Small and medium enterprises in Coimbatore are reeling after copper prices doubled within a year to ₹1,500 a kg, pushing raw material costs from ₹500 to nearly ₹1,000. The surge is squeezing margins, denting sales and swelling debt loads across the cluster. Local manufacturers want the government to set up a steel price monitoring committee, exempt steel imports from the safeguard duty through March 2027, and ease restrictions on imports of copper and aluminium scrap.

Compania de securitate Veria Labs a identificat cu ajutorul AI o vulnerabilitate gravă în XRP Ledger, capabilă să permită atacatorilor să emită aproximativ 18.000 de miliarde de XRP printr-o singură tranzacție de plată, adică de circa 180 de ori cantitatea inițială. O astfel de breșă ar fi putut destabiliza mecanismul de aprovizionare fixă al rețelei și ar fi amenințat o capitalizare de piață de 94 de miliarde de dolari. Vulnerabilitatea a fost raportată către Ripple pe 22 august și remediată în trei zile. Până pe 9 septembrie, peste 80% dintre nodurile validatoare considerate implicit de încredere fuseseră actualizate. Veria Labs a primit pentru descoperire un premiu de 250.000 de dolari, plafonul maxim al programului de bug bounty. Din 2024 încoace, baza de cod XRPL a trecut prin peste zece audituri și competiții de securitate, cu premii cumulate de peste un milion de dolari.

Configurația Microsoft Surface Laptop Ultra cu NVIDIA RTX Spark, 128GB memorie unificată și SSD de 1TB este afișată ca epuizată pe site-ul oficial, la prețul de 5.899,99 dolari. Dispozitivul partajează dinamic 128GB de memorie, rulează local modele AI de 120 de miliarde de parametri și suportă ferestre de context de un milion de tokeni. Atrage dezvoltatori, cercetători și companii preocupate de confidențialitatea datelor, semnalând o cerere puternică pentru dispozitive de calcul AI local de înaltă performanță.

Solana a încheiat ultima etapă a upgrade-ului SIMD-0525, reducând timpul țintă de producere a blocurilor pe rețeaua principală de la 250 ms la 200 ms, activat la începutul epoch-ului 1053, în 9 octombrie, ora Beijingului. Etapa anterioară a upgrade-ului coborâse deja treptat ținta de la 400 ms. Primul epoch cu noii parametri a înregistrat un timp mediu de producere a blocului de 218,3 ms, pe o durată de 26,2 ore, oferind primele date măsurate după modificare. Ajustarea urmărește să crească și mai mult performanța rețelei, în cadrul eforturilor continue de optimizare a infrastructurii Solana.

ETF-urile spot Ethereum au înregistrat nouă sesiuni consecutive de ieșiri nete de capital, cu retrageri cumulate de aproximativ 697 milioane de dolari de la ultima intrare netă, de circa 17 milioane de dolari, în 28 septembrie. Pe 6 octombrie s-a consemnat cel mai mare volum de ieșiri pe o singură zi din perioada recentă: 201,9 milioane de dolari. În zilele următoare ritmul ieșirilor s-a temperat, ajungând la 56,1 milioane de dolari pe 9 octombrie. În acest interval, prețul Ethereum a scăzut de la aproximativ 2.600 de dolari la începutul lunii la aproape 2.500 de dolari pe 11 octombrie. Ieșirile instituționale susținute au devenit principalul factor care influențează sentimentul pieței, chiar dacă ritmul lor s-a încetinit.

