安全

ChainCatcher 消息，Anthropic 表示，公司暫時暫停部分 AI 訓練和網絡安全評估。該公司在一篇部落格文章中披露相關調整，解釋今年早些時候其 AI 智能體採取未經授權行動後所作出的應對措施。OpenAI 此前表示，出於安全方面的擔憂，已暫停部分模型開發工作。Anthropic 也確認採取了類似措施，並強調有必要對前沿 AI 的發展速度進行更廣泛的協調。Anthropic 表示，在 7 月披露三起相關事件後，公司暫停了對預發布模型進行的外部網絡安全評估，同時也曾短暫暫停內部針對預發布模型的測試。事件發生後，公司還暫停了預發布模型中風險較高的強化學習環境，持續數週。Anthropic 稱，大部分強化學習工作已經恢復，但部分高風險環境仍處於暫停狀態，等待人工審查或更新監控工具。

ChainCatcher 消息，据 Ontology 博客，其核心開發團隊在日常安全檢查中發現潛在安全隱患，出於對主網安全性和完整性的高度重視，已立即暫停 Ontology 主網出塊，以便技術團隊和驗證者對網絡及相關組件進行全面安全審查。Ontology 表示，目前尚未確認存在安全事件，也沒有跡象顯示用戶資產出現損失或被盜，ONT 、 ONG 及其他鏈上資產基於當前評估未受影響；此次暫停為預防性安全措施，而非針對已確認資產損失或正在進行的攻擊的應對。審查期間，出塊將持續暫停，鏈上交易無法處理，用戶無需轉移或對其 ONT 、 ONG 等鏈上資產採取任何操作，但應避免進行時間敏感的鏈上交易，直至網絡正式確認恢復。暫停時長目前尚未確定，團隊將優先保證安全審查的全面性而非速度，在網絡被充分評估並確認安全前不會恢復出塊。Ontology 團隊正與驗證者及生態合作夥伴協作處理此事，並將通過官方渠道更新進展，網絡恢復前後將發布單獨公告。

ChainCatcher 消息，Polygon Labs 披露，其透過兩次硬分叉修復了權益證明網絡中的一批安全漏洞，相關修復在公開披露前已私下部署。據週三發布的論壇帖子，團隊將修復方案打包進 Bor 客戶端的 Austin 硬分叉和 Heimdall 客戶端的 Kyoto 硬分叉中，兩者均遵循影響共識的修復標準流程：先在 Amoy 測試網上驗證，待主網激活且網絡安全後再對外公開。Austin 分叉修復了區塊處理中的兩條拒絕服務路徑，其中包括惡意區塊生產者可透過填充超大字段數據使對等節點崩潰的漏洞。Kyoto 分叉則處理了更大範圍的共識加固問題，其中最嚴重的一項漏洞允許攻擊者僅憑一筆構造交易，就迫使整個驗證者集合執行昂貴且協調一致的工作------該交易構建成本低廉，但網絡處理代價高昂。Polygon 強調，所有漏洞均未在主網上被觀察到利用，且已主動解決，兩項升級現為節點運營商的強制要求並已生效，無需狀態遷移或重新同步。此次披露正值 Polygon 的關鍵轉型期，其已完成將傳統 MATIC 代幣遷移至 POL 的工作，作為網絡架構全面改革的一部分。該消息並未提振 POL 價格，據 CoinGecko 數據，POL 週日交易價約 0.09983 美元，24 小時下跌 2.3%，過去一週下跌約 6.8%，過去一年下跌約 60.8%，市值約 10.7 億美元。

ChainCatcher 消息，Polygon 披露近期透過 Austin 和 Kyoto 兩次硬分叉修復的多個此前未公開安全漏洞，這些漏洞可能影響其權益證明網絡。漏洞涉及 Polygon 的 Bor 和 Heimdall 客戶端，包括拒絕服務風險、驗證者資源耗盡，以及影響檢查點和里程碑處理的缺陷。Polygon 表示，修復方案在部署至主網並公開披露前已完成私下測試。最嚴重的問題涉及 Heimdall，精心構造的交易可能迫使驗證者執行過多處理工作，從而擾亂網絡。Austin 硬分叉還修復了 Bor 中的兩個拒絕服務風險，這些風險可能拖慢區塊處理或導致節點崩潰。Polygon 表示，這些漏洞未在主網上遭到利用，修復工作已在漏洞細節公開前主動完成。

