攻击事件

ChainCatcher 消息，Galaxy 研究主管 Alex Thorn 表示，围绕 Coldcard 钱包的攻击事件仍在持续发展，目前已经出现更多小型攻击者和模仿者，针对剩余 Coldcard 助记词展开攻击。 Alex Thorn 称，通过协助已确认一名攻击事件中存款用户的身份，相关资金在 Duel 平台能够冻结之前已经被转出，而且涉及的资金并不属于 Galaxy Research 此前识别出的三轮主要攻击浪潮。 此前，比特币硬件钱包 Coldcard 遭攻击，目前被盗资金升至 1367.05 枚 BTC，价值约 8860 万美元，涉及 4585 个地址。Galaxy 研究主管 Alex Thorn 表示，攻击目前仍在进行，尚未迁移资金的用户应立即将资产转出由 Coldcard 生成的地址。

ChainCatcher 消息，Across Protocol 发布 Relayer 安全事件事后报告。攻击者利用 Risk Labs Solana 链下事件读取软件漏洞，伪造 1,627 笔总面值约 4,170 万美元的虚假充值事件。 报告称，Relayer 在暂停 Solana 服务前完成其中 581 笔垫付，涉及约 450 万美元自有资金，其余约 3,700 万美元虚假充值均已失效。 此次事件未涉及智能合约漏洞，所有用户转账均于当天完成或全额退款。Across Protocol 表示，损失仅限于 Risk Labs 自身中继器资本，扣除约 50 万美元攻击者资金后净损失低于 400 万美元。目前 Solana 订单流已改为完全通过 CCTP 路由，ACX 代币收购计划不受影响。

ChainCatcher 消息，Ostium 发布攻击事件更新。其流动性提供者资金库于 7 月 15 日遭到攻击，损失 23,752,746 枚 USDC。初步调查显示，攻击者入侵了向协议提供价格数据的链下基础设施，并提交经伪装的非法价格报告，通过快速开平多笔大额仓位，从资金库中提取人为制造的利润。Ostium 称，交易者抵押品存放在独立隔离的智能合约中，未受此次事件影响，所有交易仓位仍保持开启。团队在首笔攻击交易发生后 60 分钟内暂停交易并冻结全部交易合约。目前，Ostium 正与 Mandiant、zeroShadow、Collisionless、SEAL 911 及执法机构合作，并协调交易平台、桥接合约和稳定币发行方推进调查。工程团队正集中修复并加强相关基础设施，以支持安全恢复交易。Ostium 表示，将至少提前 24 小时通知交易合约解冻。交易恢复后，现有仓位将按重新开放时的价格进行标记，不受暂停期间价格波动影响。受影响的流动性提供者及安全恢复交易仍是当前首要事项。

ChainCatcher 消息，据 The Block 报道，Immunefi 报告显示，2026 年上半年加密项目因 207 起黑客攻击事件累计损失约 9.72 亿美元，虽然攻击事件数创下历史新高，但总损失仍低于 10 亿美元，且不到 2025 年上半年损失规模的一半。 报告指出，DeFi 领域攻击损失已较 2022 年 的 26.2 亿美元峰值下降 74%，降至约 6.803 亿美元，中位数单笔损失同期下降 75%。Immunefi 认为，这一下降与持续的安全覆盖、漏洞赏金计划、审计竞赛以及更多研究人员提前发现漏洞有关。 此外，风险来源正从单纯的智能合约漏洞，转向基础设施故障、私钥泄露、跨链配置错误及特权访问薄弱点。

ChainCatcher 消息，据派盾监测，Taiko 攻击事件已导致约 170 万美元损失。攻击者已将 199 万枚 TAIKO（约 18.9 万美元）转移至 MEXC 交易所。

ChainCatcher 消息，针对 BNB Chain OLPC/LABUBU 流动性池遭遇攻击的相关传闻，PancakeSwap 官方发布回应公告称，平台已留意到本次安全事件相关消息，经初步核查，PancakeSwap 自身智能合约不存在安全漏洞。项目团队仍在持续深挖事件完整诱因，后续掌握更多线索后会第一时间对外同步最新调查进展。同时官方提醒用户，一切相关事件资讯以 PancakeSwap 官方渠道发布内容为准。

