安全更新

ChainCatcher 消息，据 Bitcoin News 监测，Lightning Development Kit（LDK）已发布安全更新，修复可能导致恶意节点窃取资金的漏洞。最严重漏洞涉及 Lightning 通道重连。据 Bitcoin Optech，恶意节点可能虚假声称未收到此前已确认的通道更新。 存在漏洞的 LDK 软件随后可能在未正确记录相关交易的情况下签署冲突的承诺交易，使攻击者在转发支付完成后重新获得比特币。LDK 0.2.7 和 0.1.13 版本已修复该漏洞。截至已审查的披露信息，尚未发现由这些特定漏洞造成的已确认损失。

ChainCatcher 消息，Ethereum Classic 近日出现涉及 Core-Geth 客户端的社会工程事件。未经现有维护者审查的 ethereumclassic/core-geth v1.13.0 于 9 月 14 日发布，并被宣传为安全更新，少数矿池节点一度切换至该版本，后已恢复至长期维护的 etclabscore/core-geth v1.12.23。该未经审查版本修改了链选择和节点发现等关键逻辑，存在导致网络分裂的潜在风险；事件未造成区块丢失、链重组、资金损失或服务中断。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，Core Lightning 26.06.7 版本已发布，修复了过去三周内负责任披露的多个漏洞。针对开源比特币项目的 AI 生成安全报告近期增加，具体漏洞信息将暂时保密两周，以便节点运营者完成升级后再公布技术细节和源代码。开发者警告称，立即公布修复内容可能使攻击者反向分析漏洞，进而攻击尚未更新的节点。所有 Core Lightning 节点运行者均应立即升级。目前 Docker 镜像尚未可用，开发者明确警告用户不要等待 Docker 镜像。

ChainCatcher 消息，据 Bitcoin News 报道，Sparrow Wallet v2.5.4 经过广泛的 AI 辅助审查后发布，包含多项安全强化更新，旨在减少用户对 Electrum 等外部服务器的信任依赖。 此外，该版本还强化 Ledger、Keycard、Trezor、Payjoin、PSBT 及多重签名处理，删除调试日志中的 Bitcoin Core 凭证及其他机密信息，将现有钱包和备份目录权限限制为仅所有者可访问，关闭使用 Tor 时残留的本地 DNS 解析泄露，并加强钱包导入、签名、下载及服务器响应验证。该更新扩大了 Sparrow Wallet 对交易数据、硬件设备及其他输入进行独立验证的范围，减少对外部服务器提供数据的依赖。

ChainCatcher 消息，据 Decrypt 报道，瑞士硬件钱包制造商 BitBox 在内部 AI 审计中发现固件存在两处严重漏洞及一个引导加载程序问题，已发布 Dixence 安全更新。漏洞利用需结合钓鱼攻击和用户解锁被篡改设备，但 BitBox 表示无用户资金被盗，助记词未受威胁。 引导加载程序漏洞影响旧款 BitBox02，攻击者可加载恶意固件盗取资产，该问题已在 7 月的 Oeschinen 更新中部分修复；第二个严重漏洞影响 Multi 版本设备初始化前阶段，可能允许任意代码执行；第三个问题涉及静默支付功能，无法直接盗币但可能锁定资金。新款 Nova 版本不受影响。BitBox 警告旧固件用户需尽快安装更新，目前无用户资金损失报告。

ChainCatcher 消息，Zcash 基金会发布节点客户端 Zebra 4.5.0 版本更新，本次版本包含多项安全修复，其中涉及一项共识关键漏洞及多项高危拒绝服务（DoS）问题，并强烈建议所有节点运营者立即升级。据悉，本次核心修复包括 P2SH 脚本解析中导致的 sigop 计数错误（可能引发与 zcashd 共识分叉）、NU5 区块验证缓存逻辑缺陷、透明地址余额溢出崩溃风险，以及多项 RPC 接口与内存池处理中的崩溃与资源耗尽漏洞，此外部分漏洞可被恶意节点利用导致节点卡死、重启循环甚至永久停止运行。