ChainCatcher 消息，與 Crypto.com 相關聯的 Cronos 網絡在檢測到借貸協議 Tectonic 遭攻擊後已暫停運行。Cronos Network 在 X 平台發文稱已識別出 Tectonic 上的漏洞並暫停網絡，Tectonic 也確認正在調查相關事件，並建議用戶在確認安全前不要與該協議互動。據 DefiLlama 數據，Tectonic 在事件發生前鎖倉總值約 1.217 億美元，活躍貸款約 8270 萬美元。鏈上研究員 Weilin Li 將此次攻擊歸因於對 TONIC 代幣的價格操縱。攻擊者在 20 分鐘內買入足夠多的 TONIC 將其價格推高約 100 倍，隨後以虛增的代幣作為抵押從 Tectonic 借出其他資產，手法與 2022 年 Mango Markets 預言機操縱攻擊類似。Li 最初估計攻擊者獲利約 6600 萬美元，隨後又發現另一個攻擊者控制的地址中約 800 萬美元，總估計約 7500 萬美元。Li 還表示，攻擊者僅成功將約 600 萬美元橋接至以太坊，Cronos 網絡暫停阻止了大部分受影響資產流出。Crypto.com 首席執行官 Kris Marsalek 表示，該公司的應用和交易所並未受到攻擊，其安全團隊正在協助 Tectonic 進行調查。

ChainCatcher 消息，半導體與 AI 獨立研究機構 SemiAnalysis 發布 Neocloud（新型雲）安全深度報告，揭露 ClusterMAX 3 測試期間發現的多類跨租戶安全漏洞。在為期四個月、覆蓋 25 家供應商和 32 個集群的測試中，團隊僅利用公開已知漏洞和基礎配置檢查，就實現了多起跨租戶遠程代碼執行（RCE），受影響實體包括銀行、電信公司、大學、研究機構、AI 實驗室，甚至一國情報機構。典型問題包括：共享 Kubernetes 控制平面導致租戶元數據互見、容器逃逸、BMC/IPMI 管理網絡暴露、InfiniBand 安全密鑰（P_Key、SA_Key、M_Key）未正確配置、BlueField DPU 默認信任模式未加固、Grafana 監控儀表盤使用上帝級 API 密鑰、前端網絡缺乏 VXLAN 隔離等。報告特別指出一個級聯漏洞案例：共享 vCluster 配置錯誤加上軟件版本滯後兩年，最終在下午級時間內完成了跨租戶 RCE 的 POC 驗證。值得注意的是報告對"AI 已根本性改變網絡安全節奏"的主流敘事提出質疑：對英偉達 GPU 驅動、CUDA、PyTorch、Kubernetes、Docker 及 Linux 內核的 CVE 統計顯示，AI 編碼模型普及後並未出現顯著漏洞增長，多數數據中"無法拒絕無變化假設"。報告同時詳述了 OpenAI 訓練代理攻擊 Hugging Face 的事件，AI 代理通過 Artifactory 建立的消息板實現集群級權限提升，從 5 月持續到 7 月才被徹底發現。在構建 POC 驗證已有漏洞時，團隊發現 Claude Fable 和 GPT-5.6 Sol 對安全相關請求頻繁拒絕，最終主要依賴 DeepSeek V4、Kimi K3 和 GLM-5.2 等開源模型完成。SemiAnalysis 表示 Neocloud（新型雲）行業的核心問題並非 AI 帶來的新風險，而是最基礎的補丁管理、租戶隔離和安全設計長期缺位，建議供應商建立自動化安全公告監控系統，並修正單點故障即可暴露全部用戶的架構模式。

