安全漏洞

ChainCatcher 消息，Cascade 在 X 平台发布公告称，此前 CLS 资金被抽走的事件已得到解决，涉事方配合归还了全部被盗资金。 所有在 CLS 中持有资金的用户，将能够按照 2025 年 7 月 15 日 21:08:00 UTC 时的价值获得 100% 全额赔付。索赔功能将在未来几天内开放。 ChainCatcher 此前报道，多资产永续合约平台 Cascade Discord 管理员 MAX 在频道中表示，Cascade CLS 金库疑似遭遇安全漏洞，造成约 130 万美元资金损失。目前平台已暂停全部交易和提现，并邀请 SEAL 911 及其他第三方安全团队介入调查和处置。

ChainCatcher 消息，多资产永续合约平台 Cascade Discord 管理员 MAX 在频道中表示，Cascade CLS 金库疑似遭遇安全漏洞，造成约 130 万美元资金损失。目前平台已暂停全部交易和提现，并邀请 SEAL 911 及其他第三方安全团队介入调查和处置。Cascade 支持通过 Arbitrum USDC 或银行账户入金，目前仍处于邀请制私测阶段。

ChainCatcher 消息，马斯克表示，待完成安全漏洞审查后，X 将无例外地开源全部代码库。此外，X 还将邀请第三方审查人员核验实际运行的系统，以确认其与公开源代码一致。

ChainCatcher 消息，ZetaChain 宣布，随着其转型为面向 AI 的私有记忆层，将逐步关闭旧有跨链基础设施，转而聚焦 Anuma 以及用户自有记忆、身份、权限、支付和代理等新方向。 根据计划，ZetaChain 已于 2026 年 6 月 1 日关闭平台充值，并开放最终提现窗口。此前 ZetaChain 于 4 月 27 日被攻击者利用跨链消息系统中漏洞，从三个内部团队钱包中盗取 333,868 美元。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台发文称，curl 近日修复了 18 个安全漏洞，涉及认证绕过、内存安全和主机验证等问题，其中 1 个 libcurl 漏洞已存在约 25 年。风险不仅限于 curl 命令行，还广泛波及依赖 libcurl 的应用、SDK、容器、固件、网关及 CI/CD 环境。建议尽快升级 curl/libcurl，并排查是否使用旧版 libcurl，尤其需关注 mTLS、代理认证和连接复用场景。

ChainCatcher 消息，DeFi 借贷协议 Ionic Protocol 在 X 平台发文宣布，由于 2025 年发生的安全漏洞事件影响持续扩大，项目已被迫立即停止全部运营，所有用户需要尽快从其各项部署中撤出资产。Ionic Protocol 补充称此次关闭决定“别无选择”，目前相关服务已进入终止流程。

ChainCatcher 消息，ZEC 财库公司 Cypherpunk在 X 平台发文回应 ZEC 代币市场波动，其表示，所有软件都存在漏洞，历史上比特币曾因错误“多铸”过 1,840 亿枚 BTC。但这并不意味着应放弃区块链技术，而是应通过形式化验证与可证明正确性来增强安全性。 Cypherpunk 强调，随着 AI 技术的发展，漏洞检测将更快、更广，但关键在于谁能在恶意行为者之前发现问题，Zcash 通过即将发布的更新展示其具备这一能力。 此前消息，隐私币 ZEC 因被曝存在可能导致无限增发的安全漏洞而遭遇市场抛售，币价一度单日跌超 50%。

ChainCatcher 消息，Zcash 基金会宣布发布 Zebra 4.5.1 版本更新，用于修复一个共识级安全漏洞，并强烈建议所有节点运营者立即升级。 该漏洞编号为 GHSA-2prc-cj5x-4443，涉及 P2SH 交易中的 sigop（签名操作数）统计错误，可能导致潜在共识分叉风险。此次修复纠正了此前 4.5.0 版本中修补不完整的问题，该版本刚于昨日发布。 Zcash 开发团队表示，问题源于 sigop 计数逻辑在不同实现间存在偏差，可能导致节点在验证交易时产生不同结果，从而影响链上共识一致性。修复方案通过回退并调整 Rust 实现逻辑，确保与协议预期行为一致。 Zcash 基金会强调，目前不存在绕过该问题的解决方案，升级至 4.5.1 是唯一确保节点保持在正确链上并避免潜在分叉风险的方法。