ME News relatează că, pe 11 octombrie (UTC+8), Coldcard a anunțat că investighează publicarea unui link de phishing pe contul său oficial X. Postarea respectivă a fost ștearsă, iar utilizatorii sunt sfătuiți să nu acceseze sau să interacționeze cu linkul. Contul folosește autentificare în doi factori (2FA) offline din 2017 și are permisiuni de acces strict limitate. Coldcard a contactat platforma X și verifică toate jurnalele de acces ale contului; actualizările verificate vor fi publicate prin contul oficial. (Sursa: BlockBeats)

Kobeissi Letter a semnalat la finalul săptămânii că Banca Populară Chineză a achiziționat aproximativ 23 de tone de aur în septembrie, cea mai mare achiziție lunară din septembrie 2023 încoace. A fost a 23-a lună consecutivă de cumpărări pentru China, după aproximativ 20 de tone adăugate atât în iulie, cât și în august. De la începutul anului 2026, țara a cumpărat peste 100 de tone, iar rezervele raportate au urcat la 2.410 tone. China este al cincilea cel mai mare deținător de aur din lume, după SUA, Germania, Italia și Franța. La acest ritm, analiștii de la Kobeissi Letter consideră că China ar putea depăși Italia și Franța chiar din acest an, cele două țări europene având 2.452 tone, respectiv 2.437 tone. Kobeissi Letter notează că China cumpără agresiv aur pe corecții. În august, băncile centrale au raportat achiziții nete de 39 de tone la nivel global, după 23 de tone în iulie, potrivit World Gold Council (WGC). China a condus cu 20 de tone, urmată de Banca Națională a Poloniei cu 8 tone, ceea ce a dus achizițiile poloneze din 2026 la aproape 100 de tone și rezervele totale la circa 648 tone. Uzbekistan a cumpărat 8 tone, iar Kazahstanul a adăugat 7 tone. Prețul aurului a urcat la 4.700 de dolari pe uncie în avansul din august, dar a fost respins și a coborât la 4.060 de dolari pe uncie la începutul lunii octombrie. Vineri, la închidere, cotația revenise la 4.194 de dolari pe uncie. Un sondaj al WGC arată că 84% dintre băncile centrale se așteaptă ca aurul să reprezinte o pondere mai mare din rezervele globale peste cinci ani. Materialul a apărut inițial pe CryptoPotato.

Producătorul de portofele hardware COLDCARD (@COLDCARDwallet) susține că atacatorii au publicat un aviz de securitate fals din contul său oficial de X, îndrumând utilizatorii către un site de phishing deghizat în ghid de migrare a portofelului. Compania a șters postarea, dar afirmă că nu a identificat nicio înregistrare corespunzătoare de autentificare, sesiune sau acces. COLDCARD susține că acreditările sale și autentificarea offline în doi factori rămân sigure, ceea ce alimentează suspiciunea că atacatorii ar fi obținut acces neautorizat la nivel de platformă sau chiar administrativ la X. Compania a invocat și rapoarte neverificate privind vânzarea de acces la conturi administrative X pe piețele din darknet. Nicio legătură cu acest incident nu a fost stabilită. COLDCARD a cerut o anchetă urgentă din partea echipei de securitate a X și a descris incidentul drept un atac țintit, extrem de specific. „Investigăm modul în care a fost publicată din acest cont o postare care conține un link de phishing. Între timp, postarea a fost ștearsă. Nu accesați și nu interacționați cu acel link. Singurul site oficial al COLDCARD este…” Acest cont a folosit 2FA offline, cu acces strict restricționat.

