安全事件

ChainCatcher 消息，Solana Optimistic Network（SOON）发文称，此前于 7 月 12 日发现的安全事件已完成调查与恢复，事件未涉及 SOON 协议、序列器或面向用户的智能合约漏洞，未发现用户资金损失。SOON 表示，此次事件源于链下运营环境中的安全问题。根据第三方安全公司 BlockSec 的调查，外部攻击者通过配置错误的服务获得未经授权访问权限，并因访问控制不足进一步进入部分内部环境。该事件影响范围仅限于部分运营基础设施及相关流程，不涉及链上用户资产、用户智能合约或 SOON 网络安全。事件发生后，SOON 暂停了序列器及部分服务，并启动全面安全审查。期间，NFT 铸造、代币领取和链上提现等功能曾暂时关闭。目前，SOON 已恢复 NFT 铸造和代币领取功能，并恢复主网 RPC 服务及区块生产。目前网络已恢复正常运行。

ChainCatcher 消息，Across Protocol 发布 Relayer 安全事件事后报告。攻击者利用 Risk Labs Solana 链下事件读取软件漏洞，伪造 1,627 笔总面值约 4,170 万美元的虚假充值事件。 报告称，Relayer 在暂停 Solana 服务前完成其中 581 笔垫付，涉及约 450 万美元自有资金，其余约 3,700 万美元虚假充值均已失效。 此次事件未涉及智能合约漏洞，所有用户转账均于当天完成或全额退款。Across Protocol 表示，损失仅限于 Risk Labs 自身中继器资本，扣除约 50 万美元攻击者资金后净损失低于 400 万美元。目前 Solana 订单流已改为完全通过 CCTP 路由，ACX 代币收购计划不受影响。

ChainCatcher 消息，Solv Protocol 在 X 平台发文称，7 月 13 日 BNB Smart Chain 上的 BTC+ 合约遭受安全事件。经调查，攻击者入侵了部署者私钥并升级了 BSC 上的 BTC+ 铸币代理合约，铸造了未经授权的 BTC+ 代币。团队在三小时内完成应急响应，隔离了恶意合约，并冻结、销毁或隔离了所有未经授权的 BTC+。所有底层 BTC 资产安全。作为预防措施，BTC+ 的申购和赎回已暂停，预计两周内恢复。BTC+ 从未在任何 DEX 上设立官方流动性池，用户应仅通过 Solv 官方渠道获取和持有 BTC+。团队已升级部署者安全措施，轮换所有受影响的访问凭证和签名密钥，并启动全面外部重新审计，详细事后分析报告将随后发布。

ChainCatcher 消息，据 Zilliqa 官方公告称，项目方获悉其一交易所合作伙伴发生安全事件，导致部分 ZIL 自冷钱包被盗。目前事件正由各方联合调查，尚未披露具体被盗规模和原因。作为预防措施，Zilliqa 已通知所有交易所暂时暂停 ZIL 充值和提现，以防被盗资金通过中心化平台转移或出售。团队表示后续将于掌握确切信息后发布进一步更新，并提醒用户仅关注官方渠道。

ChainCatcher 消息，Cardano 的治理公司 Intersect 在 X 平台发文称，EMURGO 因近期专注于处理 SecondFi 安全事件，无法调配必要资源执行 Token2049 活动，经三方协商，该活动交付责任已正式转移至 Cardano 基金会。 EMURGO 向 Intersect 提出转移请求，经过与 Cardano 基金会讨论后获得各方同意。Intersect 表示，此决定基于活动时间紧迫性和避免交付不确定性的考量。Cardano 基金会已同意按批准范围交付活动，EMURGO 和 Intersect 均认可其过往活动执行能力。Token2049 交付工作现已正式移交，活动仍定于十月举办。 此前 6 月份消息，SecondFi 披露安全事件影响约 1,600 万枚 ADA（当时约 242 万美元）；但慢雾余弦表示，SecondFi 的用户损失可能超过 2,000 万美元。

ChainCatcher 消息，Web3 安全公司 CertiK 发布《Hack3D：2026 年上半年报告》。报告显示，2026 年上半年 Web3 生态共发生 344 起安全事件，累计损失约 13.2 亿美元。尽管这一数字较去年同期下降 46.8%，但若剔除 Bybit 遭遇的 14.5 亿美元安全事件影响，今年上半年损失规模实际上同比增长约 28%，显示行业整体安全环境并未出现实质性改善。 报告指出，钱包被盗已成为造成资金损失最大的攻击类型，上半年共造成约 4.5 亿美元损失；与此同时，网络钓鱼攻击数量虽然同比下降超过 50%，但损失金额仅下降约 10.8%，反映出攻击者正转向高净值个人和机构目标，实施更具针对性的高价值攻击。 此外，代码漏洞仍是发生频率最高的攻击类型，相关事件达 204 起。CertiK 认为，攻击者正越来越多地瞄准长期运行且缺乏重新审计的老旧智能合约。 报告还显示，超大规模攻击事件持续主导行业损失，Kelp DAO 与 Drift Protocol 两起事件合计造成约 5.77 亿美元损失，占上半年总损失的 44%。从事件数量、单次攻击影响力以及攻击模式变化来看，Web3 行业正在面临更加复杂且持续升级的安全挑战。

