漏洞修复

ChainCatcher 消息，据 Bitcoin News 监测，Lightning Development Kit（LDK）已发布安全更新，修复可能导致恶意节点窃取资金的漏洞。最严重漏洞涉及 Lightning 通道重连。据 Bitcoin Optech，恶意节点可能虚假声称未收到此前已确认的通道更新。 存在漏洞的 LDK 软件随后可能在未正确记录相关交易的情况下签署冲突的承诺交易，使攻击者在转发支付完成后重新获得比特币。LDK 0.2.7 和 0.1.13 版本已修复该漏洞。截至已审查的披露信息，尚未发现由这些特定漏洞造成的已确认损失。

ChainCatcher 消息，XRP Ledger Foundation 在 X 平台发文澄清近期 XRP Ledger 安全漏洞事件，表示该漏洞可能被用于绕过 XRP 总供应量固定为 1000 亿枚的限制，但已于两周前通过 3.4.1 版本修复。并且经核查，未发现有新的 XRP 被创建，目前流通于账本中的 XRP 总量约为 999.86 亿枚。基金会表示，该漏洞需要数百次经过刻意构造的操作才能触发，正常支付交易几乎不会涉及。未来将与 RippleX 及社区加强形式化验证、AI 对抗性测试、安全研究合作及漏洞赏金计划。针对修复流程，基金会解释称，由于公开发布补丁可能使攻击者利用 AI 加速漏洞分析。为应对这一情况，XRPL 社区展开协调。XRP Ledger Foundation、RippleX、核心开发者及验证者等参与方达成社会共识，同意采取直接发布修复程序的方案。此外，3.4.1 版本也是在经过正常修正案投票流程，并获得超过 80% 验证者连续两周支持后，才成为网络必须采用的版本。协议变更仍然需要通过修正案机制完成。此前 RippleX 工程负责人 J. Ayo Akinyele 也在 X 平台发文表示，高度重视近期披露的 XRP Ledger（XRPL）支付引擎关键漏洞问题，该漏洞属于严重安全问题，存在于代码库中超过 10 年，理论上可能导致 XRP 被超额创建，突破固定供应上限。不过，该漏洞在被利用前已通过 Ripple 的漏洞赏金计划被安全研究机构 Veria AI 发现。

ChainCatcher 消息，针对 Veria AI 报告的支付引擎关键漏洞，RippleX 工程负责人 J. Ayo Akinyele 表示，XRP Ledger（XRPL）支付引擎存在超 10 年的严重漏洞，可导致 XRP 超出固定供应量被增发。该漏洞通过漏洞赏金计划发现，尚未被利用。开发团队已发布 xrpld 3.4.1 修复版本，并在公开披露前协调验证者完成网络升级。Akinyele 表示，AI 正加速漏洞发现速度，XRPL 将加大主动安全投入、清理技术债务、推进形式化验证，并系统性消除旧代码中的潜在风险。

ChainCatcher 消息，据安全研究员 BeakSec 披露，Telegram Desktop 此前存在高危漏洞 CVE-2026-107181。攻击者可预先将指令文件放入受害者所在群组，再诱导其点击经浏览器重定向的链接，利用进程间通信命令注入将本地文件发送至攻击者控制的群组；若窃得会话文件且用户未设本地密码，账户可能被接管。研究员称 7.2.8 及之前版本受影响，漏洞已在 9 月 17 日发布的 7.2.9 版本修复。

ChainCatcher 消息，据 Bitcoin News 监测，Core Lightning 表示，攻击者正针对仍运行 26.06.7 及更早版本的节点。9 月 22 日发布的 26.06.8 补丁修复了可能危及资金的通道关闭问题，以及导致崩溃和内存耗尽的漏洞。该项目尚未披露攻击者使用的漏洞名称，也未报告资金被盗情况。尚未升级的节点运营者正成为攻击目标。

ChainCatcher 消息，NEAR Intents 发布安全通报确认遭遇攻击。初步调查显示，漏洞源于 Omni 充提基础设施与合约交互缺陷，目前已完成合约漏洞修复，预计 1 小时内恢复核心服务，并承诺对受损资产进行全额赔付。 NEAR Intents 表示，BSC、Polygon、TON 等多条公链的充提服务将额外暂停约 12 小时，相关案件已报案并展开链上追踪。 随后，链上侦探 ZachXBT 表示，NEAR Intents的 BSC 热钱包出现多笔异常资金流出，被盗资金已转入 KuCoin，并进一步跨链至比特币网络。目前涉案金额超过 380 万美元。

