慢雾

ChainCatcher 消息，据慢雾余弦监测，针对 FOMO 网页端的书签钓鱼盗币攻击正在出现。此类钓鱼网页会诱导用户完成虚假人机验证，将 JavaScript 恶意代码拖入浏览器收藏夹并保存为书签。用户随后在该书签上点击 2 至 3 次后，此前登录过的 FOMO 账号将被攻击者劫持，账号内加密资产也会被立即盗走。

ChainCatcher 消息，慢雾发布安全警报称，Aave V3 Loop Safe Module 出现安全漏洞，攻击者通过伪造 Safe 身份验证并利用任意 Module 执行，从两个 Safe 多签钱包中窃取约 114.09 ETH。 攻击者通过伪造始终返回真值的 Safe 绕过认证，并利用可任意控制的 router 和 calldata 执行模块交易，转移 weETH 及 Aave 抵押品。攻击者偿还约 1300 枚 WETH 债务后解锁抵押品。

ChainCatcher 消息，慢雾旗下链上追踪平台 MistTrack 监测指出，加密交易平台 Bitget 安全事件的攻击者此前尝试将盗取资金转入跨链 DEX 协议 Chainflip 进行转移，但遭到相关经纪商直接拒绝充值。链上处理结果显示，该笔资金未被协议方冻结，而是直接原路退回，攻击者未能成功利用该渠道完成转移。MistTrack 表示，将继续对该批被盗资金的后续链上动向保持追踪。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，iOS 27 版本之前的系统正被部分黑灰产团伙利用漏洞盗窃 iPhone 用户加密钱包。其提醒用户及时将 iPhone、iPad、Mac 等设备更新至最新版本，谨慎安装来源不明的 App，并谨慎通过 Safari 及 App 内置浏览器打开不明链接。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，Bitget 被盗事件传播广、涉案金额巨大，且相关资金很快被关联至朝鲜黑客。Circle、Tether 等机构已及时协助冻结相关资金，其中 Circle 冻结了黑客持有的 USDC。 针对 THORChain，余弦指出，THORChain 此前自身遭遇被盗事件时，也曾迅速干预其所谓的“去中心化”平台；但此次面对行业重大安全事件，却以“去中心化、无权干涉”为由回应，并将自身与比特币、以太坊相提并论，同时继续从黑客的大额跨链交易中获得手续费。 其表示，去中心化不应只是一句口号，在重大安全事件发生后，关键是分清哪些问题需要行业共同解决。他同时认为，不应轻易将 THORChain 等平台与比特币及以太坊相提并论，不同系统的去中心化程度和机制存在明显差异。

ChainCatcher 消息，据 Cointelegraph 报道，区块链安全公司 SlowMist 表示，其调查尚未将近期引发安全警告的 iPhone Safari 攻击与已确认的加密货币被盗事件关联起来。 SlowMist 向 Cointelegraph 表示，尚未独立确认有受害者因其所分析的特定 Safari 攻击样本而受损，其掌握的最强技术证据覆盖 iOS 18.4 至 18.6.2 版本。该公司称，外界流传的“iOS 13 至 26.5”受影响范围应被视为初步判断，在获得可复现的技术证据前，倾向于避免声称 iOS 26.5 受到影响。 SlowMist 指出，该 Safari 攻击复用了此前披露的 DarkSword 漏洞利用链技术，与另一项涉及 App Store 应用内嵌恶意组件的 FomoPeek 调查相互独立。Google 威胁情报团队（GTIG）曾于 3 月披露 DarkSword，称其为自 2025 年 11 月以来被多个威胁行为者使用的 iOS 漏洞利用链。

ChainCatcher 消息，Bitget CEO Gracy Chen 发文表示，Bitget 正在与独立第三方专家 Mandiant 及慢雾合作，对此次平台安全事件展开全面调查。平台将继续通过官方渠道发布最新进展。 并强调保障用户是 Bitget 当前的首要任务，用户余额保持完整，Bitget 用户保护基金将覆盖此次平台层面事件造成的影响。Bitget Wallet 属于自托管钱包，使用与 Bitget Exchange 完全分离且独立的基础设施，因此未受此次事件影响。 目前，Bitget Exchange 的充值、交易及奖励等功能仍正常运行。提币功能在额外安全核查期间继续暂停，待平台确认能够安全恢复后，将尽快重新开放。