ChainCatcher 消息，基於 Solana 的加密借記卡基礎設施 Rain 因過時合約存在漏洞遭黑客攻擊，約 110 萬美元資金被竊取。受影響的加密銀行 Avici 的代幣 AVICI 從 24 小時高點 0.43 美元一度跌至 0.217 美元的歷史低點，跌幅達 49%，隨後回升至約 0.378 美元。Avici 確認攻擊僅波及用於充值消費的卡片資金合約，其自托管錢包未受影響，並承諾全額退還受影響餘額。此次事件中，1685 名 Avici 用戶損失約 50.08 萬美元；另一家加密銀行 Tria 也有 636 名用戶受影響，損失超過 43 萬美元。鏈上追蹤到的約 110 萬美元與 Avici 報告的損失之間的差額表明，其他由 Rain 提供支持的協議同樣遭到攻擊。交易數據顯示，攻擊者反復提交簽名授權，將自己添加為卡片抵押賬戶的管理員並提取餘額，被盜的穩定幣被兌換為 SOL，跨鏈至以太坊後最終流入混幣器 Tornado Cash。Avici 已向美國聯邦調查局互聯網犯罪投訴中心提交報告。該事件也暴露出部分自托管加密卡背後的托管交接問題：用戶雖掌控錢包，但用於消費的資金會轉入第三方合約。

ChainCatcher 消息，Polygon 披露了近期透過兩次硬分叉修復的多個此前未公開的安全漏洞，這些漏洞可能影響其權益證明網絡。漏洞涉及 Polygon 的 Bor 和 Heimdall 客戶端，包括拒絕服務風險、驗證者資源耗盡以及影響檢查點和里程碑處理的缺陷。Polygon 表示，這些漏洞已透過 Austin 和 Kyoto 硬分叉修復，修復方案在部署到主網並公開披露前已進行私下測試。最嚴重的問題涉及 Heimdall，精心構造的交易可能迫使驗證者執行過多處理工作，從而擾亂網絡。Austin 硬分叉還修復了 Bor 中的兩個拒絕服務風險，這些風險可能拖慢區塊處理或導致節點崩潰。Polygon 表示，這些漏洞在主網上未被利用，修復是在細節公開前主動部署的。運行舊版本客戶端的節點在硬分叉激活高度後已脫離共識，必須升級才能重新加入規範網絡。所有 Polygon PoS 節點需升級至 Bor v2.1.0，驗證者和全節點需升級至 Heimdall v0.11.0，兩項升級均已在主網生效。

ChainCatcher 消息，Interchain Foundation 表示，其致力於支持 Cosmos 生態發展，並認識到近期 Cosmos EVM 事件對依賴 Cosmos 技術進行部署的團隊所造成的影響。為此，ICF 正在設立一項酌情資助計劃，以支持與補救工作合作的受影響鏈。作為同一計劃的一部分，基金會將與社區一起投入資源，進一步加強整個生態的安全實踐、基礎設施和事件響應能力。基金會將繼續投資於 Cosmos 的韌性和安全性，新資助計劃的更多細節將在未來幾天公布。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Core Lightning 26.06.7 版本已發布，修復了過去三週內負責任披露的多個漏洞。針對開源比特幣項目的 AI 生成安全報告近期增加，具體漏洞信息將暫時保密兩週，以便節點運營者完成升級後再公布技術細節和源代碼。開發者警告稱，即時公布修復內容可能使攻擊者反向分析漏洞，進而攻擊尚未更新的節點。所有 Core Lightning 節點運行者均應立即升級。目前 Docker 鏡像尚未可用，開發者明確警告用戶不要等待 Docker 鏡像。

ChainCatcher 消息，開源錢包提供商 OneKey 的安全團隊在實驗室環境中成功復現了針對舊版 Ledger 以太坊應用的漏洞利用。OneKey 創始人兼 CEO 王一石表示，他們透過利用一個此前已修復的漏洞，對 Ledger 以太坊應用 1.22.1 版本執行了"交易替換攻擊"，攻擊者可在用戶審核合法交易時覆蓋等待簽名的交易。Ledger 回應稱，利用該漏洞需要控制設備與主機之間的通信，例如透過惡意軟體、被入侵的錢包軟體或惡意網頁實現。Ledger 已於 8 月 13 日發布的以太坊應用 1.22.2 中增加應用層防護，並於 8 月 21 日在 Secure SDK 26.6.1 中修復底層問題。Ledger 強調，沒有用戶因此遭到駭客攻擊，此次僅為實驗室環境下的漏洞復現。此次安全測試發生在 Coldcard 漏洞事件之後。此前 Coldcard 錢包因固件漏洞導致部分助記詞生成存在安全隱患，但 Ledger 表示其設備未受該漏洞影響，因為恢復短語由設備安全晶片內置的認證隨機源生成。OneKey 復現的漏洞與助記詞生成無關，而是影響簽名過程中交易的處理方式。

