漏洞

ChainCatcher 消息，Visa 已告知支付行业参与者，Crossmint 处理 Meme 币交易时使用的“数字商品媒体”商户类别码并不适用于 Meme 币购买。Visa 已通知包括 Checkout.com 在内的支付处理商停止使用该类别码，并给予相关机构过渡期，预计下周结束。 此前 Robinhood Wallet 和 Fomo 用户可通过 Apple Pay 或 Google Pay 使用 Visa、Mastercard 信用卡购买 Meme 币，相关交易通过 Crossmint 处理，却被标记为电子书、电影等数字媒体交易，从而绕过加密交易分类并获得普通信用卡积分或现金返还。 摩根大通此前向 Visa 提出相关交易分类问题，Visa 随后认定至少一笔交易被错误归类，不应获得信用卡奖励。未来 Meme 币购买需按照加密货币交易进行处理，并适用 Visa 相应的规则和限制。

ChainCatcher 消息，Radix Foundation 发布事件报告称，攻击者利用 Radix Engine 此前未被发现的漏洞，在未经所有者授权的情况下从第三方金库提取资产，并通过 Hyperlane 跨链至以太坊、BNB Chain 和 Solana 等网络后出售。该漏洞源于 2023 年 6 月的一次代码整理，2024 年 8 月 Zellic 进行的独立安全审计也未发现该问题。事件发生约 3 小时后，Radix 验证者通过主动下线足够的质押份额使网络无法继续达成共识，从而阻止漏洞被进一步利用；受影响资产包括 ETH、WBTC、USDT、USDC、BNB 和 SOL 等。Radix 表示，漏洞修复已完成并经过独立审查和测试，目前正推进网络恢复。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，Bitcoin Core 开发者 Niklas Gögge 警告，近期 AI 驱动的漏洞扫描正在改变比特币安全形势，大型语言模型已显著降低漏洞发现成本，攻击者可能仅需数百美元计算成本就能发现灾难性漏洞。针对 Bitcoin Core，Project Loupe、Bitcoin Red Team 及个人贡献者已生成超过 1000 份报告，但截至目前尚未发现高危或严重漏洞。Gögge 表示，依赖更强模型在攻击者之前发现漏洞并非可持续的安全策略，开发者应通过自动化测试、模糊测试和基于属性的测试构建能够提前阻止整类漏洞的测试基础设施。Bitcoin Core 关键组件已累计完成超过 100 年的 CPU 模糊测试，并进行了数十年的比特币节点网络模拟。

ChainCatcher 消息，据 EU-Startups 报道，法国里昂 AI 驱动漏洞操作中心 Hackuity 宣布完成 1600 万欧元（约 1900 万美元）融资，由 Forgepoint Capital International 领投，Bright Pixel、Bpifrance 及 Seventure Partners 跟投，累计融资总额达 3200 万欧元。 本轮资金将用于产品创新、AI 能力提升及欧洲、亚洲市场拓展。Hackuity 平台整合逾 130 款安全工具数据，通过专有风险评分引擎自动化漏洞优先级排序与修复，目前服务超 6000 名用户，保护逾 200 万资产，管理 10 亿条安全发现，客户涵盖 ENGIE、BPCE 及 Orange Cyberdefense 等大型企业。

ChainCatcher 消息，据慢雾披露，Core Lightning（CLN）一个实验性功能存在漏洞，可能使用户资金面临风险。Core Lightning 官方表示正在调查该漏洞，建议所有启用实验性功能的节点立即禁用并等待补丁。高风险选项包括 --experimental-dual-fund、--experimental-splicing 和 --experimental-peer-storage。 慢雾称，类似问题曾在 8 月修复，远程对等方可在通道开启或资金调整协议中指定任意甚至零费率，本地节点会在无额外验证的情况下签名并写入数据库，可能迫使节点支付异常费用，甚至触发崩溃循环，导致节点长期离线。 建议节点运营商立即禁用或移除所有实验性参数；不要完全关闭节点，应使用离线模式保留链上监控能力，防止对等方在节点离线时强制关闭通道；待官方补丁发布后验证签名再升级，并警惕冒充官方账号分享的虚假补丁链接。