ChainCatcher 消息，StablR 官方在 X 平台发文表示，已识别一起影响旗下欧元稳定币 EURR 与美元稳定币 USDR 的安全漏洞，正积极控制该漏洞并降低影响。保护用户及用户资金安全为其首要任务，将在核实相关问题后尽快公布详情及后续措施。 此前消息，StablR 稳定币遭攻击后脱锚，攻击者已获利约 280 万美元。

ChainCatcher 消息，据 The Block 报道，纳斯达克上市比特币 ATM 运营商 Bitcoin Depot 已向德克萨斯南区法院申请第 11 章破产，以逐步关闭业务。公司 CEO Alex Holmes 表示，监管环境变化使当前商业模式不可持续，各州实施了更严格的合规义务，包括新的交易限额，部分司法管辖区甚至直接限制或禁止比特币 ATM 运营。 4 月该公司遭遇安全漏洞，导致 370 万美元被盗。上周公司称因现金运输对账存在“重大缺陷”，无法按时交付一季度财报。初步未经审计数据显示，一季度营收同比下降 49.2%，净亏损 950 万美元，去年同期为净利润 1220 万美元。公司成立于 2016 年，运营北美最大比特币 ATM 网络，全球拥有超 9000 台机器。

ChainCatcher 消息，Zcash 基金会官方宣布发布 Zebra 4.4.0 版本，此次更新修复了多项共识级关键安全漏洞并强烈建议所有节点运营者立即升级，包括可导致新区块永久停止发现的拒绝服务漏洞、区块签名操作（sigops）计数错误引发的共识分歧、透明交易签名哈希处理异常，以及内存分配放大攻击风险等。Zcash 基金会表示，其中部分漏洞可能导致 Zebra 节点接受被 zcashd 拒绝的区块，从而引发链分叉，若不及时更新，节点可能面临区块发现中断、共识分叉及资源消耗放大等风险，且目前不存在替代性缓解方案。

ChainCatcher 消息，据区块链安全机构 CertiK 监测，Wasabi Protocol 发生安全漏洞，目前已有约 290 万美元资金被盗。初步调查显示，攻击者通过 Wasabi 部署钱包被入侵后获得特权角色，进而实施攻击。 被盗资金目前分散存储于以下地址：0xb8Bb...70dB（约 67.7 万美元）及 0x6244...f906（约 110 万美元），事件仍在持续调查中。

ChainCatcher 消息，据 The Information 报道，Anthropic 与 OpenAI 相继出现安全事件，引发市场对 AI 模型自身安全性的关注。目前，Anthropic 正在调查其 Claude Mythos 模型可能被用户未经授权访问的情况。几乎同时，OpenAI 也被曝在其 Codex 应用中，意外开放了多款尚未发布的模型。业内观点指出，这些漏洞事件强化了对 AI 企业安全治理能力的审视，也反映出当前 AI 技术在快速发展过程中，安全体系仍有待完善。分析认为，即便是主打网络安全能力的 AI 模型提供商，自身仍面临较大安全挑战。在 AI 逐步用于防御网络攻击的同时，其平台安全与访问控制问题同样成为关键风险点。

ChainCatcher 消息，据 CoinDesk 报道，来自加州大学圣巴巴拉分校、加州大学圣地亚哥分校、区块链安全公司 Fuzzland 及 World Liberty Financial 的研究人员联合发布论文，警告称 “LLM 路由器”——即位于用户与 AI 模型之间的中间服务——已成为加密资产安全的重大隐患。 研究人员发现，26 个 LLM 路由器正在秘密注入恶意工具调用并窃取用户凭证，其中一起事件导致客户价值 50 万美元的加密钱包被清空。 此外，研究人员通过 “污染” 路由器生态系统，在数小时内即可控制约 400 台下游主机。由于私钥、API 凭证等敏感数据往往以明文形式经由这些路由器传输，用户实际上在毫不知情的情况下将资产暴露于风险之中。 研究人员指出，随着麦肯锡预测 AI 代理到 2030 年将中介 3 万亿至 5 万亿美元的全球消费商业，币安创始人赵长鹏亦预测 AI 代理的支付量将是人类的百万倍，当前基础设施安全性严重滞后于行业发展速度，“最弱环节”风险或将引发系统性连锁危机。

