goplus

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合约漏洞攻击频发，特别是部署多年历史悠久的老合约正成为攻击者重点目标，攻击者正利用 AI 技术快速发现并利用这些漏洞。 近期典型事件包括： 6月9日，部署于7年前的Token of Power（TOP）合约在以太坊上被攻击，损失约150万美元； 5月25日，部署3年的WUSD.fi合约遭攻击，损失约20万美元； 6月14日与6月18日，Aztec Network连续两次因2年前部署的老合约被攻击，总损失超过400万美元。 GoPlus Security 认为，传统审计方式难以有效覆盖历史遗留合约，采用基于 AI 的持续审计（Always-on Audit）服务可能是当前最有效的解决方案，能够在短时间内对老合约进行安全检查，在可靠性和成本之间取得平衡。

ChainCatcher 消息，GoPlus 在 X 平台发文称，Meta 账户恢复功能被曝存在高危设计缺陷，会直接泄露用户手机号、邮箱和 PII（个人敏感信息）。攻击者仅需输入 META 用户名，无需任何登录或验证，即可直接获取用户绑定的邮箱、手机号等完整 PII，这可能对用户带来大量危害，如：大规模钓鱼攻击、SIM 卡交换攻击、账号接管与身份盗用、精准社会工程学攻击。 建议：移除或更换已泄露的邮箱/手机号作为恢复方式；修改相关账号密码并启用 2FA；不点击任何“账户异常”“验证”“重置密码”相关的邮件或短信；设置多渠道验证，可通过官方文档或官方其他社交媒体渠道核实。

ChainCatcher 消息，据 GoPlus 预警，某用户因签署了恶意 Permit2 交易，被钓鱼者转走价值约 31.6 万美元的 USDC。

ChainCatcher 消息，GoPlus 发布安全警报称，韩国版凉兮、合约直播 KOL 西八姐 @jadoodoo_ 的 X 账号被盗，正以合作名义疯狂私信粉丝发送钓鱼链接。已有多个 KOL 中招，总损失约 5,000 美元。请不要点击连接钱包或下载恶意软件。

ChainCatcher 消息，针对 “DxSale 被指利用后门抽走 730 万美元流动性资金” 一事，安全公司 GoPlus 表示，该攻击或为内鬼作案，仍有 1550 万美元资金和 LP 急需自救。GoPlus 建议项目方立即检查其项目 LP 是否锁定在 0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448 合约，如有请立即采取措施撤出。因初始资金来源为 Bybit，建议 KYC 溯源；最终出金渠道为多个币安地址，建议相关安全团队提交链上证据申请冻结攻击者地址。GoPlus 呼吁项目加强安全机制，关键管理员函数必须有时间锁，Owner 权限必须使用多签。GoPlus 强调，截至目前 DxSale 尚未发出任何公开的事件响应声明，其沉默本身也值得关注。

ChainCatcher 消息，据 GoPlus 安全警报，X 平台上出现推介黑 U 和反洗钱检测网站的钓鱼诈骗活动。经调查，该网站为部署在 Vercel 托管平台的钓鱼网站，目的是骗取用户钱包授权，请勿交互。 GoPlus 建议：尽量避免私下交易，使用中心化交易所的 OTC 功能；对陌生链接保持高度怀疑，尤其是需要钱包签名或授权的操作；牢记防钓鱼“四不选择”：不点陌生链接、不安装来历不明软件、不签署不明内容交易、不向未验证地址转账。

ChainCatcher 消息，据 GoPlus 分析，稳定币协议 StablR 在以太坊上多签合约的安全设置问题（多签阈值为 1），以及持有者私钥被窃取，导致 StablR $EURR、$USDR 稳定币脱锚 20%，攻击者已获利约 280 万美元。

ChainCatcher 消息，GoPlus Security 表示，一名用户遭遇典型地址投毒攻击，因从交易历史复制相似地址，误将 100,000 枚 DAI 转入攻击者伪造地址。事件中，该用户此前曾向目标地址转入 300,000 枚 DAI，攻击者随后使用前后字符相近的地址向其发送 0.0003 枚 DAI，诱导其在第二次转账时误选地址。GoPlus Security 提醒，勿从交易历史复制地址，转账前应核对完整地址，并在大额转账前先进行小额测试。

ChainCatcher 消息，据 GoPlus 发布，过去 36 小时内新增两起公开私钥泄露事件，总损失 23.8 万美元。其中 0xUnihax0r 损失 20 万美元，其曾上传过交易 Bot 和 Telegram；@Eli5defi 的被盗地址与之前 574 个地址的大规模私钥泄露事件存在关联。GoPlus 表示，鉴于此类集中性大规模私钥泄露，建议立即按照私钥泄露自检清单排查风险。

ChainCatcher 消息，据 GoPlus Security 发推表示，过去 48 小时内，以太坊主网上接连发生 4 起智能合约攻击，总损失已超过 150 万美元。 其中包括，Onchain 聚合器合约被攻击，损失约 98.3 万美元；TradingProtocol 相关第三方金库合约被盗，损失约 39.8 万美元；BCB 合约因重入漏洞被攻击，损失约 3.98 万美元；某合约因任意调用漏洞导致 QNT 资产损失约 12.49 万美元。 GoPlus Security 警告，随着 AI 技术进入战场，黑客攻击正变得更加精准和迅速，漏洞从“几天”被发现压缩到了“秒级”。

