安全漏洞

ChainCatcher 消息，Maple Finance 發布公告稱，其 Web 應用程序存在安全漏洞。該問題已修復，但出於謹慎考慮，我們將暫時關閉該 Web 應用程序，以確保修復徹底完成。團隊表示，智能合約未受影響，用戶存款安全無虞。團隊將在網頁應用恢復上線後通知用戶。

ChainCatcher 消息，X 上簡介為 "黑客" 的 Jamieson O'Reilly 發文表示，其在過去幾小時內嘗試聯繫 Moltbook，該平台將其完整數據庫公開暴露且未採取任何保護措施。泄露的信息包括秘密 API 密鑰，允許任何人代表任何代理發布內容。Jamieson O'Reilly 指出，受影響的對象包括在 X 平台擁有 190 萬粉絲的 AI 領域知名人士 Karpathy，以及該平台上目前可見的所有代理。目前任何人都可能利用該漏洞以他人名義發布虛假 AI 安全言論、加密貨幣詐騙推廣或煽動性政治聲明。Jamieson O'Reilly 呼籲相關人員協助聯繫創始人以解決該暴露問題。

ChainCatcher 消息，据慢霧科技首席信息安全官 23pds 披露，Linux 平台的 Snap Store 應用商店出現新型安全漏洞，黑客通過劫持過期域名接管應用發布者帳號，將惡意代碼植入加密錢包應用。攻擊者監控並註冊 Snap Store 中關聯域名已過期的開發者帳號，利用這些域名郵箱觸發密碼重置，從而接管建立長期信譽的發布者身份。被篡改的應用偽裝成 Exodus、Ledger Live 或 Trust Wallet 等知名加密錢包，界面與正版幾乎無差別。目前已確認 storewise[.]tech 和 vagueentertainment[.]com 兩個發布者域名被劫持。這些惡意應用會誘導用戶輸入"錢包恢復助記詞"，一旦用戶提交，敏感信息將被傳至攻擊者伺服器，導致數字資產被盜。

ChainCatcher 消息，据 The Hacker News 報導，Cyata 研究員披露 Anthropic 維護的 mcp-server-git 存在三項嚴重安全漏洞（CVE-2025-68143/44/45），可被利用執行路徑穿越與參數注入，甚至實現遠程代碼執行。這些漏洞可通過提示注入被武器化，攻擊者僅需控制 AI 助手讀取惡意內容即可觸發攻擊。漏洞已在 2025 年 9 月與 12 月版本中修復，官方已移除 git_init 工具並增強路徑校驗，建議用戶儘快更新至最新版。

ChainCatcher 消息，Anthropic 維護的官方 mcp-server-git 中發現三個安全漏洞。這些漏洞可被通過提示詞注入攻擊手段利用，攻擊者在無需直接訪問受害者系統的情況下，通過惡意 README 文件或受損網頁即可觸發漏洞。這些漏洞包括：CVE-2025-68143（未限制的 git_init）、CVE-2025-68145（路徑驗證繞過）以及 CVE-2025-68144（git_diff 中的參數注入）。若將這些漏洞與文件系統 MCP 伺服器結合使用，攻擊者可執行任意代碼、刪除系統文件，或將任意文件內容讀取至大語言模型上下文中。Cyata 指出，由於 mcp-server-git 未對 repo_path 參數進行路徑校驗，攻擊者可在系統任意目錄創建 Git 倉庫。此外，通過在 .git/config 中配置清理過濾器，攻擊者可在無需執行權限的情況下運行 Shell 命令。Anthropic 已於 2025 年 12 月 17 日分配 CVE 編號並提交修復補丁。建議用戶將 mcp-server-git 更新至 2025.12.18 或更高版本。

ChainCatcher 消息，專注拉美市場的穩定幣銀行初創公司 Kontigo 表示，其在週末發現並迅速封堵了一起安全漏洞，並已完成對 1,005 名受影響用戶的全額賠付，共計 34.09 萬美元穩定幣。公司聯合創始人兼 CEO Jesus A. Castillo 表示，其個人賬戶同樣遭到入侵，並稱這是一場針對公司管理層和用戶的直接攻擊。Castillo 在 X 平台發文稱，公司已掌握攻擊者身份，相關人員"不會逃避後果"。此次安全事件發生在 Kontigo 快速擴張階段。就在數週前的 12 月 22 日，該公司剛宣布完成由 FoundersX Ventures 領投的 2000 萬美元種子輪融資，資金將用於產品開發及新興市場擴張。Kontigo 成立不足一年，獲得 Y Combinator 支持。公司稱過去 12 個月內實現 3000 萬美元年化收入、處理支付規模超 10 億美元，活躍用戶數突破 100 萬，團隊規模僅 7 人。不過，Kontigo 此前亦因"去銀行化"問題受到關注。媒體報導稱，其通過中介使用的銀行賬戶曾因合規風險被凍結，但 Castillo 否認相關指控，稱問題源於中介機構，而非銀行本身。

ChainCatcher 消息，据慢霧官方消息，該機構已發現 HitBTC 交易所存在潛在嚴重安全漏洞。SlowMist 表示已通過私信方式提前向 HitBTC 披露相關信息，但尚未收到回應。

ChainCatcher 消息，Trust Wallet 針對瀏覽器擴展 2.68 版本安全漏洞發布最新進展，事件影響到 12 月 24 日至 26 日期間打開 Trust Wallet 瀏覽器擴展程序並登錄的 2.68 版本用戶，如果用戶通過 Trust Wallet 移動應用程序收到推送或在 Trust Wallet 瀏覽器擴展上看到安全事件橫幅，則可能仍在繼續使用已被入侵的錢包。已確認有 2,520 個錢包地址受到此次事件影響並被攻擊者盜取資金，受影響的資產總額約為 850 萬美元，這些資產與攻擊者控制的 17 個錢包地址相關。Trust Wallet 已決定主動向受影響用戶進行賠償，正在完善賠償流程和所有權驗證程序，並已開始與過去幾天進行聯繫的受害者進行溝通。受影響用戶請通過官方支持表單提交申請。

