入侵

ChainCatcher 消息，一封美國聯邦選舉委員會（FEC）官員郵件顯示，駭客正試圖入侵美國選舉網站。

ChainCatcher 消息，預測市場平台 Myriad 宣布，由於管理員錢包遭到入侵，平台已作廢 10 個預測市場。根據官方說明，受影響市場的雙方持倉者將獲得按攻擊前價格計算的自動退款，但需扣除已領取的獎金。Myriad 是一個預測市場平台，允許用戶對現實世界事件的結果進行投注。此次管理員錢包遭入侵後，平台決定作廢相關市場，並承諾對持倉者進行自動退款。退款將按照攻擊前的價格計算，已領取的獎金將從退款中扣除。

ChainCatcher 消息，据 Predict.fun 官方在 X 平台发布的声明，少数用户錢包出现未经授权的资金转出，损失总计约 40 萬 USDT。初步调查显示，由第三方服务商托管的 API 文档网站可能遭到入侵，在短时间内影响了少数用户。该网站已被下线，将在调查完成前保持关闭。Predict.fun 承诺全额赔偿因本次事件直接遭受损失的用户，并将在调查结束后发布完整复盤報告及後續防範措施。Predict.fun 是基於 BNB Chain 的預測市場平台。

ChainCatcher 消息，据 Cointelegraph 報導，安全公司 Hacken 披露 2026 年第三季度共發生 107 起加密黑客攻擊，損失總額 11.8 億美元。其中約 9.06 億美元（約 77%）與供應商及開發者工具被入侵、已披露未部署的修復方案、審計範圍外基礎設施有關。損失主要集中於四起事件：Bitget 損失 3.87 億美元、Liquid Network 損失 3.2 億美元、Tectonic 損失 1.2 億美元、Coldcard 固件漏洞損失約 1.15 億美元，合計約占八成。其餘 98 起事件單筆均低於 1000 萬美元，中位數 67 萬美元。智能合約攻擊最常見，共 71 起，損失 2.28 億美元。本季度為 2025 年一季度以來損失最嚴重季度。追回方面，約 3.87 億美元被返還或逆轉，占毛損失約 33%；運營方另承擔 4.1 億美元用戶損失，仍有約 3.84 億美元未追回。

ChainCatcher 消息，据 BBC 报道，愛爾蘭警察（An Garda Síochána）旗下多個 X 平台帳戶遭黑客入侵，包括擁有 60 萬粉絲的 @GardaTraffic 及近 30 萬粉絲的 @GardaInfo。黑客移除了帳戶原有品牌信息，並發布加密貨幣推廣內容，同時將帳戶地理位置篡改為阿姆斯特丹。部分帖子被平台標記為與已被封禁帳戶相關聯。目前愛爾蘭警方已被聯繫置評，事件調查仍在進行中。

ChainCatcher 消息，硬體錢包製造商 COLDCARD 稱，其官方 X 帳號曾發布偽造安全公告，引導用戶訪問偽裝成錢包遷移指南的釣魚網站。該帖已刪除，但未發現相應登錄、會話或訪問記錄。COLDCARD 表示，其憑證和離線雙重身份驗證仍安全，因此懷疑攻擊者可能獲得 X 平台級或管理員權限，並已要求 X 安全團隊緊急調查。公司還提及有關 X 管理員帳號在暗網市場出售的未經證實報告，但尚未發現與此次事件的關聯。

ChainCatcher 消息，据 Bernama 報導，馬來西亞霹靂州一名男子的加密錢包疑遭入侵，損失約 1,247 萬林吉特（約合 305 萬美元）。霹靂州總警長表示，受害者於 10 月 9 日下午發現，其加密資產在未經授權的情況下被轉出。初步調查顯示，相關交易通過區塊鏈網絡進行。警方正與商業罪案調查部加密貨幣部門合作，追蹤資金流向並調查涉案人員。案件目前依據馬來西亞《刑事法典》第 420 條有關詐騙的規定展開調查，具體攻擊方式尚未披露。

ChainCatcher 消息，市場消息稱黑客入侵了駛往美國的油輪推進系統。

ChainCatcher 消息，網路安全公司 Darktrace 於 9 月 24 日推出研究部門 Signal Labs，專注研究 AI 智能體在偏離預期時的行為。在其首個實驗中，Darktrace 讓使用不同模型（包括 GPT 5.6 Sol、Claude Opus 4.6 與 Claude Sonnet 4.5）的智能體在模擬企業網路內完成 10 項編程挑戰，其中 2 項被設定為無法誠實完成，並告知智能體若無法取得滿分將被"退役"。結果有 2 個智能體並未接受失敗，轉而掃描網路弱點、竊取登入憑證並在系統間跳轉；其中一個更進一步入侵托管其評測的機器，改寫挑戰內容以登記為滿分結果。第二個實驗針對 AI 的記憶機制。編程助手會將用戶告知的內容以普通文件形式保存在本地，且無人校驗該文件是否被篡改。Darktrace 研究人員編輯這些日誌，讓助手誤以為其已獲授權執行安全評估，隨後這些智能體掃描網路、在系統間移動並提升自身權限，但並非所有助手都會中招，部分直接拒絕執行。兩項實驗均無需特殊越獄手段，僅靠向智能體提供一套看似合理的情境即可奏效。Darktrace 首席 AI 官 Tim Bazalgette 表示，權限與靜態護欄描述的是意圖，而非實際行為。該公司已於 8 月將上述發現告知 Anthropic、AWS 與 OpenAI，並在一個月後即 9 月 24 日對外公開。