ChainCatcher 消息，慢雾 MistTrack 更新 Bitget 黑客钱包地址，新增标记 7 个 Ripple 网络地址，余额合计约 102,926,478 枚 XRP，约合 1.57 亿美元。 此外还包括 11 个 EVM 地址及 1 个 TRON 地址。其中，EVM 地址合计持有约 67,980.25 枚 ETH、5896.58 枚 BNB、495.625 枚 WETH、218,022.9 枚 USDT 及 99,989.9 枚 USDC；TRON 地址持有约 20,593,376.5 枚 TRX。

ChainCatcher 消息，据慢雾安全预警，MemTensor 旗下 AI 记忆工具链遭到入侵。面向 LLM 与 AI Agent 的开源长期记忆库 MemoryOS (PyPI) 以及连接 OpenClaw 运行时的官方插件 memtensor/memos-cloud-openclaw-plugin (npm) 被植入跨平台 Go 二进制，该恶意程序会在包被加载或导入时触发执行。受影响版本包括：PyPI 上的 MemoryOS==2.34，以及 npm 插件 0.1.21、0.1.23、0.1.25。其中，受影响的 npm 插件还可能造成用户 prompt 内容泄露。慢雾建议采取以下处置措施：卸载或降级至已知安全版本 (npm 0.1.20、PyPI 2.33)；终止 sckit 进程；封禁相关基础设施；检查网络活动；并轮换受影响环境中的凭据。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，相关应用为 FomoPeek，慢雾从未称其为 FOMO App。海外相关安全 KOL 及媒体对此出现误传。

ChainCatcher 消息，慢雾创始人余弦披露，继此前 FomoPeek App 投毒盗币事件后，一款名为 ComeCome 的外卖类 App（comecome.icu）被发现采用类似手法实施攻击。FomoPeek v1.1-1.2 版本内置恶意 SDK，集成 8 种 iOS 内核漏洞利用方案，可根据设备型号及系统版本自动选择攻击方式，已知受影响 iOS 版本覆盖 iOS 12–18.7 及 26–26.1。攻击成功后可突破 iOS 沙箱机制，进而窃取加密钱包资产。余弦提示，此类威胁同样不排除波及 iPad 及 Mac 设备，建议用户立即更新至最新 iOS 版本，并对来源不明的 App 保持高度警惕。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台发文称，黑灰产已实现对 iOS 用户的攻击链条：点击链接提取私钥、助记词；用户使用 Safari 访问网页时，通过 WebKit/JSC 内存损坏获得 JS 层读写能力；绕过 PAC 获得原生调用能力；逃出 WebContent 沙箱；内核提权获取 root 权限，拖走 Keychain 和钱包数据。受影响版本为 iOS 13 至 26.5，建议 iOS 用户抓紧升级。

ChainCatcher 消息，慢雾发布安全预警称，近期收到多起 FomoPeek 用户资产被盗报告，经与 OKX 安全团队联合调查发现，部分受影响用户此前安装或使用过 FomoPeek 1.1–1.2 版本，相关应用包含恶意代码。慢雾称，FomoPeek 中存在与正常业务无关的模块，其中一个包含针对 iOS 系统的内核漏洞利用框架，支持 8 种不同攻击方式，可根据设备型号和 iOS 版本自动选择利用方式。受影响系统包括 iOS 12 至 18.7 以及 iOS 26 至 26.1。若利用成功，应用可能突破 iOS 沙箱并访问、解密 Keychain 数据，从而导致私钥、助记词、登录凭证及其他敏感文件泄露。此外，FomoPeek 还会连接与其公开服务无关的隐藏服务器，并可接收远程指令。慢雾表示，其分析捕获的明文流量显示，相关攻击功能目前处于启用状态，并会定期自动运行。慢雾建议曾安装或使用 FomoPeek 1.1–1.2 版本的用户立即检查资产是否存在异常，在从未安装过该应用的可信设备上生成全新私钥和助记词，并尽快将资产转移至新账户，同时升级至最新 iOS 版本，不要继续使用或重新安装 FomoPeek。

ChainCatcher 消息，据慢雾披露，Core Lightning（CLN）一个实验性功能存在漏洞，可能使用户资金面临风险。Core Lightning 官方表示正在调查该漏洞，建议所有启用实验性功能的节点立即禁用并等待补丁。高风险选项包括 --experimental-dual-fund、--experimental-splicing 和 --experimental-peer-storage。 慢雾称，类似问题曾在 8 月修复，远程对等方可在通道开启或资金调整协议中指定任意甚至零费率，本地节点会在无额外验证的情况下签名并写入数据库，可能迫使节点支付异常费用，甚至触发崩溃循环，导致节点长期离线。 建议节点运营商立即禁用或移除所有实验性参数；不要完全关闭节点，应使用离线模式保留链上监控能力，防止对等方在节点离线时强制关闭通道；待官方补丁发布后验证签名再升级，并警惕冒充官方账号分享的虚假补丁链接。

