余弦

ChainCatcher 消息，据慢雾余弦监测，针对 FOMO 网页端的书签钓鱼盗币攻击正在出现。此类钓鱼网页会诱导用户完成虚假人机验证，将 JavaScript 恶意代码拖入浏览器收藏夹并保存为书签。用户随后在该书签上点击 2 至 3 次后，此前登录过的 FOMO 账号将被攻击者劫持，账号内加密资产也会被立即盗走。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，iOS 27 版本之前的系统正被部分黑灰产团伙利用漏洞盗窃 iPhone 用户加密钱包。其提醒用户及时将 iPhone、iPad、Mac 等设备更新至最新版本，谨慎安装来源不明的 App，并谨慎通过 Safari 及 App 内置浏览器打开不明链接。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，Bitget 被盗事件传播广、涉案金额巨大，且相关资金很快被关联至朝鲜黑客。Circle、Tether 等机构已及时协助冻结相关资金，其中 Circle 冻结了黑客持有的 USDC。 针对 THORChain，余弦指出，THORChain 此前自身遭遇被盗事件时，也曾迅速干预其所谓的“去中心化”平台；但此次面对行业重大安全事件，却以“去中心化、无权干涉”为由回应，并将自身与比特币、以太坊相提并论，同时继续从黑客的大额跨链交易中获得手续费。 其表示，去中心化不应只是一句口号，在重大安全事件发生后，关键是分清哪些问题需要行业共同解决。他同时认为，不应轻易将 THORChain 等平台与比特币及以太坊相提并论，不同系统的去中心化程度和机制存在明显差异。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，相关应用为 FomoPeek，慢雾从未称其为 FOMO App。海外相关安全 KOL 及媒体对此出现误传。

ChainCatcher 消息，据慢雾余弦监测，某黑客地址涉及一起群体被盗事件，超过 100 个地址、数十名真实用户受影响，原因是私钥泄露，黑客获利约 20 万美元。 该团伙为老团伙，被盗用户可以尝试找出共性。

ChainCatcher 消息，慢雾创始人余弦在 X 平台转发 Claude Code 潜在投毒攻击风险推文并发布针对 Grok Build CLI 及 Claude Code CLI 投毒攻击细节分析。 其中指出，Grok Build CLI 的安全机制没有统一，不同代码路径有不同的信任假设，缝隙之间便是攻击者的通道。攻击者可能通过恶意项目配置文件，在用户不知情的情况下执行任意命令，进而窃取 API 密钥、云端凭证或控制本地设备。 研究人员构造测试环境发现，在 Mac 系统中，如果 Claude Code 受到影响，执行特定测试命令后可触发本地计算器启动，证明存在潜在命令执行风险。 若攻击成功，攻击者可能进一步窃取 Claude、OpenAI 等 AI 服务 API Key 造成账户费用损失，获取 AWS、阿里云、腾讯云等云服务凭证访问服务器和数据，篡改代码仓库植入后门，利用本地设备作为跳板攻击企业内部网络。据悉，相关漏洞已经存在一年。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文解读 Squid 安全事件，他表示抽样发现相关 Safe 钱包都是单签，owner 也都不一样，但问题不在私钥，问题在这些 Safe 地址用到的模块（SquidRouterModule）存在漏洞，攻击者可以伪造消息，轻易绕过相关验证，发起后续的兑换操作，将目标 Safe 钱包里的资金转移走。此外，余弦还公布了攻击者获利沉淀地址信息。此前消息，某第三方 Gnosis Safe 模块在 Base 和以太坊上被利用，造成约 320 万美元损失，受害者为将该合约添加为受信任 Safe Module 的 86 个 Gnosis Safe。该合约在 Basescan 上名为 “SquidRouterModule”，随后 Squid 澄清未受 Gnosis Safe 相关漏洞事件影响。

ChainCatcher 消息，据 SlowMist 创始人余弦（@evilcos）分析，此次 KelpDAO 约 2.9 亿美元被盗事件的攻击核心为针对 LayerZero DVN（去中心化验证器网络）下游 RPC 基础设施的定向投毒。具体攻击步骤为：首先获取 LayerZero DVN 所使用的 RPC 节点列表，随后攻破其中两个独立集群并替换 op-geth 二进制文件；利用选择性欺骗技术，仅对 DVN 返回伪造的恶意 payload，对其他 IP 则返回真实数据；同时对未被攻破的 RPC 节点发动 DDoS 攻击，迫使 DVN 故障转移至已被投毒的节点，完成伪造消息验证后恶意二进制自毁并清除日志。最终导致 LayerZero DVN 为“从未发生过的交易”签发验证。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文表示，Coinbase 已将要求用户输入明文助记词的页面下线，他指出对于钱包来说在线网页的安全模型非常低，远低于扩展、App；在线网页采集明文助记词的做法很容易被钓鱼网页模仿学习，而且早已经是钓鱼的常用手法。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示：“一个群体被黑事件正在发生，黑客地址：0x913efc2062984288a0a083cd42b3a3422c07fcef，目前黑客累计获利 8.5 万美元，还在持续增加。从社区反馈来看，这个群体主要属于薅羊毛玩家，私钥/助记词被黑客提前采集。黑客正在归集相关资金。如果正在用 MoreLogin 指纹浏览器需务必注意，但目前没有证据一定是 MoreLogin 或相关插件出问题。”