ChainCatcher 消息，据 CoinDesk 报道，一名攻击者利用 Safe 多签钱包所授权 Multicall 合约的权限校验缺陷，试图转走约 2900 枚 rsETH（约 780 万美元），但自动交易机器人 yoink 在公开交易池中发现该笔交易，支付约 4.7 万美元手续费抢先成交，截获 2882 枚 rsETH 并转入另一地址。BlockSec、Blockaid、慢雾与 AstraSec 均确认漏洞出在用户自行授权的组件，而非 Safe 核心合约。rsETH 发行方 Kelp DAO 已对接收地址实施 24 小时暂停。

ChainCatcher 消息，据慢雾监测，GitLab CE/EE 存在一个严重的路径遍历漏洞 CVE-2026-85706，CVSS 评分为 10，未经身份认证的攻击者可通过 Repository Commits API 读取受影响 GitLab 服务器上的任意文件。GitLab 已发布安全补丁。受影响版本包括 18.7 起至 19.1.8 之前、19.2 起至 19.2.6 之前、19.3 起至 19.3.2 之前的版本。自管理 GitLab 用户应立即升级至 19.1.8、19.2.6 或 19.3.2，并在打补丁后检查日志和可能暴露的凭证。

ChainCatcher 消息，据 Cointelegraph 报道，欧盟《网络弹性法案》（CRA）于 9 月 11 日正式生效，要求加密硬件与软件钱包提供商在发现被积极利用的漏洞或严重安全漏洞后 24 小时内提交早期预警报告，并在 72 小时内提交完整通知。制造商还需在采取纠正或缓解措施后 14 天内提交最终报告，严重事件则需在一个月内完成上报。 欧盟委员会表示，新报告要求旨在更好地保护消费者和企业免受网络威胁，适用于所有在欧盟市场上架销售的“含数字元素产品”，并建立在欧盟更广泛的网络安全战略之上。根据最终草案的处罚条款，未遵守第 13 条和第 14 条规定的公司可能面临最高 1500 万欧元（约 1730 万美元）或全球年营业额 2.5% 的行政罚款，以较高者为准；提供不正确、不完整或误导性信息也将面临最高 500 万欧元的罚款。 该措施出台前，多家硬件钱包厂商近期披露了用户数据泄露事件。9 月 4 日，Trezor 披露其物流供应商 ShipMonk 遭遇的数据泄露影响约 6.7 万名美国客户，超出最初估计的 1.4 万人；本周 Trezor 与 BitBox 还警告用户警惕伪装成紧急安全通知的钓鱼邮件。6 月，Layer-1 区块链网络 Zilliqa 曾警告其 Ledger 应用存在漏洞，攻击者可能利用公开链上数据恢复用户私钥。

ChainCatcher 消息，据 Cointelegraph 报道，跨链流动性协议 Symbiosis 宣布已从其比特币桥接漏洞中追回 15 枚 BTC（约 110 万美元），并存入团队控制的多签钱包。此次漏洞发生于上周五，攻击者利用协议漏洞铸造 461 亿枚无抵押代币，实际获利 4.3 枚 WBTC（约 33.6 万美元）。Symbiosis 此前曾向攻击者提供 20% 白帽赏金要求归还资产，但截止日期已过、攻击者未予回应。目前协议已转而向任何能提供线索协助追回资产的人士提供 20% 赏金，同时承诺将公布对受影响流动性提供者的赔偿方案，受影响的比特币桥接功能仍处于暂停状态。

ChainCatcher 消息，链上安全平台 Blockaid 发现，跨链协议 Symbiosis 的比特币桥存在漏洞，攻击者向新建外部拥有账户铸造约 2^62 枚 syBTC，按 8 位小数计算面值约 461 亿美元，并在 Ethereum 的 Uniswap V4 卖出约 4.39 枚 WBTC，已实现套现约 33.6 万美元。Symbiosis 表示，攻击发生于 9 月 11 日 4 时 28 分左右，团队已暂停 BTC 路由，其他路由仍可运行且未受影响。团队已追回约 15 枚比特币，并将其存入由团队控制的多签钱包，同时向攻击者提供资金 20% 的白帽赏金，截止时间为 9 月 13 日。近几周内，Liquid Network、Nomic 与 Symbiosis 均出现通过铸造无真实资产支持代币扩大供应的安全事件。截至 9 月 13 日，Symbiosis 尚未公开 BridgeV2 技术复盘、最终损失金额或攻击者是否接受赏金的确认。