ChainCatcher 消息，据市场消息，加州大学研究人员近日披露，部分第三方 AI 大型语言模型（LLM）路由器存在安全风险，可能导致加密货币资产被盗。研究显示，LLM 路由器作为 API 中介，能够读取明文信息，部分路由器被发现注入恶意代码并窃取凭证。 团队测试了 28 个付费及 400 个免费路由器，发现有 9 个路由器主动注入恶意代码，2 个部署规避触发器，17 个访问 Amazon Web Services 凭证，甚至有路由器通过研究人员的以太坊私钥转移 ETH。 研究指出，路由器的恶意行为难以检测，且部分 AI 代理框架的“YOLO 模式”可自动执行命令，增加安全风险。研究建议开发者不要让私钥或助记词通过 AI 代理传输，并呼吁 AI 公司对响应进行加密签名以加强安全。

ChainCatcher 消息，据 Decrypt 报道，比特币 ATM 运营商 Bitcoin Depot Inc. 于 3 月 23 日遭受安全漏洞事件，黑客从公司控制的钱包中窃取了约 50.9 个比特币，价值 366.5 万美元。 据悉，攻击者入侵了公司的 IT 系统，并获取了数字资产结算账户的凭证，从而得以在未经授权的情况下转移加密货币。这至少是其已知的第二起安全事件，该公司曾在 2023 年遭遇黑客攻击，导致 5.8 万名用户的个人数据泄露。

ChainCatcher 消息，a16z 支持的隐私链 Aztec Network 正式推出 Alpha Network，成为首个具备完整隐私智能合约执行环境的以太坊 Layer 2，此前已获社群治理投票一致通过。 Aztec 将隐私整合至三个层次：隐私数据支持机密交易与 RWA 转账；隐私身份允许选择性披露以符合合规需求；隐私运算隐藏链上行为，为隐私 DeFi 及游戏应用开辟空间。合约以 Rust 风格语言 Noir 编写，隐私逻辑在用户端执行并生成零知识证明，约每12秒在以太坊完成结算。 然而，此次上线伴随重大警示，Aztec 披露了已知的严重安全漏洞，审计工作仍在进行，团队建议用户仅存入可承受损失的资金。

ChainCatcher 消息，隐私币 Zcash 近期披露并修复一项关键安全漏洞，该漏洞可能被恶意矿工利用，从已弃用的 Sprout 隐私池中转移超过 25,000 枚 ZEC（约合 650 万美元）。安全研究员 Alex “Scalar” Sol 于 3 月 23 日披露，该漏洞源于 zcashd 节点在处理涉及 Sprout 池的交易时跳过了证明验证。 官方表示，该漏洞自 2020 年 7 月以来持续存在，但未被实际利用，用户资金始终安全。开发团队已发布 v6.12.0 版本完成修复，主流矿池已在数日内完成升级部署。此外，未受影响的 Zebra 全节点实现具备触发链分叉的能力，可在漏洞被利用时提供额外保护。 据披露，Sprout 池虽已于 2020 年 11 月关闭新存款，但仍存有约 25,424 枚 ZEC 未迁移。即便漏洞被利用，Zcash 的“turnstile”机制也可防止通胀性增发，确保总供应量不被突破。此次漏洞由 AI 辅助发现，研究员将获得总计 200 枚 ZEC（约 5.1 万美元）赏金。值得注意的是，这并非 Zcash 首次遭遇重大漏洞，早在 2019 年，其曾修复过可导致无限增发的严重缺陷。