黑客攻击

ChainCatcher 消息，据 Arkham 监测，Kyber Network 黑客正在将被盗资金转移至 Tornado Cash。该黑客 Andean Medjedovic 曾于 2023 年末从 KyberSwap 窃取 4,880 万美元资金，此前还曾攻击 Indexed Finance 并窃取 1,650 万美元。其已于 2025 年遭 FBI 起诉。

ChainCatcher 消息，去中心化预测市场平台 Polymarket 疑遭黑客入侵，威胁行为者 xorcat 在一知名网络犯罪论坛发布了逾 30 万条数据记录及配套漏洞利用工具包。 据称，攻击者通过未公开的 API 端点、分页绕过及 Polymarket Gamma 与 CLOB API 的 CORS 错误配置提取数据。泄露内容包括：1 万个用户完整个人信息（含姓名、代理钱包及基础地址）、4111 条评论、1000 条举报记录（含 58 个 ETH 地址及管理员认证地址标识）、48536 个 Gamma 市场元数据、逾 25 万个活跃 CLOB 市场的固定乘积做市商地址，以及 9000 个关注者社交图谱数据。 工具包中包含多个漏洞的概念验证代码，涉及 CVE-2025-62718（Axios NO_PROXY 绕过，CVSS 9.9，可触发服务端请求伪造）、CVE-2024-51479（Next.js 中间件认证绕过，CVSS 7.5）及 CORS 错误配置等。此外，工具包还附有自动化持续拉取脚本及完整红队报告。

ChainCatcher 消息，据 CertiK 高级区块链调查员 Natalie Newson 表示，实时深度伪造、网络钓鱼、供应链攻击及跨链漏洞将是加密黑客攻击的主要根源。迄今行业已因黑客攻击损失逾 6 亿美元，其中包括发生的 Kelp DAO 2.93 亿美元漏洞事件及 Drift Protocol 2.8 亿美元被盗事件，两起事件均与朝鲜黑客组织有关。Newson 警告称，AI 加速发展将使攻击手段更加复杂，包括更逼真的深度伪造、自主攻击代理及可自动扫描智能合约漏洞的 “代理 AI”，但 AI 同时也可作为防御工具。CertiK 建议投资者核实 URL 真实性、使用冷钱包存储资产以降低风险。

ChainCatcher 消息，彭博社援引 Jefferies LLC 报告称，上周末一场从小型加密项目中抽走近 3 亿美元的黑客攻击，以及由此引发的最大去中心化借贷平台 100 亿美元资金挤兑事件，可能会减缓华尔街对区块链技术的兴趣。 Jefferies 数字资产研究团队分析师 Andrew Moss 指出，银行、资产管理公司和支付机构过去一年一直在开发与此次被朝鲜黑客利用的技术系统类似的区块链产品。 虽然报告认为此次事件不太可能波及传统金融市场，但警告称，传统金融机构可能会因此暂停脚步，并在进一步推进区块链业务前重新评估相关风险。

ChainCatcher 消息，据 Volo 官方公告，Sui 网络上的 BTCFi 与 LST 协议 Volo 发生安全漏洞事件，约 350 万美元资产（含 WBTC、XAUm 及 USDC）从三个特定 Vault 中被盗。事件发生后，团队已立即通知 Sui 基金会及生态合作伙伴，并冻结全部 Vault 以阻止损失扩大。Volo 表示，此次漏洞仅涉及三个 Vault，其余 Vault 不存在相同攻击向量，其他约 2800 万美元 TVL 资产安全无虞。官方强调将自行承担本次损失，不会将损失转嫁给用户，并将在调查完成后发布完整事后报告及补救方案。

ChainCatcher 消息，Curve 创始人 Michael Egorov 发文称，近期 DeFi 中大量本可避免的安全事件，根源在于中心化单点故障，这正在损害整个行业。他以 Aave 与 rsETH 事件为例表示，相关问题应在事故发生前被预防，而非事后补救。他呼吁行业共同制定 DeFi 安全标准，减少单点故障，并让项目方、审计机构与风险评估团队共享最佳实践；其还建议可由以太坊基金会与 Solana 基金会协调生态参与制定安全原则与规则。