Autor: Gu Yu, ChainCatcher. Un individ a transferat 80 de bitcoinuri către un dispozitiv Ledger nou cumpărat de la un dealer autorizat oficial. Fraza de recuperare a fost scrisă de mână și păstrată într-un seif. Monedele au ajuns pe 29 septembrie, costul de achiziție fiind de aproximativ 5,2 milioane de dolari, cu un profit nerealizat de vârf de 1,38 milioane de dolari. Pe 9 octombrie, la 05:54 UTC, toate cele 80 de BTC au fost transferate într-o singură tranzacție. Făcuse tot ce recomandă manualul. În aceeași dimineață, pe X și Reddit au început să apară numeroase rapoarte similare: un Ledger Stax al unui utilizator fusese golit de aproape 100.000 USDT, cu fraza de recuperare scrisă de mână și încuiată într-un seif. Singurul element comun: toți își cumpăraseră dispozitivele de la distribuitorul sud-est asiatic CryptoBilis. Pe 9 octombrie, la 13:32 UTC, Ledger a confirmat că investighează și a cerut CryptoBilis să suspende toate vânzările și livrările de dispozitive Ledger; utilizatorii care au cumpărat din acest canal în ultimele 90 de zile nu ar trebui să le inițializeze dacă nu au făcut-o deja, iar cei care le-au inițializat ar trebui să transfere imediat activele către un dispozitiv nou, generat cu o frază mnemonică nouă. I. Pierderile pot depăși 90 de milioane de dolari Amploarea pierderilor este deocamdată estimată doar onchain. Investigatorul onchain Specter a fost primul care a dezvăluit zece adrese agregate la 12:24, acoperind Bitcoin, Ethereum și TRON, estimând pierderi de peste 86 de milioane de dolari; un alt investigator, tanuki42, a listat opt dintre aceste adrese, estimând pierderi de peste 72 de milioane de dolari; MistTrack, sub SlowMist, a declarat că cifra „se apropie de 90 de milioane de dolari”; Bitquery a acoperit 311 portofele și a estimat aproximativ 92,9 milioane de dolari pierderi, inclusiv circa 42 de milioane de dolari în Ethereum, 17,6 milioane în Bitcoin și 16,5 milioane în USDT. Arkham a etichetat aceste adrese drept „Ledger Theft”; vineri după-amiază, aproximativ 71,5 milioane de dolari rămâneau în adresele marcate, cele mai mari poziții incluzând circa 29,4 milioane de dolari în ETH, 17,5 milioane în BTC, 13,6 milioane în USDD și 10,8 milioane în USDT. Mai revelator decât suma totală este profilul victimelor. Lookonchain a monitorizat o adresă care a depus 7 milioane USDT la trei săptămâni după achiziționarea echipamentului, iar toate fondurile au fost transferate cu aproximativ zece ore înainte de raport — posibil cea mai mare tranzacție singulară din incident. De asemenea, trei adrese Bitcoin marcate dețineau împreună aproximativ 211 BTC la 13:44 UTC, fără transferuri ieșite la acel moment. Potrivit Chain INK, incidentul a implicat în jur de 98 de portofele, cu o medie de aproximativ 890.000 de dolari pe portofel. Nu este vorba despre un investitor de retail care pierde câteva sute de dolari. Este un portofel în care cineva și-a pus economiile de o viață. Comparația cu un alt incident din acest an face diferența de distribuție mai relevantă decât totalul. În iulie, Coldcard a suferit o pierdere de aproximativ 111 milioane de dolari din cauza unei erori de număr aleatoriu în firmware, care permitea ghicirea frazelor mnemonice, dar pierderile s-au răspândit pe peste 5.200 de portofele, cu o medie de circa 21.000 de dolari pe portofel; în schimb, incidentul CryptoBilis, ajuns pe locul al doilea în mai puțin de o zi (aproximativ 87 de milioane de dolari), a implicat doar circa 98 de portofele, cu o medie de aproape 890.000 de dolari pe portofel. Incidentul Coldcard a fost o plasă aruncată larg; acesta este o recoltă precisă. Distribuția susține ipoteza unui „modul modificat”: atacatorii dețin frazele mnemonice generate pe fiecare dispozitiv compromis, ceea ce le permite să aștepte — să aștepte sosirea fondurilor înainte de a lovi și să vizeze exact ce merită vizat. Cele 80 de BTC monitorizate de Lookonchain au fost ținute în dispozitive timp de zece zile înainte de a fi transferate dintr-o dată. II. După dezasamblarea dispozitivului: microcontroler pe cablul panglicii ecranului Ledger nu a dezvăluit încă mecanismul atacului, dar