ChainCatcher 消息，据 The Block 报道，自 4 月中旬 KelpDAO 跨链桥攻击事件以来，DeFi 总锁仓价值（TVL）已下降约 14%，从约 1720 亿美元降至 1480 亿美元。攻击者利用链下基础设施漏洞而非智能合约漏洞，窃取约 2.92 亿美元，暴露了新的基础设施风险。 资金外流已持续超过五周，表明投资者正广泛撤出边际资本，而非仅针对被攻击的特定协议。借贷作为最大的 DeFi 类别，锁仓量从约 530 亿美元降至 400 亿美元，降幅最大。流动性再质押协议也出现显著下降。KelpDAO 攻击表明，随着智能合约安全性提高，链下基础设施正成为更易被利用的攻击面。

ChainCatcher 消息，“链上侦探” ZachXBT 在其个人频道披露，与欧洲稳定币发行商 StablR 相关的两个合约疑遭到攻击，潜在损失已超过 300 万美元（EURR 与 USDR），攻击者的资金来源是通过 Noble 上的 CCTP 平台。此外，ZachXBT 还公布了目前与本次安全事件相关的 7 个攻击者地址。

ChainCatcher 消息，THORChain 就 5 月 15 日攻击事件发布第四份更新，目前提案 ADR028 已公布，节点运营商投票已开启。根据恢复计划，协议将首先通过协议自有流动性吸收损失，剩余部分由合成资产持有者分担，两者具体分配比例仍在评估中。协议自有流动性将降至零，后续通过系统收入逐步补充。该计划不会增发或出售 RUNE，也不会稀释任何持有者。技术方面，GG20 暂时保留并已完成修补升级，交易将在漏洞修复并成功进行节点轮换后恢复，未来将采用更慢、更具安全意识的发布节奏。与攻击者位于同一金库的无辜节点将受到保护，攻击者节点将被全额罚没，追回的 RUNE 将与追回资产配对，多余部分销毁。协议还向攻击者提供白帽赏金以追回资金，若部分归还则恢复计划按比例回调。THORChain 保持中立且无需许可，交易恢复后不会审查攻击者的 Swap 交易。节点运营商目前正在就提案方向进行投票，ADR 中的数字仅为指示性，后续将通过 Mimir 调整。

ChainCatcher 消息，美国曼哈顿联邦法院法官 Margaret Garnett 批准 Aave 推进 rsETH 攻击事件后的资产恢复计划，允许此前在 Arbitrum 上被冻结的约 7100 万美元 ETH 转移至 Aave 控制的钱包。 法院文件显示，该决定修改了此前针对 Arbitrum DAO 的限制令，允许社区通过链上治理投票完成 ETH 转移，同时豁免参与投票与执行转移者的相关法律责任。此次事件源于 4 月发生的 rsETH 攻击事件，相关攻击被广泛归因于与朝鲜有关联的 Lazarus Group。此前，代表朝鲜恐怖主义受害者家属的律师曾主张冻结相关资产，并尝试将其纳入约 8.77 亿美元未偿判决的赔偿范围。 Arbitrum 社区已在 Snapshot 温度检查投票中，高票支持将被冻结 ETH 返还至 Aave 恢复方案，但实际转移仍需正式链上治理通过。报道指出，该案也是美国相关原告追索朝鲜关联加密资产行动的一部分。除 Arbitrum 外，原告此前还起诉隐私协议 Railgun DAO，并将 Digital Currency Group（DCG）列为被告之一，指控其参与相关治理与经济活动。