ChainCatcher 消息，据 Bitcoin News 报道，Blockstream 已通知 “白帽” 黑客漏洞已修复，可安全返还 4,000 枚 BTC。此前从 Liquid 网络提取约 4,000 枚 BTC 的黑客表示愿意归还资金，但需待漏洞修复。整个协商过程通过比特币 OP_RETURN 消息公开进行。 黑客最初提议归还 “大部分” BTC，后改口要求先修复漏洞：“请先修复漏洞。最新提交的代码使链面临风险。确保每个节点都已打补丁，然后我们确认修复后会安全归还资金。” 黑客还向 Blockstream 发送了加密的漏洞细节。约两小时前，Blockstream 以 PGP 签名的 OP_RETURN 消息回应：“跨链桥节点已打补丁，可以安全返还资金。” 目前 3,998.5 枚 BTC 仍在黑客控制下。

ChainCatcher 消息，据 Decrypt 报道，谷歌已修复 Chrome 浏览器中一个被黑客利用的高危漏洞 CVE-2026-85046，该漏洞存在于 V8 引擎中，用于运行 JavaScript 和 WebAssembly。 谷歌证实该漏洞已被野外利用，但未披露攻击者身份、目标或漏洞具体利用方式。补丁已包含在 Chrome 152.7977.82/83 版本中，将在未来数天或数周内推送。 该漏洞由安全研究员 Salvatore Gulizia 于 8 月 4 日报告，谷歌奖励其 1,000 美元漏洞赏金。此次更新共包含 12 项安全修复，其中 9 项为高危、2 项为中危。谷歌尚未将此次漏洞与加密资产盗窃事件关联，但浏览器钱包、交易所账户和交易扩展此前已通过其他方式成为攻击目标。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，Core Lightning 26.06.7 版本已发布，修复了过去三周内负责任披露的多个漏洞。针对开源比特币项目的 AI 生成安全报告近期增加，具体漏洞信息将暂时保密两周，以便节点运营者完成升级后再公布技术细节和源代码。开发者警告称，立即公布修复内容可能使攻击者反向分析漏洞，进而攻击尚未更新的节点。所有 Core Lightning 节点运行者均应立即升级。目前 Docker 镜像尚未可用，开发者明确警告用户不要等待 Docker 镜像。

ChainCatcher 消息，以太坊基金会支持的隐私与监管合规工具 0xbow.io 向研究员 ross.wei 发放 5000 美元赏金，以奖励其披露 Privacy Pools v1 SDK 中的漏洞。该漏洞会降低用户账户主密钥生成的熵，已于 3 月修复。团队已提供迁移流程，且未出现用户资金损失。

ChainCatcher 消息，加密钱包 Rabby Wallet 在 X 平台发文称，团队在发现漏洞后已修复并于 8 月 11 日发布更新，移动端应用不受影响。触发该漏洞的条件极为有限：钱包需连接恶意网站，且用户须将自动锁定计时器手动设置为 10 分钟（其他设置均不受影响）。目前未发现野外利用行为。

ChainCatcher 消息，据 Harmony 监测，Harmony 表示正在推进回滚方案，并已与验证者及交易所就具体路径达成一致。铸造漏洞修复已激活，完整的攻击者钱包列表将很快公布。此前，Harmony 网络异常铸造的 ONE 代币数量已超过 3 万亿枚，涉及 6 个异常区块。

ChainCatcher 消息，OpenAI 宣布全面扩展其网络安全计划 Daybreak，旨在利用人工智能加速软件漏洞的发现与自动修复。此次扩展的核心是面向受信任防御者推出的完整版专用模型 GPT-5.5-Cyber。据悉，该模型在 CyberGym 等多项网络安全基准测试中创下最高得分记录，超越了 GPT-5.5 的 81.8% 和竞品 Mythos 5 的 83.8%，可大幅提升漏洞扫描与补丁生成的准确率。同时，同步更新的 Codex Security 插件已深度集成至开发者工作流，支持全自动的代码库扫描、威胁建模及补丁生成。 在生态建设方面，OpenAI 启动了专属合作伙伴计划，允许合规安全服务商将具备特定权限的 GPT-5.5 整合至其商业产品中；并联合 Trail of Bits 等机构发起“Patch the Planet”计划，协助 Python、Go 等逾 30 个基础开源项目落地漏洞修复。此外，OpenAI 透露目前正与美、英、法、日等多国政府和机构展开深度合作，以共同提升全球关键基础设施的网络防御能力。