cineva a dezasamblat deja un dispozitiv. Cel mai detaliat cont vine de la Mark Karpelès, fost CEO al Mt. Gox. El a descris că a primit un dispozitiv expediat din Malaezia — listat pe Amazon la jumătate de preț și trimis din Malaezia, nu din Japonia, locul intenționat al comenzii, primul semnal de alarmă. La deschidere, a găsit un modul ascuns în locul garniturii ecranului: un fir subțire de antenă, o baterie scurtată sau eliminată pentru a face loc, un modul LTE cu eSIM și un microcontroler conectat la busul SPI al dispozitivului. Evaluarea sa: microcontrolerul poate recunoaște fontul folosit de Ledger pe ecranul de 128×64, poate bloca interfața de configurare a frazei mnemonice, poate captura fraza afișată cuvânt cu cuvânt în timpul transcrierii de către utilizator și o poate transmite prin LTE. 23pds, directorul de securitate informațională al SlowMist, a descris abordarea tehnică: atacatorii instalează un microcontroler în interiorul dispozitivului, conectat la liniile de date SPI ale ecranului; după ce fraza mnemonică este generată în elementul securizat și afișată pe ecran pentru ca utilizatorul să o copieze, modulul malițios înregistrează simultan fiecare caracter afișat, apoi îl transmite prin LTE sau eSIM integrat. El a subliniat că scopul elementului securizat este să împiedice citirea sau exportul direct al cheilor private — dar nu poate controla ce este afișat pe ecran. Cele câteva secunde în care fraza mnemonică apare pe ecran constituie fereastra de atac. Aceasta explică aspectul cel mai contraintuitiv al întregului incident: aceste dispozitive pot trece verificarea de autenticitate Ledger. Elementul securizat este autentic, generează corect fraza mnemonică și semnează corect tranzacțiile — doar că este supravegheat. Nici firmware-ul nu îl poate detecta, deoarece modulul implantat ascultă doar în timpul reîmprospătării ecranului. Cu alte cuvinte, singura modalitate de a-l detecta este dezasamblarea fizică a dispozitivului. Există și alte două posibilități: prima, fraze de recuperare preîncărcate — atacatorii pornesc, configurează, copiază și resigilează dispozitivul în avans, făcând utilizatorii să creadă că „configurează un dispozitiv nou”, când de fapt folosesc un set de cuvinte deja cunoscut atacatorului; a doua, phishing. Dezvoltatorul 0xQuit consideră că este posibil ca unele victime să fi căzut în capcana phishingului, notând că este iresponsabil să afirmi simplu că „Ledger a fost spart”. III. „Autorizarea oficială” garantează dreptul de vânzare, nu lanțul de aprovizionare CryptoBilis nu este un vânzător de stradă. Fondată în Kuala Lumpur în 2020, este un distribuitor autorizat oficial, listat pe pagina oficială de dealeri a Ledger, deservind Malaezia, Indonezia și Filipine. Pe lângă Ledger, vinde și Trezor, OneKey, Tangem și SafePal. Problema este exact aici. Utilizatorii urmează ghidurile de securitate predate de industrie: dacă nu pot cumpăra direct de pe site-ul oficial, caută un „distribuitor autorizat oficial”. Dar autorizarea certifică doar dreptul companiei de a distribui, nu integritatea fiecărui dispozitiv din depozit și nici încrederea fiecărui angajat care le manipulează și sortează. De la fabrică, prin logistică, depozitare, sortare, distribuitor și până la ușa ta — orice verigă poate fi interceptată, deschisă și resigilată. Filmul termocontractabil de pe dispozitivul lui Karpelès era intact. Odată ce dispozitivul părăsește custodia Ledger, cuvântul „autorizat” nu oferă nicio protecție fizică. Mai subtil este calendarul. Documente corporative recent dezvăluite arată că CryptoBilis a fost achiziționată în martie anul acesta, iar o persoană pe nume „Jiaming”, cu adresă înregistrată în provincia Heilongjiang, China, deține 100% din companie din 3 august. Foștii cofondatori au confirmat achiziția din martie, declarând că acționarii originali s-au retras din toate rolurile operaționale, manageriale și administrative, iar după predare au pierdut vizibilitatea asupra operațiunilor reale ale companiei. Ei au îndemnat conducerea actuală să acționeze transparent. Potrivit DeepChain TechFlow, un acord de confidențialitate semnat