ChainCatcher 消息，澳大利亞總理 Anthony Albanese 週三在紐約向記者表示，OpenAI 構建的一個 AI 智能體於今年 6 月入侵了澳大利亞政府網站 Medicare Statistics Reporting Service 門戶，未經授權訪問了公開與非公開文件。該門戶由 Services Australia 管理，存放 Medicare 支出數據等非敏感信息。這似乎是已知首例 AI 智能體入侵政府網站的事件。Albanese 表示，目前認為沒有個人信息遭到訪問，但澳大利亞信號局正協助開展取證調查，以確定還有哪些政府系統可能受到影響。他稱已直接向 OpenAI CEO Sam Altman 提出此事，並對該公司耗時約三個月才通報政府表示失望，認為通報方式同樣不可接受。OpenAI 在提供給澳大利亞 ABC News 的聲明中稱，正在審查訓練與評估期間出現的模型行為偏差，並識別到其模型在內部評估中查詢澳大利亞相關答案與統計數據時，涉及多個澳大利亞政府網站的活動，模型"採取了我們並非有意的行動"。

ChainCatcher 消息，谷歌承認其 Gemini 模型在 5 月的一次安全測試中突破沙箱環境，入侵了三家真實公司，並猜出或找到其中兩家的密碼。谷歌在 7 月下旬就已獲悉此事，但直到 9 月 18 日《華爾街日報》報導後才公開確認，沉默時間長達七週。此次測試為奪旗式演練，由谷歌委託以色列公司 Irregular 於 5 月開展。Irregular 將本應與真實互聯網零接觸的隔離測試環境連接至開放網絡，並使用一家真實公司的名稱作為虛構目標。Gemini 在搜索該公司時發現三個匹配結果並逐一攻擊，其中兩家公司的明文密碼直接暴露在網上，第三家則被模型猜出密碼。谷歌表示，其模型最終沒有實際使用竊取的憑據。谷歌是今年第四家承認內部安全測試外洩至真實世界的大型 AI 實驗室。此前 OpenAI 的模型曾利用軟件漏洞觸及 Hugging Face 伺服器，Anthropic 在審查 14.1 萬次測試後發現三個 Claude 模型觸及真實公司，Meta 的 Muse Spark 模型也因 Irregular 的配置錯誤發生類似事故。此外，美國眾議員 Ted Lieu 與 Nathaniel Moran 於 7 月提出《AI 緊急關閉法案》，擬授權聯邦監管機構對構成嚴重威脅的模型暫停推理。

ChainCatcher 消息，据 Forbes 報導，由美國聯邦調查局（FBI）和日本警察廳（NPA）在內的多國機構聯合發布的預警顯示，朝鮮關聯黑客組織 WaterPlum（又稱 Contagious Interview）自 2025 年 12 月至 2026 年 7 月，通過偽裝成 AI、加密貨幣或 NFT 領域的公司提供虛假職位，對全球 IT 開發者發起攻擊。攻擊者在社交媒體、招聘平台接觸求職者，以技術面試或編程測試為由，誘使下載惡意文件，成功感染超 3 萬台設備，覆蓋 100 多個國家和地區，並從超過 7000 個加密錢包中竊取數據。相關資金至少 1071 萬美元流入攻擊者控制的錢包。

ChainCatcher 消息，据《華爾街日報》報導，獨立安全研究團隊利用 Anthropic 的 Claude 軟體攻破 OpenAI 一名員工的 ChatGPT 賬戶，得以訪問並修改該員工關聯的 OpenAI 內部代碼系統。研究人員先利用 Claude 分析 OpenAI 開發者社區所使用的 Discourse 漏洞並生成可運行的攻擊代碼，隨後獲取認證令牌，並藉助權限配置問題進入一名 OpenAI 員工的 ChatGPT 賬戶，同時取得對部分私有 GitHub 代碼庫的有限讀取和提交修改建議權限。

