密鑰洩露

ChainCatcher 消息，据 Blockaid 監測，MILC Media Metaverse 在 BNB 和以太坊上的跨鏈橋發生密鑰洩露事件。攻擊者利用歷史橋管理員錢包，為自己控制的 EOA 地址授予了管理員權限，隨後從橋合約中提取了 MLT 代幣，並將跨鏈橋的管理員控制權轉移至攻擊者錢包。目前，攻擊者已在 BSC 上獲取約 97,003 枚 USDT，在以太坊上通過 Rhino.fi 轉移約 39.21 枚 ETH，總損失約 16.1 萬美元。

ChainCatcher 消息，Galxe 發布安全更新稱，一枚遭到洩露的內部密鑰影響了已退役的 Galxe SpaceStation V2 合約。Galxe 強調，本次事件未影響任何用戶錢包或資金安全，即使用戶過去曾與相關合約互動，錢包資產也"完全安全"。平台表示，問題僅局限於相關合約層面，目前已確認根本原因，並正在更新安全控制措施，後續將在調查完成後公布完整報告。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 轉推稱，雲托管平台 Vercel 內部系統遭未經授權訪問一事，疑似與內部數據洩露有關。相關推文表示，有人在 BreachForums 上自稱為 ShinyHunters，以 200 萬美元出售所謂 Vercel 內部數據庫、訪問密鑰、源代碼、員工帳號、API keys、NPM tokens 及 GitHub tokens 等。相關數據疑似涉及 Vercel 內部 Linear 系統及內部用戶管理系統。此前消息，雲托管平台 Vercel 披露內部系統遭未授權訪問，少量客戶受影響。

ChainCatcher 消息，Web3 安全公司 GoPlus 發文稱，AI 開發工具 OpenClaw 近日被曝出現一次自我攻擊安全事件。在執行自動化任務時，系統在調用 Shell 命令創建 GitHub Issue 過程中構造了錯誤的 Bash 指令，意外觸發命令注入，導致大量敏感環境變量被公開。事件中，AI 生成的字符串包含反引號包裹的 set，被 Bash 解釋為命令替換並自動執行。由於 Bash 在無參數執行 set 時會輸出當前所有環境變量，最終導致超過 100 行敏感信息（包括 Telegram 密鑰、認證 Token 等）被直接寫入 GitHub Issue 並公開發佈。GoPlus 建議，在 AI 自動化開發或測試場景中，應儘量使用 API 調用替代直接拼接 Shell 命令，並遵循最小權限原則隔離環境變量，同時禁用高風險執行模式，並在關鍵操作中引入人工審核機制。

ChainCatcher 消息，ZKsync 創始人兼 Matter Labs 首席執行官 Alex Gluchowski 在社交平台發文，重申協議未發生代碼、合約或操作員密鑰洩露事件，並表示 ZKsync 正是因具備終極安全架構（Endgame）才經受住考驗。目前團隊仍在就相關安全事件展開調查，待調查與恢復工作完成後將發布詳細說明。Alex 表示，自己是在收到社區反饋後第一時間啟動調查。他補充稱，儘管近期多數 Layer2 項目代幣價格普遍承壓，ZKsync 表現相對穩健，但團隊依然對投資者、合作夥伴及成員負有不可違背、具法律效力的承諾。

ChainCatcher 消息，Saga 在 X 上發文提醒稱："SG-1（@sg1_online）帳戶密鑰已洩露，但沒有資金受到影響，網絡仍然安全。新的 SG-1 驗證器節點現已上線，基金會已從舊 SG-1 中解除質押 1600 萬枚 Saga 代幣。如果用戶此前委託給舊 SG-1，請重新委託。"

ChainCatcher 消息，据 Ars Technica 報導，蘋果公司 M 系列芯片中新發現的漏洞或造成錢包密鑰洩露。該漏洞是一個側通道，當蘋果芯片運行加密錢包時，它允許端到端的密鑰提取，但這個缺陷無法直接修補，因為它源於芯片本身的微架構設計。相反，只能通過在第三方加密軟體中建立防禦措施來緩解這一問題，這些軟體在執行加密操作時會大幅降低 M 系列的性能，尤其是在早期的 M1 和 M2 代產品上。當目標加密操作和具有正常用戶系統權限的惡意應用程式在同一 CPU 集群上運行時，該漏洞就會被利用。

ChainCatcher 消息，据 PeckShield 監測，標記為 Arbitrum 原生 DEX GMBL.COMPUTER 黑客的地址已經 471.3 枚 ETH ( 約 77 萬美元 ) 轉移到 0x2d6f 開頭新地址。此前報導，PeckShield 監測 GMBL.COMPUTER 簽名密鑰已被洩露，GMBL.COMPUTER 稱因密鑰洩露導致近 500 ETH（約 81.5 萬美元）被盜。

ChainCatcher 消息，Arbitrum 生態 DEX GMBL.COMPUTER 在 X 平台解釋了今日簽名密鑰洩露事件的經過，稱有人能夠偽造"調用"並從其伺服器獲取簽名，然後將該簽名傳遞給合約，並從合約中提取了價值近 500 ETH（按當前價格約合 81.5 萬美元）的 GMBL。GMBL.COMPUTER 表示，這不是合約漏洞，目前團隊已找到了問題的根源，密鑰洩露是發生在鏈下的行為，團隊已經掌握了攻擊者的所有信息，並將開始追回資金。其將提供漏洞賞金，如果資金得以返還，則不會採取法律行動。