ChainCatcher 消息，据 The Block 报道，Sui 基金会发布了最近主网三次中断的事故分析报告，将上周四和周五发生的三次网络中断归因于 v1.72 版本升级引入的两个独立漏洞。第一次中断持续约六个半小时，第二次和第三次分别发生在周五早间和下午。 前两次中断源于 v1.72 引入的“地址余额”功能暴露了交易扣费方式的缺陷，当交易因资金不足被取消时，网络仍会支出这些资金，产生负余额导致验证节点对账环节崩溃。基金会承认，周四紧急推送的临时修复方案带有已知的中断风险，团队为快速恢复链上服务而接受了该风险，随后周五早上网络因此再次中断。 第三次中断由另一个未公开的随机状态漏洞引发，发生在验证节点重启安装修复补丁时。Sui 表示用户资金从未面临风险，已修复两个漏洞，并建立了一种强制终止停滞纪元的机制。基金会还表示，有权访问其生产系统的 AI 代理显著加速了诊断过程。

ChainCatcher 消息，隐私币项目 Monero 发布图形钱包软件 GUI 0.18.5 “Fluorine Fermi” 版本，该版本为官方推荐更新，集中完成多项漏洞问题修复。本次更新核心优化内容如下：调整 Windows 系统下 P2Pool 安装路径至本地应用数据目录；完善统一资源标识符极端场景解析逻辑；关闭长支付 ID 模式下离线交易创建功能；二维码扫描环节新增不安全文本转义处理；同步将 P2Pool 程序升级至 4.15 版本，同时一并修正多处细碎程序故障。Monero 官方指出，该版本已在 GitHub 开源发布，用户可通过官方渠道下载升级，以获得最新安全修复与稳定性改进。

ChainCatcher 消息，DeFi United 于周二公布针对 Kelp DAO rsETH 跨链桥漏洞的技术修复计划。此前攻击者利用 LayerZero 驱动的 Unichain 至以太坊桥接漏洞，通过伪造入站数据包释放了 116,500 枚 rsETH，其中约 107,000 枚目前仍以抵押品形式分布在 Aave 与 Compound 的七个关联地址中。 DeFi United 表示已获得足够的 ETH 承诺用于恢复 rsETH 的支撑，将分批转换为 rsETH 并注入桥接锁定合约。LayerZero Labs 周二承诺投入逾 10,000 枚 ETH 支持修复工作。清算攻击者仓位方面，联盟将通过 Aave 与 Compound 治理提案执行受控清算，预计分别追回约 13,000 枚及 16,776 枚 ETH。 修复期间多条链上的 WETH 与 rsETH 储备将维持冻结状态。DeFi United 同时提示执行风险，包括治理审批进度、攻击者可能的干扰，以及新安全措施尚待生产环境验证。

ChainCatcher 消息，中国工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，有攻击者利用针对苹果公司终端产品的漏洞利用工具实施网络攻击活动，可导致信息窃取、系统受控等严重危害。影响范围包括运行 iOS 13 至 17.2.1 的 iPhone、iPad 等苹果公司终端产品。 攻击者通过短信、邮件或网页投毒等方式，诱导用户使用 Safari 浏览器访问包含恶意代码的网页，综合利用终端设备中存在的安全漏洞，向受害终端产品植入远程控制木马，窃取用户敏感信息，获取最高权限并控制。 建议使用苹果公司终端产品的用户做好风险排查，尽快通过升级版本和安装补丁等方式修复漏洞（可参考苹果公司安全更新公告）。留意系统更新通知和苹果公司发布的最新安全更新公告，及时升级最新安全版本，强化使用安全意识，避免点击不明链接，防范网络攻击风险。

ChainCatcher 消息，GoPlus 发布安全警报，Chrome 浏览器漏洞允许恶意扩展程序通过 Gemini 面板提升权限，请立即升级 Chrome 浏览器到 143.7499.192 版本以上。该漏洞允许恶意扩展程序控制 Chrome 浏览器中的 Gemini Live 面板并以此提升权限，从而在未经用户许可的情况下访问摄像头和麦克风、截取屏幕截图、访问本地文件等。漏洞编号为 CVE-2026-0628，谷歌已于 2026 年 1 月初在 Windows/Mac 版本 143.7499.192/.193 和 Linux 版本 143.7499.192 中修复了该漏洞，请立即检查并升级您的 Chrome 版本。

ChainCatcher 消息，据 PMX 官方公告，其 Polycule 交易机器人昨夜被黑客利用漏洞攻击，导致用户资金被盗。目前漏洞源已定位，修复补丁与审计将于本周末上线。官方表示仅约 23 万美元用户资金受影响，待系统恢复后，将通过金库补偿 Polygon 链上受损用户，并使其余额回到被攻击前水平。

ChainCatcher 消息，Flow 基金会更新漏洞事件后的修复进展。Flow 核心开发团队已找到在 Cadence 修复工作进行期间恢复 EVM 功能的方案，EVM 网络预计将在 24 小时内恢复上线。当前正继续第二阶段（Cadence）和第三阶段（EVM）的并行修复，随后进入第四阶段恢复桥接和交易所功能。