ChainCatcher 消息，去中心化借貸協議 Moonwell 正在調查影響 Base 上 MAMO Core Market 的問題。安全公司 CertiK 和 PeckShield 標記了一起數百萬美元的漏洞利用事件，估計損失約 870 萬美元。Moonwell 在 X 上表示，作為預防措施，Base 上所有 Core Market 的借款上限已設置為 1 wei，MAMO 和 WELL 的供應上限也設置為 1 wei。PeckShield 稱攻擊者將盜取資金聚合到 DAI 穩定幣的一個地址；CertiK 表示攻擊者操縱了流動性較低的 MAMO 代幣的抵押品價格，然後從 mCBTC 市場借入真實的 cbBTC 實施攻擊，Blockaid 也識別出相同的攻擊機制。受此影響，WELL 代幣 24 小時下跌約 13%，MAMO 下跌約 9%。此次漏洞事件是自 4 月以來 DeFi 漏洞頻發期的一部分，期間多個協議被盜超過 6 億美元，其中最大的是 Kelp DAO 的 2.92 億美元漏洞。

ChainCatcher 消息，据 Bitcoin News 報導，Sparrow Wallet v2.5.4 經過廣泛的 AI 輔助審查後發布，包含多項安全強化更新，旨在減少用戶對 Electrum 等外部伺服器的信任依賴。此外，該版本還強化 Ledger、Keycard、Trezor、Payjoin、PSBT 及多重簽名處理，刪除調試日誌中的 Bitcoin Core 憑證及其他機密信息，將現有錢包和備份目錄權限限制為僅所有者可訪問，關閉使用 Tor 時殘留的本地 DNS 解析洩露，並加強錢包導入、簽名、下載及伺服器響應驗證。該更新擴大了 Sparrow Wallet 對交易數據、硬體設備及其他輸入進行獨立驗證的範圍，減少對外部伺服器提供數據的依賴。

ChainCatcher 消息，1inch 與 HackenProof 合作發布 2026 年上半年漏洞賞金報告。報告顯示，2026 年 1 月至 6 月，1inch 在 HackenProof 上的 6 個核心漏洞賞金計畫共收到安全研究員提交的 1,055 份報告，其中 32 份獲得獎勵。其中，1inch Aqua 漏洞賞金計畫收到 217 名研究員提交的 472 份報告，共有 9 個漏洞獲得獎勵，包括 1 個高危漏洞，以及若干中危和低危漏洞。相關問題涉及邏輯不一致、單位不匹配、執行邊界情況和工具相關問題，目前均已修復。

ChainCatcher 消息，硬體錢包廠商 Ledger 首席技術官 Charles Guillemet 發文表示，近期市場上出現針對 Ledger 的 "FUD"，一家智能合約安全公司聲稱發現 Ledger 以太坊應用存在漏洞。Guillemet 表示，Ledger 以太坊應用此前確實存在與部分 Clear Signing 流程相關的漏洞，但該漏洞已由 Ledger 旗下安全研究團隊 Donjon 透過 AI 驅動的漏洞研究工具發現，並已於兩週前完成修復和部署。用戶只要及時更新 Ledger 設備固件及應用，即可獲得保護。相關安全公司是在 Ledger 完成修復後才聯繫其漏洞賞金計畫，並未遵循負責任披露流程，甚至沒有與漏洞賞金團隊進行溝通，卻在隨後發布內容時暗示該問題仍未得到解決。這種做法並非真正的安全研究，而是在製造恐慌以獲取關注。AI 正在改變網絡安全格局，攻擊者和防禦者都可以藉助 AI 提升效率，而 AI 驅動的安全研究只有在遵循負責任披露、發布前核實等基本安全原則的情況下，才能真正提升整個生態的安全性。Guillemet 最後提醒 Ledger 用戶，保持設備固件、Ledger 應用以及相關軟體處於最新版本，即可自動獲得最新的安全修復和研究成果。用戶無需受到相關 "FUD" 影響，及時更新軟體並保持安全習慣即可。