ChainCatcher 消息，Mantle 代币持有人已通过 MIP-34 提案，批准向 Aave DAO 提供最高 3 万枚 ETH（约合 6800 万美元）的信用额度。此举旨在帮助解决因 4 月 rsETH 攻击事件导致 Aave V3 产生的潜在坏账问题，该事件造成的坏账估计在 1.237 亿美元至 2.301 亿美元之间。 该提案在为期七天的 Snapshot 投票中获得通过，授权 Mantle 基金会与 Aave DAO 协商并执行最终贷款协议。该信用额度的最终落地，仍需以 Aave 实施其恢复计划并敲定具体条款为前提。 Galaxy Research 报告指出，rsETH 攻击事件曾使 Aave 的 WETH 市场陷入持续紧张状态，资金利用率一度连续 12.7 天保持在 99% 以上。截至 5 月 8 日，Aave 以太坊 V3 的 WETH 市场利用率已回落至约 91.6%，市场压力有所缓解。

ChainCatcher 消息，据 FinanceFeeds 报道，朝鲜的受害者律师在曼哈顿联邦法院听证会前，试图将 Aave 发生的 rsETH 攻击事件重新定义为 “欺诈” 而非 “盗窃”，以维持对价值 7100 万美元 ETH 的冻结令。 律师辩称，攻击者利用无价值抵押品借入资产且未偿还，属于欺诈性贷款交易，旨在根据《恐怖主义风险保险法》将这些冻结资产用于偿还恐怖主义判决赔偿。 此前，与 Lazarus Group 相关的黑客通过跨链桥漏洞铸造无担保 rsETH 并在 Aave 借出约 2.3 亿美元资产，其中 7100 万美元被 Arbitrum 开发人员拦截。受害者律师同时质疑 Aave 的抗辩资格，指出其服务条款声明不对用户资产拥有控制权。此外，DeFi United 已筹集 3.27 亿美元资金，超过此次争议金额。

ChainCatcher 消息，据 The Block 报道，在上月遭遇约 2.92 亿美元桥接攻击后，Kelp DAO 决定放弃 LayerZero，转而采用 Chainlink 的跨链基础设施。 Kelp DAO 将使用 Chainlink 跨链互操作协议，该协议要求 16 个独立节点运营商验证跨链交易，成为攻击后首个离开 LayerZero 的主要协议。攻击事件中，LayerZero 驱动的 OFT 桥接使用了 1-of-1 单验证者配置，47% 的 LayerZero 应用当时使用相同配置。LayerZero 此后宣布停止签名单验证者配置。 Kelp DAO 表示，迁移至 Chainlink CCIP 直接解决了攻击中的架构漏洞。rsETH 还将采用跨链代币标准。作为 DeFi United 救援行动的一部分，LayerZero 已捐赠并向 Aave 贷款共约 1 万枚 ETH。

ChainCatcher 消息，据 Cointelegraph 报道，跨链协议 ZetaChain 披露，其近期约 33.4 万美元漏洞攻击事件所涉及的安全问题，曾在漏洞赏金计划中被研究员提前报告，但当时被项目方视为“预期行为”而未处理。 根据官方发布的事故复盘，本次攻击源于三个原本看似独立、风险较低的设计缺陷组合：Gateway 合约允许任何人发送任意跨链指令；接收端几乎可对任意合约执行调用，且黑名单限制过于狭窄；部分钱包长期保留无限授权（Unlimited Approval）未被清理。攻击者最终通过组合这些缺陷，指示 Gateway 将代币直接转入其控制地址，从而完成资产转移。 ZetaChain 表示，此次攻击共涉及 Ethereum、Arbitrum、Base 与 BSC 四条链上的 9 笔交易，被盗资金均来自 ZetaChain 控制的钱包，用户资金未受影响。官方称，该攻击具有明显预谋性。攻击者在作案前三天便通过 Tornado Cash 为钱包注资，并提前部署专用 Drainer 合约，同时还实施了地址污染（Address Poisoning）攻击。 目前，ZetaChain 已开始向主网节点推送修复补丁，永久禁用任意调用（arbitrary call）功能，并将存款流程中的无限授权机制改为“精确额度授权”。