ChainCatcher 消息，链上数据显示，Kelp DAO 基于 LayerZero 的 rsETH 桥接协议疑似遭黑客利用，损失 116,500 个 rsETH，价值约 2.92 亿美元。 Kelp DAO 官方表示，已发现涉及 rsETH 的可疑跨链活动，现已暂停主网和多个 Layer2 上的 rsETH 合约，正在与安全专家合作，后续将通报最新情况。

ChainCatcher 消息，据 RHEA Finance 官方披露，NEAR 生态借贷协议 RHEA Finance（前身为 Burrow Finance）保证金交易功能遭到黑客攻击，损失约 1840 万美元。攻击者于事前数日开始布局，通过在 Ref Finance 上创建多个假代币池并注入流动性，构建恶意交换路由，利用协议滑点保护机制漏洞——该机制在计算多步骤交换的最小输出时未考虑中间代币被重复使用的情形——致使借出的债务代币被导入攻击者控制的假代币池，触发大规模强制清算，最终耗尽协议储备池。攻击期间，攻击者共删除 55 个中间账户以掩盖踪迹。目前，攻击者已向 RHEA 借贷合约归还约 335.9 万枚 USDC 及 156.4 万枚 NEAR，另有 434 万枚 USDT 遭冻结（其中 Tether 冻结 329.1 万枚，NEAR Intents 冻结 105.3 万枚）。协议合约已暂停运行，团队正与中心化交易所展开联合追踪，并已通知相关执法机构。

ChainCatcher消息，据 Cointelegraph 报道，自 4 月 1 日 Drift Protocol 遭受 2.8 亿美元攻击以来，短短两周多时间里，至少有 12 个 DeFi 协议和加密货币企业遭到攻击。 自 4 月初以来，针对加密协议或公司的攻击包括 CoW Swap、Hyperbridge、Bybit、Dango、Silo Finance、BSC TMM、Aethir、MONA、Zerion，以及最近的 Rhea Finance 和 Grinex 交易所。  其中，DeFi 协议 Rhea Finance 报告称，攻击者“利用 Rhea 保证金交易功能中的一个漏洞执行了一次协同资金池操纵攻击”，影响了 Rhea Lend 智能合约。据区块链安全公司 CertiK 称，被盗资金约有 760 万美元。

ChainCatcher 消息，针对近期发生的“ListaDAOLiquidStakingVault”合约被攻击事件，ListaDAO 官方发布声明澄清，该被攻击合约并非官方部署，而是由未经验证的第三方使用相似名称创建的仿冒合约。ListaDAO 的官方合约均未受到该事件影响。 据 GoPlus 安全团队深入分析，此次攻击发生在 2026 年 4 月 16 日，根本原因在于该第三方合约存在业务逻辑缺陷。当进行代币转账时，会触发 Dividend.setShares() 函数并改变合约内的份额记账，进而影响了 claimReward() 函数中的奖励计算。攻击者正是利用这一漏洞耗尽了该合约内的资产。 GoPlus 提醒，由于该逻辑漏洞同时存在于上述两段合约代码中，任何分叉或复用该代码的开发项目均面临高被利用风险。建议相关开发者及时进行代码排查与修复，并引入持续审计机制以保障智能合约安全。

ChainCatcher 消息，据市场消息，区块链安全公司 Hacken 发布的报告显示，Web3 项目在该季度共因黑客攻击和诈骗损失 4.645 亿美元，其中钓鱼与社会工程攻击占 3.06 亿美元，成为主要损失来源。1 月发生的一起硬件钱包骗局造成 2.82 亿美元损失，占季度总损失的 81%。智能合约漏洞导致损失 8620 万美元，访问控制失败（包括密钥和云服务被攻破）造成 7190 万美元损失。报告指出，最大安全事件多发生在链外操作与基础设施层，传统审计难以覆盖。欧洲监管框架 MiCA 与 DORA 正加大对安全监控和事件响应的要求，全球监管机构也在提升实时监控与应急响应标准。

