difesa, Hegseth ha affermato che tutto il personale del Dipartimento della Guerra è vietato impegnarsi in transazioni finanziarie usando informazioni non pubbliche. La restrizione si applica sia alle informazioni classificate che a quelle non classificate.

Il memorandum è disponibile qui, mentre Cointelegraph ha riportato la restrizione del Pentagono sui mercati predittivi.

Le principali inchieste della settimana

Cinque alternative a Ledger per conservare i Bitcoin

Gli hardware wallet non sono l'unico modo per proteggere le criptovalute. ETF, passkey e account multisingola sono tra le alternative, ciascuna con i propri rischi e compromessi. Il servizio completo è disponibile su 5 alternative a Ledger per conservare i tuoi Bitcoin.

Gli agenti AI possono fare trading 24/7, ma l'accesso può andare perso

Il presidente di Animoca Brands Yat Siu ha detto che gli agenti AI possono eseguire operazioni mentre gli utenti dormono, ma gli utenti devono pianificare la possibilità di perdere l'accesso ai bot. Il servizio è disponibile su Gli agenti possono fare trading 24/7 — ma Yat Siu avverte che potresti perdere l'accesso in qualsiasi momento.