ChainCatcher 消息，彭博社援引 Jefferies LLC 报告称，上周末一场从小型加密项目中抽走近 3 亿美元的黑客攻击，以及由此引发的最大去中心化借贷平台 100 亿美元资金挤兑事件，可能会减缓华尔街对区块链技术的兴趣。 Jefferies 数字资产研究团队分析师 Andrew Moss 指出，银行、资产管理公司和支付机构过去一年一直在开发与此次被朝鲜黑客利用的技术系统类似的区块链产品。 虽然报告认为此次事件不太可能波及传统金融市场，但警告称，传统金融机构可能会因此暂停脚步，并在进一步推进区块链业务前重新评估相关风险。

ChainCatcher 消息，Polymarket 最新数据显示，市场押注“Kelp DAO 是否会分担此次损失”的当前概率为 25%。 该市场围绕 4 月 19 日 Kelp DAO 桥接遭攻击事件设立。攻击者通过 LayerZero 跨链消息漏洞，从桥接中抽走约 2.92 亿美元的 rsETH，导致 L2 网络上的 rsETH 持有者抵押品 backing受损。 根据 Polymarket 市场规则，如果 Kelp DAO 在 4 月 30 日前宣布或实施让主网 rsETH 持有者共同分担部分或全部损失的机制（而非全部由 L2 持有者承担），则该市场判定为“Yes”，否则为“No”。

ChainCatcher 消息，据 CoinDesk 报道，流动性再质押协议 Kelp DAO 就此前 2.9 亿美元的 rsETH 桥接攻击事件对 LayerZero 的调查报告提出异议。 Kelp DAO 声称，导致此次攻击的单验证器（1/1）配置并非其无视建议的选择，而是 LayerZero 官方指南中的默认设置，且被攻击者利用的验证器网络（DVN）是 LayerZero 自有的基础设施。 此次攻击导致 11.65 万枚 rsETH 被盗，价值约 2.9 亿美元。安全研究人员指出，LayerZero 的公开部署代码在以太坊、币安智能链、Polygon、Arbitrum 和 Optimism 等网络上均默认采用单源验证配置。 LayerZero 随后回应称，将停止为任何使用单验证器设置的应用签署消息，并强制要求进行安全迁移。

ChainCatcher 消息，因 Kelp DAO 攻击者使用盗取的 rsETH 在 Aave 进行抵押并借 ETH，Aave 疑似出现坏账，具体数额暂时不明。 Aave 官方表示：“Aave V3 和 Aave V4 上的 rsETH 市场已被冻结。我们正在审查攻击发生后 Aave 上发生的 rsETH 借款信息，并将尽快分享更多细节。如果协议因本次事件积累了坏账，我们将探索弥补损失的途径。” OKX 行情显示，AAVE 暂报 105.15 USDT，24 小时下跌 9.56%。

ChainCatcher 消息，CoW Swap 发推表示，其已收回 cow.fi 域名控制权，并已在 cow.finance 正常运行一段时间，目前正逐步过渡回原域名。 官方表示，攻击者曾于 4 月 14 日通过伪造文件欺骗 DNS 注册商，获得 cow.fi 域名控制权；攻击者部署高度仿真的钓鱼网站，分两阶段实施：先通过钱包窃取器诱导用户签名恶意交易，后通过假钱包弹窗窃取助记词和密码；此攻击针对域名注册商，并非 CoW Swap 自身基础设施或私钥泄露。受影响用户应使用 Revoke.cash 等工具撤销所有授权，并考虑将资金转移至新钱包。

ChainCatcher 消息，区块链互操作协议 Hyperbridge 披露此前 DOT 攻击事件详情，损失约 23.7 万美元。漏洞根源在于 HandlerV1 合约 VerifyProof() 函数缺少输入验证，未对 leaf_index leafCount 进行校验，导致攻击者可伪造 Merkle 证明。 攻击者借此获得以太坊上桥接 DOT 代币合约的管理员权限，随即增发 10 亿枚桥接 DOT（为合法流通量约 35.6 万枚的 2800 余倍），并在去中心化交易所套现。Hyperbridge 表示，目前正与安全合作方追踪资金，跨链功能将持续暂停至调查完成。