ChainCatcher 消息，据慢雾监测，一个自至少 2025 年 5 月起活跃的巴西银行恶意软件行动 REF9334 近日被披露。其 KREMLIN 恶意软件生态使用多阶段加载器和恶意浏览器扩展窃取凭证、会话令牌和敏感数据。恶意扩展可通过绕过 Chromium 完整性机制，包括 Secure Preferences、HMAC 和 App-Bound 加密哈希，在未经用户批准的情况下安装到 Chrome 和 Edge 中。该行动还使用以太坊智能合约作为“死信解析器”，动态更新 C2 端点和载荷托管位置。在注册网络 Canary 域名后，分析人员观察到 1515 台受感染主机签到，其中 98.75% 位于巴西。慢雾建议安全团队监控相关恶意软件、浏览器扩展活动及与该行动相关的基础设施。

ChainCatcher 消息，据慢雾预警，已检测到两名攻击者在 BSC 链上复制近期 Notional Finance 漏洞攻击手法。攻击者已完成前期准备，利用相同漏洞模式创建了恶意 fCash 仓位。目前攻击尚未完全执行，恶意仓位正等待到期。一旦到期，攻击者可能结算仓位并从协议中提取资产。慢雾强烈建议受影响项目立即采取缓解措施，在仓位到期前完成防护。

ChainCatcher 消息，据慢雾安全团队披露，其监测到一项伪装成免费 VPS 服务的攻击活动，专门针对运行 iOS 18.4 至 18.6.2 版本的 iPhone Safari 浏览器发起攻击。攻击者利用代号为 DarkSword 的六个漏洞形成完整攻击链，涵盖 WebKit 远程代码执行、沙箱逃逸及内核读写等环节，可在用户无感知的情况下获取 App 容器文件、钥匙串数据，并在 imToken、TokenPocket 或 TronLink 等钱包处于前台时记录键盘输入。慢雾团队表示，上述 6 个漏洞目前均已被 Apple 修复，当前攻击属于 n-day 漏洞链的复用。仅访问恶意页面并不能直接证明助记词或私钥已被窃取，仍需通过设备取证进行确认。建议 iOS/iPadOS 用户尽快将系统升级至 18.7.3 或 26.3 及以上版本。

ChainCatcher 消息，据慢雾余弦监测，某黑客地址涉及一起群体被盗事件，超过 100 个地址、数十名真实用户受影响，原因是私钥泄露，黑客获利约 20 万美元。 该团伙为老团伙，被盗用户可以尝试找出共性。

ChainCatcher 消息，据慢雾监测，Float Protocol 遭闪电贷攻击，损失约 2.8 万美元（10.71 枚 ETH）。攻击者通过闪电贷操纵 Uniswap V3 现货价格（slot0），导致 Hypervisor 合约中 LP 份额定价错误，相关关键函数缺乏 TWAP/ 预言机校验及滑点保护机制。攻击者通过在 V3 资金池中进行大额交易扭曲 currentTick（）与 getTotalAmounts（）数值，随后反复存入和提取被拉高的份额价值以套利。

ChainCatcher 消息，慢雾安全团队近日披露，发现一个冒充 “Qwen 3.8 27B 本地量化模型” 的恶意 GitHub 仓库。该仓库标称模型文件应超过 16GB，而实际下载内容仅约 487KB，内含伪装文件、LuaJIT 解释器及经过混淆的 Lua 脚本。慢雾强调，Qwen 官方项目未被入侵。 慢雾分析指出，该恶意程序运行后会收集主机信息、截取屏幕并发送至攻击者的 C2 服务器；当硬编码服务器失效时，还会从 Polygon 链上合约读取备用 C2 地址，攻击者可通过链上交易轮换基础设施。 后续载荷可窃取浏览器登录信息、Cookie、历史记录、邮箱、WinSCP、Steam 凭证，以及加密钱包相关文件和扩展数据。慢雾还发现，至少 23 个 GitHub 仓库和 29 个类似压缩包使用了相同的 Lua 投递链。