ChainCatcher 消息，针对近期发生的“ListaDAOLiquidStakingVault”合约被攻击事件，ListaDAO 官方发布声明澄清，该被攻击合约并非官方部署，而是由未经验证的第三方使用相似名称创建的仿冒合约。ListaDAO 的官方合约均未受到该事件影响。 据 GoPlus 安全团队深入分析，此次攻击发生在 2026 年 4 月 16 日，根本原因在于该第三方合约存在业务逻辑缺陷。当进行代币转账时，会触发 Dividend.setShares() 函数并改变合约内的份额记账，进而影响了 claimReward() 函数中的奖励计算。攻击者正是利用这一漏洞耗尽了该合约内的资产。 GoPlus 提醒，由于该逻辑漏洞同时存在于上述两段合约代码中，任何分叉或复用该代码的开发项目均面临高被利用风险。建议相关开发者及时进行代码排查与修复，并引入持续审计机制以保障智能合约安全。

ChainCatcher 消息，Web3 钱包基础设施 Claw Wallet 宣布与 GoPlus 达成战略合作。Claw Wallet 已集成 GoPlus 旗下的 SafuSkill Launchpad，支持 AI 技能（Skill）的资产化与代币化，赋能开发者通过 GitHub 验证获取持续链上收益。 同时，Claw Wallet 引入 GoPlus AgentGuard 安全扫描技术，通过多维度评分系统，对 AI Agent 的代码、敏感数据及运行环境进行实时监控与风险可视化。此次合作旨在提升 AI Agent 钱包的安全性，并完善其生态激励机制。

ChainCatcher 消息，据 GoPlus 中文社区披露，某用户因签署恶意 Permit2 交易，导致其钱包中约 316,000 美元的 USDC 被钓鱼者转走。 GoPlus 建议用户遵守防钓“四不”原则：不点击陌生链接、不安装来历不明软件、不签署不明内容交易、不向未验证地址转账，并推荐安装 GoPlus 安全插件以实时拦截钓鱼风险。

ChainCatcher 消息，据 GoPlus Security 披露，一款名为 Infiniti Stealer 的窃密恶意软件正通过 “ClickFix” 社会工程学攻击手法，针对 Mac 用户的加密钱包及敏感凭证实施窃取。 攻击者伪造高度仿真的 Cloudflare 验证码页面，诱导用户打开终端并手动粘贴执行恶意命令。命令执行后，脚本将移除 macOS 隔离属性，并将后续载荷写入 /tmp 目录静默运行。最终载荷为经 Nuitka 编译的原生 macOS 二进制文件，大幅提升了安全工具的检测难度。Infiniti Stealer 一旦部署，可窃取 Chromium / Firefox 浏览器凭证、macOS 钥匙串、加密钱包及开发者密钥文件（如 .env 文件），并具备沙箱检测与延迟执行能力以规避追踪。

ChainCatcher 消息，据 GoPlus Security 发布的安全警告，Silverfort 安全研究人员在 OpenClaw 的技能仓库 ClawHub 中发现严重漏洞。攻击者可通过调用内部函数 downloads:increment 绕过所有防护机制，仅凭一条 curl 请求即可将下载量在数分钟内刷至 2 万次以上，从而将含恶意代码的技能推至搜索排名第一，诱导用户或 AI Agent 自动安装。恶意技能一旦运行，可窃取加密钱包、API 密钥等敏感数据。目前该漏洞已在 24 小时内完成修复。GoPlus 提示用户，高下载量不等于安全，建议使用 AgentGuard 进行安全扫描与防护。

ChainCatcher 消息，据 Arkham 数据，在 15:54，16 亿枚 GPS（价值约 1231 万美元）从 GoPlus 转出至一合约地址（0x7448...开头）。

ChainCatcher 消息，据 GoPlus 安全监测，某 0x9709 开头地址签署了恶意的 Permit 和 Approve 交易，导致约 20 万美元的 USDC 和 wmtUSDT 被钓鱼攻击者窃取。 GoPlus 表示，用户在签署任何链上授权（Approve）或离线签名（Permit）请求时，务必仔细核对交易详情与合约地址，避免签署来路不明的恶意请求，以防资产被盗。

ChainCatcher 消息，据 GoPlus 监测，某用户因签署恶意 Approve 交易，被钓鱼者转走约 8.5 万美元的 sNUSD。

ChainCatcher 消息，据 GoPlus 监测，约 8 小时前，某用户因签署恶意 Permit 交易后，被钓鱼者转走价值 176 万美元的 USDC。

ChainCatcher 消息，GoPlus 在社交媒体上发布报告称，其针对 ClawHub 生态中最核心的 100 个高频下载 Skill 进行了全量安全扫描，被拦截 (Blocked) 技能数达 21 个 (占比 21%)，被警告 (Warning) 的技能数达 17 个 (占比 17%)。 GoPlus 表示，Top 100 Skills 中占比 21% 具有明确高风险操作（如直接的网络穿透、敏感 API 调用、自动发信等），建议执行这类 Skills 时强制加入“Human-in-the-Loop (HITL) 人工确认”机制，对高风险行为进行人工审核；17% 的 Skills 具有一定风险，建议谨慎执行，如对安全性有较高要求的用户，建议也加入人工确认。 在此背景下，GoPlus Security 宣布推出 SafuSkill，一个安全优先的 Skills 市场，SafuSkill 构建于 BNB Chain 上，集技能市场、自动 Skills 安全扫描引擎和开发者管理工具于一体的 AI Agent Skills 平台，旨在帮助用户筛选并发现更安全的 AI Agent Skills。为 AI Agent Skills 提供安全扫描与运行时防护能力，推动 AI Agent 生态向更加透明与安全的基础设施层发展。