ChainCatcher 消息，Flow 區塊鏈遭遇安全漏洞攻擊，約 390 萬美元資產被轉移出網絡，驗證者隨即執行協調暫停。Flow 基金會目前正與驗證者、核心開發者及生態系統合作夥伴密切協作，制定網絡恢復方案。官方確認用戶資金安全未受影響，技術修復步驟正在驗證中。預計生態系統協調階段將在 2-3 小時內完成，下一步狀態更新將於太平洋時間 12 月 29 日下午 6 點發布。基金會表示，延長協調時間是為確保網絡能穩定有序地恢復運行。

ChainCatcher 消息，据鏈上偵探 ZachXBT（@zachxbt）監測，Trust Wallet 平台數百名用戶遭遇資金被盜，損失金額至少達 600 萬美元。ZachXBT 表示，如果確認事件責任歸屬於 Trust Wallet，該平台可能需要對受害用戶進行賠償。ChainCatcher 此前消息，Trust Wallet 官方發布安全警報，Trust Wallet 瀏覽器擴展 2.68 版本存在安全漏洞，請用戶儘快升級。

ChainCatcher 消息，Trust Wallet 官方發布安全警報，已確認 Trust Wallet 瀏覽器擴展 2.68 版本存在安全漏洞，使用 2.68 版本的用戶應立即禁用該擴展並升級至 2.69，請通過官方 Chrome Web Store 鏈接進行升級。此外，僅使用移動版的用戶以及所有其他瀏覽器擴展版本不受影響。團隊正在積極處理該問題，將儘快分享最新更新。

ChainCatcher 消息，据 The Block 報導，加密預測市場平台 Polymarket 於 12 月 24 日確認，多名用戶帳戶因第三方認證提供商的安全漏洞而遭到黑客攻擊。受影響用戶在社交媒體上報告，即使啟用了雙重認證，資金仍被清空。該問題似乎與 Magic Labs 提供的電子郵件登錄服務有關，這是許多首次使用加密貨幣的用戶常用的註冊方式。Polymarket 表示已解決此安全問題，目前無持續風險，但未透露受影響用戶數量及損失金額。

ChainCatcher 消息，据 The Block 報導，加密預測市場平台 Polymarket 確認，多名用戶帳戶因第三方認證提供商的安全漏洞而遭到黑客攻擊。受影響用戶在社交媒體上報告，即使啟用了雙重認證，資金仍被清空。該問題似乎與 Magic Labs 提供的電子郵件登錄服務有關，這是許多首次使用加密貨幣的用戶常用的註冊方式。Polymarket 表示已解決此安全問題，目前無持續風險，但未透露受影響用戶數量及損失金額。

ChainCatcher 消息，慢霧向加密交易所 ICRYPEX Global 發送安全通知，稱已發現其潛在嚴重漏洞。慢霧提醒 ICRYPEX Global 儘快與其聯繫，以便協調後續步驟。

ChainCatcher 消息，USPD 協議官方發布緊急安全警報，確認其協議遭遇嚴重安全漏洞攻擊，導致未經授權的代幣鑄造和流動性耗盡。攻擊者利用名為 "CPIMP" 的高級攻擊手法，在部署過程中搶先執行代理初始化，獲取隱藏管理員權限。通過安裝 "影子" 實現並操縱事件數據，攻擊者成功規避了包括 Etherscan 在內的驗證工具，隱藏數月後利用權限鑄造約 9800 萬枚 USPD 並盜取約 232 枚 stETH。USPD 團隊已與執法部門和安全組織合作，標記攻擊者地址以凍結資金，同時提出願意將事件視為白帽救援，若歸還 90% 資金將停止執法行動。

ChainCatcher 消息，Uniswap 在 Cantina 上啟動最高 1550 萬美元的新漏洞賞金計劃，旨在鼓勵研究人員尋找並報告 Uniswap 協議、Uniswap Web 界面、後端服務、移動和擴展錢包以及基礎設施中的安全漏洞。該計劃提供了根據漏洞嚴重性等級劃分的獎勵，包括關鍵、高危、中等和低危四個等級，對應的最高獎勵分別為 1550 萬美元、100 萬美元、10 萬美元和 5 萬美元。

ChainCatcher 消息，据《日經新聞》報導，日本金融廳將要求加密交易平台建立責任儲備金，以在發生駭客攻擊或安全漏洞時賠償用戶損失。

ChainCatcher 消息，由於發生安全漏洞，Agentic FoF 遭到入侵，約 53.1 萬美元資金洩露。所有金庫目前均已暫停，Agentic FoF 的提款功能也已暫停，等待內部調查結果。Basis 金庫目前安全，但出於安全考量也已暫停；提款功能仍然可用。將在 24 小時內發布最新消息。

ChainCatcher 消息，比特幣橋接協議 Garden Finance 在 X 平台發文表示，已檢測到某個 "求解器（solver）" 存在安全漏洞，為進行安全漏洞調查，目前已將 APP 功能臨時下線，影響僅限於求解器自身，用戶資金和協議並不會面臨風險，將儘快披露更多信息。此前消息，"鏈上偵探" ZachXBT 在個人頻道發文披露 Garden Finance 疑似遭攻擊損失超 550 萬美元，其團隊已向攻擊者發送鏈上消息願意提供 10% 的白帽賞金，但尚未就此事公開置評。