ChainCatcher 消息，据 Decrypt 报道，国际清算银行发布的一份新报告显示，先进的 AI 技术缩短了银行在攻击者利用软件缺陷之前修复缺陷的时间窗口。其警告称，周期性的安全评估和预定计划的补丁更新已愈发不足以应对挑战，从漏洞被发现到被利用之间的时间窗口已从数周缩短至数分钟。该报告重点关注银行的应对能力，主张金融机构必须加快软件修复速度，并加速相关的授权决策流程。

ChainCatcher 消息，据 SlowMist 安全警报，ether.fi 的 AtomicQueue 合约因 solve() 函数缺乏访问控制，导致约 15.45 枚 ETH 被盗。攻击者利用 updateAtomicRequest() 创建恶意请求，强制受害者地址作为 solver，随后 AtomicQueue 调用受害者的 finishSolve 并执行 want.transferFrom，滥用受害者已有的 ERC-20 授权转移资金。SlowMist 已先私下向 ether.fi 团队披露，攻击者地址和漏洞合约地址已公布。

ChainCatcher 消息，据 Bitcoin News 监测，DART 表示，其与独立白帽研究人员已从受 COLDCARD 熵漏洞影响的钱包中救回超过 50 枚 BTC，并在恶意攻击者盗取前完成转移。DART 是一家数字资产追回组织，与白帽研究人员合作保护存在漏洞的资金，并协调将其合法返还给所有者。白帽研究人员未要求悬赏，将把比特币返还给所有者。获救的 BTC 已转入 Crypto Recovery Trust。该信托是依据 Wyoming 州法律设立的专用法定信托，用于持有追回的数字资产，并在确认和核实合法所有者后进行返还。信托将记录追回过程，将 BTC 与 DART 及研究人员的资金分离，开展区块链分析、所有权核查和制裁筛查，并为经核实的所有者提供合法返还流程。若所有权存在争议，或相关资金涉及制裁或刑事程序，BTC 将按照适用法律程序处理。DART 表示，其他存在漏洞的资产及追回线索仍在审查中。

ChainCatcher 消息，Liquid Network 发布最新进展称，紧急版 Elements v23.3.4 现已上线，Functionary 节点已立即开始升级，并建议所有 Liquid 节点运行者同步更新。该版本针对此前发现的 Proof 验证缓存漏洞进行修复，强化了 Range Proof 使用的缓存键。 关于网络恢复，Blockstream 称目前仍在制定恢复方案，预计分三个阶段推进：恢复出块但继续暂停 Peg 操作；重放已验证有效的交易；在网络状态完全恢复并确认资金返还后恢复 Peg 操作。目前前两个阶段正在并行测试，任何阶段只有在确认安全后才会推进。Liquid Network 表示，Elements v23.3.4 已完成多轮内部及外部审查，参与方包括 Bitcoin Red Team、Alpen Labs 等团队。 同时，Liquid Network 提醒用户警惕利用此次事件实施诈骗的假冒升级网站，仅应通过官方 Liquid Network 及 Blockstream 渠道获取信息，切勿向陌生人发送资金或泄露私钥、助记词。

ChainCatcher 消息，据 Bitcoin News 监测，Liquid 漏洞利用事件背后的白帽黑客团伙指责 Blockstream 仅花费 150 万美元，甚至可能未花费任何资金，为价值 50 亿美元的资产提供安全保障。 该团伙在一条新的链上消息中要求 Blockstream 使用自有资金支付相当于相关资产 10% 的漏洞赏金，并警告称拒绝支付将导致持有者亏损 15%。 该团伙还表示，将公布用于解密此前与 Blockstream 对话内容的私钥。此前，该团伙已向 Liquid Federation 返还 3,400 枚 BTC，仍有约 600 枚 BTC 尚未返还。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，Alby 确认 Alby Hub v1.7.0 至 v1.18.5 存在关键漏洞，若管理 API 暴露于公网，攻击者可能获得未授权访问权限并转移资金。目前已知有 1 名用户受到影响，Alby Hub v1.19.0 及更高版本不受影响。Alby 建议受影响用户限制管理界面的公网访问，立即更新至 v1.24.0，并在更新后更改解锁密码。Bitcoin Team Red、Project Loupe 及其他研究人员报告的多个问题也已在最新版本中修复。