ChainCatcher 消息，加密 ATM 运营商 Bitcoin Depot 披露，其在一次网络安全事件中损失约 50.9 枚比特币，按当前价格约合 370 万美元。根据提交给美国证券交易委员会（SEC）的文件，此次攻击发生于 3 月 23 日，黑客获取了与公司企业级比特币钱包相关的凭证，从而入侵部分内部系统，Bitcoin Depot 公司表示，客户账户、平台及个人数据未受到影响。

ChainCatcher 消息，据市场消息，比特币 ATM 运营商 Bitcoin Depot 向美国 SEC 提交文件披露，公司遭遇网络安全攻击，黑客通过入侵 IT 系统获取数字资产结算账户凭证，从公司钱包窃取约 50.9 枚 BTC，价值约 366.5 万美元。事件发生后，公司已启动应急响应程序，聘请外部网络安全专家介入调查，并通知执法部门。公司表示，客户平台及用户数据未受影响。此次事件被公司列为重大事项，或引发声誉损失及法律、监管等额外成本。

ChainCatcher 消息，据派盾监测，曾窃取 2.85 亿美元加密货币的 Drift Protocol 黑客在 Solana 网络上向 ChangeNow 转移 185 枚 SOL，价值 1.5 万美元。

ChainCatcher 消息，链上侦探 ZachXBT 发布一份针对 Circle 的调查报告，称自 2022 年以来，该公司在多起涉及非法资金的事件中存在“合规执行不力”的问题，累计涉及金额超过 4.2 亿美元。 报告指出，Circle 作为 USDC 的发行方，一直以受监管、合规体系完善著称，其代币合约也具备冻结和拉黑地址的功能，并在服务条款中明确保留对可疑账户进行限制的权利。然而在多起重大安全事件中，这些机制并未被及时有效地使用。 报告重点提及 2026 年 4 月 1 日的 Drift Protocol 被攻击事件，约 2.8 亿美元资产被盗，攻击者通过 Circle 自有跨链桥 CCTP，在 6 小时内将超过 2.32 亿 USDC 从 Solana 转移至 Ethereum，但期间未有任何资产被冻结。类似情况还出现在 SwapNet、Cetus Protocol 以及 Mango Markets 等攻击事件中，部分案例中即便执法机构和行业专家已发出冻结请求，Circle 仍未及时采取行动，甚至在资产已被转移后才进行处理。 此外，报告还指出，在涉及黑客组织 Lazarus Group 的资金洗钱调查中，Circle 相较于其他稳定币发行方（如 Tether、Paxos 等）反应明显滞后。在部分案例中，冻结操作延迟长达数月。类似的延迟也出现在 Ledger 供应链攻击以及 GMX 被攻击事件中，USDC 在可疑地址停留数小时甚至更久，仍未被冻结。 ZachXBT 在报告中表示，此次披露并非否定 Circle 的产品或稳定币本身价值，但强调其合规执行上的决策已对行业造成“真实且重大的损失“。 他指出，过去三年中，由于多次未及时采取行动，DeFi 生态累计损失达九位数美元，而 4.2 亿美元仅为公开案例的保守统计，实际规模可能更高。

ChainCatcher 消息，据 DefiLlama 数据显示，2026 年第一季度，黑客共从 34 个去中心化金融（DeFi）协议中窃取逾 1.686 亿美元加密资产，较 2025 年同期的 15.8 亿美元大幅下降，彼时的高额损失主要源于 Bybit 14 亿美元被盗事件。 本季度最大单起攻击为 1 月发生的 Step Finance 私钥泄露事件，损失约 4000 万美元；其次为 1 月 8 日 Truebit 遭智能合约漏洞攻击，损失 2640 万美元以太坊；第三为 3 月 21 日稳定币发行商 Resolv Labs 私钥被盗事件。