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文表示：“不信任 OpenClaw 的稳定性或韧性的，但对 Claude Code 挺放心，这可是软件工程的核心目标之一。安全重视上，两家对安全的重视力度都很高，提交的漏洞有得到很及时的反馈。某些 OpenClaw fork 或参考版本，对安全的积极性就差了许多。 安全场景上，OpenClaw 虽然也有 Sandbox 机制，也试图在工具权限上做更细粒度的设计，但如其名‘OpenClaw’，Open 是其最大魅力，束手束脚的 OpenClaw 就不是 OpenClaw 了，又希望它自由，又希望它可控，这是大家纠结的一点，但真正生产环境下，过度自由的 OpenClaw 容易失控。”

ChainCatcher 消息，慢雾创始人余弦转帖发布安全提醒，目前 OpenClaw 的 ClawHub 市场共发现 1,184 个恶意技能，这些技能会窃取 SSH 密钥、加密钱包、浏览器密码并打开反向 shell。仅一名攻击者就上传了 677 个软件包。排名第一的技能存在 9 个漏洞，下载量达数千次。 余弦提醒用户，文本不再是文本，而是指令。建议通过独立环境使用 AI 工具，许多 OpenClaw 技能存在潜在风险。此外，Web3 安全里合约只是一部分，真正事故原因早已不仅仅是合约。前几日 Moonwell 被盗 178 万美元，缺陷代码来自 Co-Authored-By：Claude Opus 4.6。

ChainCatcher 消息，慢雾创始人余弦发布安全提醒，用户在使用 AI 工具时，一定要警惕 agents md/skills md/mcp 等里的提示词投毒攻击，目前已出现相关案例。 AI 工具的危险模式一旦开启，相关工具可以全自动操控用户电脑而无需任何确认。但未开启危险模式则每次操作都需要用户确认，也将影响使用效率。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文表示，正在跟进 DeBot 事件，看链上情况，DeBot 相关的用户私钥被盗，黑客目前获利 25.5 万美元资产，还在持续盗窃中。如果在用 DeBot，私钥由 DeBot 分配，那么这把私钥存在风险。

ChainCatcher 消息，慢雾创始人余弦发推表示，Trust Wallet 浏览器扩展新版本已彻底解决后门问题，不再包含 PostHog 相关代码。此前由于情报来源数据有误，导致分析时误以为 PostHog 没被删除干净。 PostHog 是开源的全链路产品分析平台，可用于采集各种信息进行分析。Trust Wallet 浏览器扩展 2.68.0 版本曾带有后门，该版本利用了 PostHog。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，慢雾团队发现两个交易平台的严重漏洞（直接影响资金安全的），联系不到人，公开联系也没反应。 余弦同时表示，这两个交易平台一个 24 小时交易量 37 亿美元，一个 2.4 亿美元。慢雾团队账号推文显示，其曾于昨日主动联系名为 “ICRYPEX Global” 的交易平台。

ChainCatcher 消息，慢雾创始人余弦就“何一微信被盗”事件分析称，此次盗号应为黑客通过夺取用户长期弃用手机号的使用权，从而接管绑定微信的身份基础设施。另一类常见风险是验证码社工攻击：黑客在获取用户泄露的账号密码后，会冒充用户向其两个常联系微信好友索要 6 位数字验证码，从而完成盗号。 余弦指出，攻击前置条件包括已有泄露数据中匹配到的账号密码，以及提前收集受害者常联系好友信息（甚至包括仅在群聊里有互动的用户）。攻击者往往选择深夜实施，常见于面向币圈用户的 OTC 诈骗。 他提醒用户谨慎添加陌生微信好友，及时更换密码，并留意微信的各类风险提示。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，用户 Babur 遭遇价值 2,700 万美元的加密资产被盗事件。据分析，被盗资产主要涉及两个地址：Solana 地址 91xu 和以太坊 Safe 多签地址 0xD2，其中最大两笔被盗资产总价值超过 1,800 万美元。黑客地址为 71fM（Solana）和 0x4f（以太坊），部分资金已跨链至以太坊网络。该事件疑似由电脑遭投毒导致，用户双击运行恶意文件后私钥泄露，包括 Safe 多签的两个签名私钥均可能存储在被感染的电脑上。

ChainCatcher 消息，慢雾余弦 @evilcos 提醒称，有 Web3 求职者在面试过程中遭遇恶意代码陷阱。事件中，攻击者冒充 @seracleofficial，要求求职者审阅并运行 Bitbucket 上的代码。受害者克隆代码后，程序立即扫描本地全部 .env 文件并窃取私钥等敏感信息。 慢雾方面指出，此类后门属于典型 stealer，可收集浏览器保存的密码、加密钱包助记词与私钥等隐私数据。专家强调，凡涉及可疑代码审查，务必在隔离环境中操作，避免在真实设备上直接运行以致遭受攻击。

ChainCatcher 消息，慢雾创始人余弦发推称，Yearn 遭攻击后链上出现的 “白帽协商” 消息为伪造，实为钓鱼行为，与此前 Balancer 事件手法一致。攻击者使用 Railgun 协议隐藏身份，提前 28 天准备低 Gas 地址并完成利用，最终通过 Tornado Cash 转移 1,000 枚 ETH。当前攻击者地址尚存约 600 万美元加密资产。