ChainCatcher 消息，据 Bitcoin News 监测，Liquid Federation 发布事件报告称，攻击者利用 Elements 范围证明验证缓存漏洞，铸造约 4000 枚无储备 L-BTC，随后通过 SideSwap 获授权的退出锚定路径将其兑换为真实 BTC。Liquid 职能机构将相关交易视为有效，并从联邦储备中释放约 4000 枚 BTC。事件发生前，Liquid 持有约 4205 枚 BTC，暂停运营前储备最低降至 197 枚 BTC。自称白帽的攻击者此后已返还 3400 枚 BTC，仍有约 598.5 枚 BTC 未返还。未有私钥遭泄露，退出锚定机制本身按设计运行。Liquid 目前仍处于离线状态，Blockstream 正准备发布 Elements v23.3.4 紧急版本，并着手在 1:1 比特币储备支持下恢复网络。

ChainCatcher 消息，据官方消息，The Sandbox 宣布正式开放 SAND 补偿申领。此前在 8 月 22 日发生的 Base 和 BNB Smart Chain（BSC）网络 SAND 跨链合约漏洞事件中受到影响的用户，如在事件发生前持有受影响网络上的桥接版 SAND，可按 1:1 比例获得以太坊网络上的 SAND 全额补偿。补偿资格以事件发生前的链上余额快照为准，与用户在事件发生后的交易、转账或持仓行为无关。 The Sandbox 表示，补偿资格基于合约遭劫持前记录的链上余额确定，Base 网络快照对应 2026 年 8 月 21 日 23:42:03 UTC 的区块 50283188，BSC 快照对应 2026 年 8 月 21 日 11:42:44 UTC 的区块 117322025。 通过中心化交易平台持有 Base 或 BSC 网络 SAND 的用户无需采取任何行动，The Sandbox 正与相关交易平台协调处理补偿；通过个人钱包持有的用户则需要自行进行申领。申领时间为 9 月 8 日至 9 月 22 日 24:00（UTC+8）。申领仅需由事件快照时持有 SAND 的原钱包发起一笔交易，无需代币授权、无需签署链下消息，也无需向任何地址转账。

ChainCatcher 消息，硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 在 X 平台发文称，人工智能使漏洞更容易被发现和利用，但部分研究人员在修复方案发布前就公开细节，他将这种做法称为“利用他人风险博取关注”。Guillemet 敦促研究人员先私下报告漏洞，并就修复时间表达成一致后再公开细节，他以 90 天作为常见默认期限，同时表示可根据漏洞严重程度和修复所需工作量灵活调整。Trezor 安全主管 Jan Komárek 对 Cointelegraph 表示，90 天是对厂商的承诺，而不仅仅是研究人员的义务。他建议研究人员先联系厂商、商定时间表，若厂商未能在该期限内完成修复，则可选择公开披露。此番表态的背景是硬件钱包安全性近期受到密切关注：Coldcard 被盗事件涉及金额超过 1 亿美元，Trezor 的物流供应商数据泄露也影响了数万名客户的个人信息。

ChainCatcher 消息，据 Bitcoin News 报道，Blockstream 已通知 “白帽” 黑客漏洞已修复，可安全返还 4,000 枚 BTC。此前从 Liquid 网络提取约 4,000 枚 BTC 的黑客表示愿意归还资金，但需待漏洞修复。整个协商过程通过比特币 OP_RETURN 消息公开进行。 黑客最初提议归还 “大部分” BTC，后改口要求先修复漏洞：“请先修复漏洞。最新提交的代码使链面临风险。确保每个节点都已打补丁，然后我们确认修复后会安全归还资金。” 黑客还向 Blockstream 发送了加密的漏洞细节。约两小时前，Blockstream 以 PGP 签名的 OP_RETURN 消息回应：“跨链桥节点已打补丁，可以安全返还资金。” 目前 3,998.5 枚 BTC 仍在黑客控制下。