ChainCatcher 消息，Cardano 钱包服务商 SecondFi 称，已查明近期安全事件根因并为未受影响钱包部署补丁，即将恢复正常运营。SecondFi 披露，此次事件共发生 4 次资金被转出事件，其中 3 次由外部攻击者实施，导致约 1,600 万 ADA 从 374 个地址被转出。为减少持续攻击期间的进一步损失，SecondFi 启动紧急转移，将约 1.29 亿 ADA 转至独立第三方托管机构代为保管，并聘请外部会计师事务所进行专项审计，以便后续核对并向受影响地址返还资产。SecondFi 提示，受影响用户应通过官网支持页面提交索赔申请，且目前不要将助记词导入其他 Cardano 钱包，因为安全风险发生在地址及签名层面。

ChainCatcher 消息，密码管理工具 LastPass 公告，获悉其第三方市场情报平台 Klue 发生安全事件，黑客窃取了 Klue 持有的多个客户（包括 LastPass）的 OAuth 令牌，并利用这些令牌访问了 LastPass 的 Salesforce CRM 系统，导致部分客户姓名、电话号码、邮箱地址、家庭住址以及支持案例等业务联系信息和 CRM 数据可能泄露。官方提醒：LastPass 的产品、服务、基础设施及客户密码库（vaults）未受任何影响，Gong 系统数据也未被访问。LastPass 已立即采取措施，包括停止员工对 Klue 的访问、轮换暴露的 API 令牌、开展详细调查并与 Klue、Salesforce 及执法部门合作，同时通过 TIME 团队向安全社区分享威胁情报，并加强未来防护。用户应提高警惕，防范可能利用泄露信息发起的钓鱼邮件、电话或社交工程攻击，并牢记 LastPass 绝不会索要主密码，所有官方沟通均通过可信渠道发送。.

ChainCatcher 消息，针对 Cardano 生态项目 SecondFi 近期安全事件，慢雾创始人余弦发文表示：“我对 Cardano 生态其实挺陌生的，昨晚围观了一晚，但如果 addr1q 开头地址和 addr1q 开头地址都是黑客地址（从行为上应该是），SecondFi 的用户损失应该超过 2000 万美元（超过 1.29 亿枚 ADA 及其它代币被盗）” 此前消息，SecondFi 披露其安全事件影响约 1600 万枚 ADA，问题源于网页钱包生成软件。

ChainCatcher 消息，Taiko 在 X 平台发布安全事件更新，称事件已得到控制，跨链桥和金库已暂停，资金无法再被提取。跨链桥双向均已离线，待处理交易处于暂停状态而非丢失。更多信息将很快公布。

ChainCatcher 消息，跨链协议 Axelar Network 针对近期 Secret Network 相关安全事件发布说明称，社区对事件存在误解，Axelar 和 Inter-Blockchain Communication Protocol (IBC) 均未遭到攻击或破坏，受影响的代币智能合约并非由 Axelar 开发、部署或维护，Axelar 的防火墙机制也阻止了影响进一步扩散至其他链。据悉，遭利用的合约是基于 CW20-ICS20 实现的一个分叉版本，但开发者移除了两项核心安全检查，导致出现“无限铸造”漏洞。由于删除了原本用于防止此类问题的校验机制，该分叉改变了合约原有信任模型，同时未经过新的安全审计。Axelar Network 解释称，任何人都可以通过 IBC 部署用于跨链资产封装的合约，同类合约也被用于将其他链代币封装至 Secret Network。但此次事件中的 Secret 侧分叉版本因删除关键安全检查而存在漏洞，此次事件并非特有逻辑缺陷，也不是 IBC 协议本身的问题，而是第三方合约修改后引入的安全风险。

ChainCatcher 消息，Zodiac 团队发布关于影响 Zodiac Roles Modifier 的安全事件分析报告，披露漏洞根因在于 ERC-1271 交易签名验证逻辑存在缺陷：系统仅基于返回的 “magic value” 判断签名有效性，而未验证调用本身是否成功，从而可能将失败的验证伪装为有效签名，绕过模块认证机制。

ChainCatcher 消息，DeFi 结构化协议 Thetanuts Finance 发文回应涉及其 Vault 安全事件，据悉初步调查显示相关 Vault 为多年前已弃用并完成迁移的旧版本合约，与当前运行中的任何合约或产品均无关联，目前仍在进一步调查细节，并将在获得更多信息后发布完整事后分析报告。此前消息，Thetanuts Finance 疑似遭遇攻击事件，初步估计损失约 210 万美元。