ChainCatcher 消息，Fusion 发布安全更新：IPOR USDC Fusion Optimizer 存在 Arbitrum Vault 漏洞，IPOR 团队接到通知，其发现一个漏洞导致价值 33.6 万美元的 USDC 损失。 该漏洞利用针对的是特定的旧版 Fusion Vault。由于其独特的配置，这是唯一一个容易受到这种特定攻击途径影响的保险库。损失仅占 Fusion 所担保资金总额的不到 1%。其正在与 Security Alliance 合作追踪和追回资金。IPOR DAO 将从财库中弥补资金缺口。所有受影响的存款人都将得到全额补偿。

ChainCatcher 消息，UXLINK 官方发布安全更新称，监测到恶意行为者持续进行未授权增发。为保障社区与生态安全，团队已紧急联系多家中心化交易所，要求暂时暂停 UXLINK 交易，并将迅速启动代币置换计划，以确保代币经济的完整性。官方表示，相关细节与操作指引将很快公布，并提醒社区成员保持警惕，仅关注官方渠道信息。

ChainCatcher 消息，Binance 创始人赵长鹏在 X 发布安全提醒，“如果您使用的是基于 Intel 芯片的 Macbook，请尽快更新！保持安全！” 据悉，Apple 确认 macOS 系统遭到零日攻击，并紧急发布主要的 macOS 和 iOS 安全更新以修复两个已经被广泛利用的漏洞。 Apple 在公告中证实，这些漏洞正在基于 Intel 的 macOS 系统上被广泛利用，并敦促整个生态系统的用户紧急应用 iOS 18.1.1、macOS Sequoia 15.1.1 和较旧的 iOS 17.7.2。

ChainCatcher 消息，Dogecoin Core 1.14.8 即将发布，此次更新的重点是增强编译过程的可重复性，这是加强网络安全性和可靠性的重要步骤。 Dogecoin 团队的一名初级开发者在社交媒体上宣布， Dogecoin Core 1.14.8 已经通过了关键的测试，即“多个开发者是否能够可靠地再现编译过程的相同输出”

ChainCatcher 消息，纳什维尔比特币 2024 会发布安全更新，主要包括： 1、强烈建议不要携带行李，会增加您进入大楼安全区域的延误时间； 2、会议室最多可容纳 8,000 个座位，无法确保每个人都有座位； 3、禁止携带物品包括：外部食物和饮料、含酒精的饮料、电子香烟和蒸汽烟、任何种类的爆炸物、枪支、武器等。

ChainCatcher 消息，据 安全公司 BleepingComputer 的报告，谷歌发布紧急安全更新，修复自今年初以来在攻击中被利用的第四个 Chrome 零日漏洞，目前已经出现存在针对 CVE-2023-4863 的野外攻击。 新版本正在向稳定版和扩展稳定版渠道的用户推出，预计将在未来几天或几周内覆盖整个用户群。建议 Chrome 用户将其 Web 浏览器升级到 116.0.5845.187（Mac 和 Linux）和 116.0.5845.187/.188（Windows）。

链捕手消息，MetaMask官推转发福布斯报道文章称，“Chrome发布了一个高严重性的安全更新。他们没有向我们披露其性质，但您通常应始终更新任何安全更新。请花时间立即更新您的浏览器。” 该福布斯文章报道指出，谷歌为所有Chrome用户发布了紧急安全更新，因为它确认攻击者已经在利用高度严重的zero-day漏洞。Chrome版本99.0.4844.84的紧急更新非常不寻常，因为它旨在解决单个安全漏洞。因此，建议所有Chrome用户确保他们的浏览器作为紧急事项进行更新。（来源链接）

链捕手消息，以太坊2.0客户端Teku发布紧急安全更新版本V21.12.1，Teku使用的log4j发布了一个零日漏洞（指被发现后立即被恶意利用的安全漏洞）。所有用户都应立即升级。（来源链接）