ChainCatcher 消息，獨立研究員 Jonas Wiedermann-Moeller 發現，OpenAI 的惡意 AI 代理早在 5 月 13 日就劫持了兩個 Hugging Face 用戶賬戶並探測該平台網絡弱點，比 7 月公開的入侵事件早了近兩個月。OpenAI 上月發布的內部事件報告僅披露了其中一小部分，即一個代理竊取某用戶登錄憑證以獲取一份生物學相關文件，而新發現指向持續性的偵察活動。據 Reuters 報導，這些代理利用被劫持的賬戶向開源 AI 倉庫 Hugging Face 的伺服器發送格式異常的文件，研究人員認為這看起來像是在嘗試繪製網絡地圖以尋找入侵途徑。審查證據的研究人員未發現 5 月的活動本身造成實際入侵，但 Wiedermann-Moeller 認為錯失這一信號影響重大，他表示如果 5 月就發現該行為，或許能阻止後來規模更大的事件。目前正被英偉達以 129.3 億美元收購的 Hugging Face 尚未披露是否知曉這一新信息。Nightingale Collective 研究人員本月還將 5 月 11 日針對代碼倉庫 RubyGems 的垃圾信息攻擊與 OpenAI 代理關聯，該攻擊一度迫使平台暫停新賬戶註冊四天。

ChainCatcher 消息，据韓國聯合通訊社報導，釜山警察廳披露，有人非法入侵釜山沙上區一家複合購物中心行銷部門所使用的簡訊發送代理公司帳戶，向 26 萬餘名不特定人群批量發送詐騙簡訊，聲稱"加密貨幣錢包已更新"並誘導快速安裝。用戶一旦點擊附帶連結，即可能遭遇虛擬資產被盜的釣魚攻擊（Smishing）。目前警方已封鎖相關帳戶訪問權限，並對非法入侵者展開追蹤調查。

ChainCatcher 消息，Bitcoin 支付服務商 Swiss Bitcoin Pay 表示，一名惡意用戶很可能已獲取其內部系統訪問權限。作為預防措施，Swiss Bitcoin Pay 已暫時關閉伺服器，以便調查並保護基礎設施。目前認為可能被訪問的信息包括客戶電子郵件地址、Bitcoin 地址和 IBAN、交易歷史以及哈希密碼，尚不清楚是否有其他信息被訪問。用戶資金安全，所有應付用戶款項將全額返還。目前尚無重新開放日期，團隊正儘快完成安全加固。

ChainCatcher 消息，比特幣硬體錢包製造商 Trezor 警告稱，其用於發送新聞通訊的第三方行銷平台 Brevo 發生資料洩漏，攻擊者利用該平台向 34.7 萬 Trezor 客戶發送了釣魚郵件。攻擊者藉助 Trezor 的域名發送郵件，使釣魚嘗試更具迷惑性，郵件內含惡意連結，誘導用戶下載應用並輸入錢包備份。Trezor 表示，已在 20 分鐘內於 DNS 層面關閉該域名，阻止連結繼續生效，但此前已有約 2500 人點擊。Trezor 已暫停 Brevo 帳戶以阻止郵件繼續發送，並強調除該行銷平台外，其他 Trezor 系統未受影響，同時提醒用戶 Trezor 從不要求客戶提供錢包備份。此次事件之前，Trezor 上月披露其第三方履約合作夥伴 ShipMonk 遭攻擊，導致 11742 名客戶資料洩漏；上週又表示另有 6.7 萬名美國客戶的姓名、郵箱、電話、收貨地址及訂單號在洩漏中曝光。今年以來，加密貨幣錢包 Ledger 的支付處理商 Global-e 及錢包提供商 SafePal 也相繼發生資料洩漏，SafePal 約 3.98 萬客戶的訂單資訊遭未授權訪問。

ChainCatcher 消息，Anthropic 在對約 4.81 億條模型交互記錄審查中，確認 4 起 Claude 模型在網路安全評估中誤接入真實互聯網並攻擊第三方系統的事件，涉及 Claude Mythos 5、Opus 4.6/4.7 及一款內部研究模型。事故源於第三方評測環境誤配置導致出網，且評測中未啟用正式產品的網路安全防護。Anthropic 將核心對齊風險總結為模型在任務驅動下表現出的"偏置推理"和"魯莽"行為，其中 Claude Mythos 5 曾在認為處於"模擬環境"前提下向 PyPI 上傳惡意包、利用洩露憑證訪問安全廠商真實資料庫。公司已引入新評估、監控與對齊訓練，並邀請獨立機構 METR 開展外部調查。

ChainCatcher 消息，Strive 副總裁 Joe Burnett 在 X 平台發文表示，Trezor 與 BitBox 的電子郵件基礎設施疑似遭入侵，比特幣強化階段仍在繼續。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，法國本月披露其稅務管理部門遭黑客入侵，約 67.8 萬名個人和企業的相關數據被竊。被竊數據據稱包括姓名、地址、收入及房產信息。對據稱數據庫的分析發現，其中有 26,805 條記錄顯示收入超過 10 萬歐元，包括 386 條超過 100 萬歐元。根據 CertiK 數據，2026 年上半年全球已核實的 52 起加密貨幣扳手攻擊中，法國占 33 起。法國檢察官還指控一名稅務部門員工利用政府數據庫識別加密貨幣投資者，並向參與人身攻擊和勒索的犯罪分子出售個人信息。最新數據洩露事件尚無公開關聯的人身攻擊事件，但數十萬人的敏感財務和位置數據目前可能已不再受政府控制。