ChainCatcher 消息，Syscoin 发布桥接安全事件报告，披露 UTXO-to-NEVM 桥接漏洞事件详情，据悉此次事件导致约 50 亿枚 SYS 在 UTXO 侧被未经授权释放。相关资金随后已返回官方恢复地址，并通过标准 OP_RETURN 方式销毁，使其无法再次被协议使用，链上报告的 SYS 供应量恢复至预期值，目前桥接功能仍处于暂停状态，团队正在完成最终审查与修复。 Syscoin 指出，将修复跨层解析缺陷，此次事件的核心教训是跨层系统必须对数据进行统一规范化处理，任何存在歧义的桥接证明都应默认失败。

ChainCatcher 消息，Syscoin 发布桥接安全事件报告，披露 UTXO-to-NEVM 桥接漏洞事件详情。据悉此次事件导致约 50 亿枚 SYS 在 UTXO 侧被未经授权释放。相关资金随后已返回官方恢复地址，并通过标准 OP_RETURN 方式销毁，使其无法再次被协议使用，链上报告的 SYS 供应量恢复至预期值。目前桥接功能仍处于暂停状态，团队正在完成最终审查与修复。

ChainCatcher 消息，DeFi 结构化协议 Thetanuts Finance 发文回应涉及其 Vault 安全事件，据悉初步调查显示相关 Vault 为多年前已弃用并完成迁移的旧版本合约，与当前运行中的任何合约或产品均无关联，目前仍在进一步调查细节，并将在获得更多信息后发布完整事后分析报告。此前消息，Thetanuts Finance 疑似遭遇攻击事件，初步估计损失约 210 万美元。

ChainCatcher 消息，Humanity 公布 Quantstamp 独立调查报告，其中披露 H 代币安全事件中攻击者使用具有朝鲜黑客特征的工具与手法，通过钓鱼邮件伪装成 Bithumb 交易所进行沟通，诱导项目董事点击恶意附件，从而在其设备上部署远程控制木马，最终获取完整桌面控制权限及钱包私钥，随后又在以太坊与 BNB Chain 上发动链上攻击：在以太坊侧通过盗取密钥升级合约并转移约 1.4118 亿枚 H，在 BSC 侧接管 ProxyAdmin 合约并铸造新增代币，被盗资产随后在 Uniswap 与 PancakeSwap 上持续抛售约 8 小时，对流动性与市场价格造成明显冲击。 目前以太坊侧的 H 代币合约已被冻结，主网桥未受影响，但 BSC 部署已被攻击者控制并仍具铸币权限，团队正在与交易所及安全方协同推进后续处置与恢复方案，同时提醒用户警惕虚假“补偿/领取”链接，并表示将通过官方渠道发布后续进展。 此前，Humanity Protocol 遭遇攻击，一位 Humanity 基金会成员的私钥泄露，导致超 3100 万美元资金被盗。

ChainCatcher 消息，Humility Protocol 在 X 平台发布安全事件更新，其中指出昨日 H 代币在以太坊和 BSC 链上遭遇协同攻击，目前确认已有超过 3600 万美元资产被盗并遭抛售。 初步调查显示，此次事件源于一名员工的电脑被攻破，导致控制 Hyperlane Bridge ProxyAdmin 的多重签名钱包密钥泄露。其中，攻击者获取以太坊链上 Gnosis Safe 6 个持有者中的 3 个私钥，将 ProxyAdmin 所有权转移至其控制的钱包，并将桥接合约升级为恶意实现，随后通过单笔交易转移约 1.412 亿枚 H 代币。 与此同时，攻击者还控制了 BSC 链上 Safe 钱包 5 个持有者中的 3 个私钥，以相同方式接管 ProxyAdmin，并部署具备无限增发功能的恶意合约，分两次向自身钱包增发 2 亿枚 H 代币。 Humility 表示，已暂停受影响桥接服务的所有存取款操作并正与交易所等相关合作方协作以减少损失，同时正配合警方展开调查，并尝试追回部分被盗资金。

ChainCatcher 消息，Humanity Protocol 创始人 Terence Kwok 在 X 平台发文确认发生安全事件，称此事件涉及一位 Humanity 基金会成员的私钥泄露。为安全起见，建议用户在确认安全之前不要与跨链桥或任何流动性池交互。团队正与安全专家及交易所合作伙伴合作解决问题。 此前消息，Humanity Protocol 关联地址已被盗超 3100 万美元。

ChainCatcher 消息，Cosmos 生态跨链桥 Gravity Bridge 疑似因签名密钥遭泄露而遭到攻击，约 540 万美元资产被盗。目前官方已确认遭遇安全事件并紧急暂停桥接服务以展开调查，同时还要求验证者暂停验证节点和协调器运行。据悉，其合约密钥可能已被攻破。