de achizitor și foștii executivi le interzice să divulge detalii despre tranzacție, valabil până pe 19 octombrie — când incidentul a izbucnit pe 9 octombrie, foștii executivi erau încă legal împiedicați să dezvăluie detaliile achiziției. Nu există deocamdată dovezi concludente care să lege schimbarea acționariatului de furtul echipamentelor, iar Ledger a suspendat doar vânzările, fără acuzații. Pe 10 octombrie, CryptoBilis a anunțat suspendarea vânzărilor și livrărilor pentru toate portofelele hardware de marcă prin magazinele fizice și canalele online din Malaezia, Filipine și Indonezia și a reamintit utilizatorilor: frazele mnemonice trebuie generate de dispozitiv în timpul inițializării și scrise manual de utilizator; orice dispozitiv însoțit de carduri mnemonice preimprimate sau pre-scrise trebuie considerat nesigur. CryptoBilis nu este singurul canal care a avut probleme anul acesta. În septembrie, Trezor a recunoscut că furnizorul său de logistică, ShipMonk, a fost compromis, expunând numele reale, numerele de telefon și adresele de domiciliu ale aproximativ 81.000 de clienți din SUA; în ianuarie, Ledger a dezvăluit că procesatorul său de plăți, Globale, a scurs numele și datele de contact ale unor cumpărători de pe site-ul oficial. Aceste incidente nu au dus direct la pierderi de fonduri, dar le-au înmânat repetat atacatorilor liste cu cine a primit un portofel hardware și când. În ultimele trei luni, cea mai slabă verigă a stocării la rece s-a mutat din cod în logistică. IV. Recuperare, autoajutorare și cel mai ieftin sfat Fereastra de recuperare se închide. Potrivit MistTrack, Tether a înghețat o cantitate mare de USDT la adresele relevante; ca răspuns, atacatorii au început să convertească USDT în USDD, un stablecoin bazat pe Tron pe care Tether nu îl poate îngheța. Potrivit Onchain Lens, 430,2 ETH (aproximativ 1,07 milioane de dolari) au intrat în Tornado Cash prin patru portofele. Bitcoin și Ethereum nu au întrerupătoare de înghețare — odată ce fondurile pleacă, bursa este singura barieră rămasă. SlowMist și Security Alliance au deschis canale de asistență, iar ultima îi îndeamnă pe utilizatorii ale căror fonduri au fost transferate către adresele relevante să contacteze echipa de intervenție de urgență SEAL 911. Cel mai practic sfat din industrie a venit de la CZ. Deși a stabilit că este un „atac asupra lanțului de aprovizionare limitat la un singur distribuitor”, el a oferit o soluție concretă, orientată spre acțiune: după achiziționarea unui portofel hardware (sau descărcarea unui portofel software nou), așteptați câteva săptămâni înainte de a transfera fonduri semnificative. În acest timp, urmăriți știrile relevante… hardware-ul ar putea fi modificat sau site-ul oficial al software-ului ar putea fi compromis. Autocustodia înseamnă responsabilitate suplimentară. Logica din spatele acestei „perioade de izolare” nu este tehnică, ci informațională: dacă un lot de dispozitive a fost deja modificat când a ajuns la distribuitori, analiștii onchain au nevoie de timp pentru a detecta primele dispozitive furate și a emite alerte — acele două săptămâni sunt tamponul pe care și l-au cumpărat. Dar ceea ce acest incident a redefinit cu adevărat este granița termenului „autocustodie”. În ultimul deceniu, industria și-a construit aproape întreaga narațiune de securitate a autocustodiei pe criptografie și hardware: elemente securizate, EAL5+, ștergerea prin PIN, audituri open-source. Niciuna dintre acestea nu a fost compromisă. Ce a fost compromis este călătoria de la fabrică până la ușa ta — un traseu format din furnizori de logistică, depozite, distribuitori și curieri, fără ca vreun pas să poată fi verificat de utilizator. Portofelele hardware promit că „cheia privată nu părăsește niciodată dispozitivul”. Ironia este că cheia privată chiar nu a părăsit dispozitivul — a fost doar văzută puțin prea de aproape de cineva în cele câteva secunde în care a fost afișată utilizatorului. Iar când granița de securitate se extinde de la cip la pachetul de la ușa ta, ultima linie de apărare pe care utilizatorii o au cu adevărat poate fi: nu te grăbi să-ți bagi banii.