Tras una firma sospechosa identifica payload, approvals activos, sesiones y movimientos de activos. No destruyas evidencia ni firmes nuevas solicitudes desde el contexto posiblemente comprometido.
Este concepto importa porque Conserva hashes, payloads, dominios y timestamps.
Inspecciona los campos exactos del protocolo que crean autoridad o modifican la ejecución. Compara esos campos con la intención declarada por el usuario y con el límite de seguridad esperado.
Inspecciona los campos exactos del protocolo que crean autoridad o modifican la ejecución.
A nivel de protocolo y ejecución, debes inspeccionar detect y scope y contain y preserve y prioritize. Los identificadores del protocolo no se traducen porque forman parte del payload técnico.
detectPuntos técnicos de inspección
scopePuntos técnicos de inspección
containPuntos técnicos de inspección
preservePuntos técnicos de inspección
prioritizePuntos técnicos de inspección
Trata las contradicciones, la autoridad excesiva y las dependencias sin explicar como señales materiales de fallo.
La consecuencia práctica es que Remedia desde un entorno conocido como limpio cuando sea posible. Desconocido no equivale a seguro.
Convierte cada señal material en la consecuencia concreta que puede producir sobre activos, autoridad o confianza.
La consecuencia práctica es que Remedia desde un entorno conocido como limpio cuando sea posible.
Escala cuando la evidencia sea contradictoria, incompleta o la consecuencia supere la política rutinaria.
Verifica la solicitud mediante evidencia independiente antes de cualquier autorización irreversible.
Inspecciona los campos exactos del protocolo que crean autoridad o modifican la ejecución.
Compara esos campos con la intención declarada por el usuario y con el límite de seguridad esperado.
Verifica la solicitud mediante evidencia independiente antes de cualquier autorización irreversible.
Registra hechos, supuestos, incógnitas y decisión para que otro analista pueda reproducir la revisión.
Escala cuando la evidencia sea contradictoria, incompleta o la consecuencia supere la política rutinaria.
Registra hechos, supuestos, incógnitas y decisión para que otro analista pueda reproducir la revisión.
Conserva hashes, payloads, dominios y timestamps. y Remedia desde un entorno conocido como limpio cuando sea posible.
Conserva hashes, payloads, dominios y timestamps.
identify suspicious eventwhat accounts/sessions/approvals affectedstop further authorityretain evidenceassets at immediate risk firstpanic transactions
evidence deleted
wallet remains connected
active approvals unknown
compromised device reused
freeze risky activity
capture transaction/signature evidence
disconnect sessions
enumerate approvals/assets
choose containment actions by exposure
hechos → evidencia material
evidencia → consecuencia / autoridad
consecuencia → decisión explícita + siguiente acción
incident triage worksheetincident / triage
El 22 de agosto de 2023 Balancer publicó una vulnerabilidad crítica en determinados pools. Su Emergency SubDAO había mitigado más del 80% de la liquidez afectada, habilitado salidas proporcionales y pedido retirar fondos de los pools aún en riesgo.
critical vulnerability in selected poolsmore than 80% of affected liquiditypause + proportional exitapproximately 4% of Balancer TVL at disclosureLa respuesta a incidentes empieza antes del exploit cuando existe evidencia creíble. Clasificar activos, disponer de autoridad de emergencia y ofrecer una salida segura reduce el radio de impacto.
¿Qué umbral de evidencia activaría controles de emergencia y cómo separarías activos mitigados, pausables y todavía expuestos durante la primera hora?
unexpected Permit2 signatureunknownyespossiblenot enumeratedURL + timestamp + signature availableAntes de responder, identifica la autoridad que se concede, el límite de confianza que puede fallar y la consecuencia que se vuelve irreversible.
Separa identidad, autoridad, ejecución y contexto antes de tomar una decisión de seguridad.
¿Quién o qué solicita, recibe o representa autoridad?
yes¿Qué capacidad puede concederse, mantenerse o ejercerse?
not enumerated¿Qué hará realmente el payload, la ruta o el sistema?
¿Qué hechos del entorno pueden cambiar materialmente la decisión?
unexpected Permit2 signatureunknownpossibleURL + timestamp + signature availableNo respondas de memoria. Utiliza el caso, los campos del protocolo y el procedimiento de verificación anterior para escribir un hallazgo reproducible.
Conserva hashes, payloads, dominios y timestamps.
Remedia desde un entorno conocido como limpio cuando sea posible.
Registra tu razonamiento antes del checkpoint y termina con una decisión o siguiente acción explícita. Las notas permanecen en este dispositivo.
Desarrolla las tres secciones antes de completarlo.
Este módulo desarrolla respuesta a incidentes de wallet mediante teoría aplicada y un laboratorio específico de decisión.