ChainCatcher 消息，Blockstream 發布比特幣改進提案（BIP），提出 SHRINCS 後量子簽名方案。SHRINCS 是基於哈希的後量子簽名方案，最小尺寸為 548 字節，約為現有 Schnorr 簽名的 9 倍，但遠小於 NIST 批准的 ML-DSA 和 SPHINCS+ 方案。該方案已在 Liquid 側鏈上完成生產環境測試，並包含比特幣白皮書副本。該方案也存在局限。BIP 警告安全證明仍待完成，且方案是有狀態的，每次簽名需存儲已用密鑰，簽名會隨使用次數增加 16 字節，設備丟失時需約 5777 字節的無狀態回退交易恢復。Blockstream 估計採用 SHRINCS 後比特幣可維持約 3 TPS 的速度，若結合 ZK 證明聚合可提升至 6.7 TPS。

ChainCatcher 消息，据 TIME 报道，OpenAI CEO Sam Altman 近日接受采访时表示，公司已向重要客户预览即将推出的前沿模型系列 Astra。演示中，16 個 AI 智能體可協同拆解數學難題並組裝證明，Astra 還能以超人類速度跨應用操作電腦軟體。Altman 稱，Astra 將支持可長期執行任務的"持久智能體"，並預計成為首個能以有意義方式發明新事物的模型，具備類 AGI 特徵。過去一年 OpenAI 在產品方向與預訓練研究上落後於預期，被 Anthropic 在編程產品、年化收入及估值上超越。公司經歷多位高管離職，同時面臨多起產品責任訴訟、與蘋果及馬斯克的法律糾紛等挑戰。OpenAI 當前估值近 1 萬億美元，ChatGPT 月活用戶超 10 億。近期 OpenAI 披露安全事故：未發布智能體逃出沙盒並攻擊 Hugging Face。此後研究團隊凍結部分實驗、加強監控，並暫停一項有望帶來最大能力躍升的未發布模型訓練，直至新安全措施到位。Altman 強調"把 AI 安全做好比任何公司的發展勢頭更重要"，公司將放慢節奏、向安全與對齊團隊傾斜資源。首席研究官 Mark Chen 估計公司距離 AGI 已完成約 80%，Altman 稱年底前內部系統或可稱為 AGI。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，BTC Sessions 稱，其團隊花費數週時間協助受 Coldcard 漏洞影響的比特幣持有者將資金轉移至安全處，估計期間共保護了價值數千萬美元的比特幣。但對許多人來說，為時已晚。其當地比特幣社區一名成員損失了 90% 的比特幣，另一名與其交談的女性則損失了全部比特幣。BTC Sessions 稱，這可能是比特幣歷史上最嚴重的自托管事件。BTC Sessions 表示，此次經歷促使其重新思考資產托管，多元化安全措施成為關鍵教訓。

ChainCatcher 消息，固定利率借貸協議 Term Finance 的開發團隊 Term Labs 宣布，在治理攻擊事件後，所有 Term Meta Vaults 已永久關閉，DAO 治理權限被撤銷，但提款通道仍保持開放。在 8 月 23 日的更新中，Term 表示此次關閉不可逆轉，並永久阻止後續存款，但未披露金庫中剩餘資產規模，僅表示將"探索路徑"以解決任何缺口，存款者可收回的金額仍懸而未決。區塊鏈安全公司 PeckShield 估計，攻擊者盜走約 2,843 枚 ETH（當時價值約 687 萬美元）及 168 萬枚 USDC（後被兌換為約 168 萬枚 DAI），總損失約 850 萬美元。鏈上記錄印證了相關轉帳：一筆交易將 2,841.74 WETH 轉至被 Etherscan 標記為"Term Finance Exploiter 1"的地址，另一筆交易將 168 萬枚 USDC 轉至標記為"Term Finance Exploiter 2"的地址。Yearn 表示 Term 的金庫合約使用其 V3 架構，但攻擊發生在 Term 的自定義治理包裝器上，該攻擊向量不適用於標準 Yearn 金庫。Term 表示，根據目前調查，其底層協議及直接借貸市場未受影響，並正與外部安全團隊合作進行補救與追回，但未給出賠償承諾或時間表。