漏洞

ChainCatcher 消息，DeFi 風險管理機構 Gauntlet 在部分 OP Stack 鏈出現 op-reth 漏洞報告後，已關閉其 V1 金庫的供應隊列，暫停資產配置，並降低對 LayerZero 跨鏈橋資產的敞口。Gauntlet 表示，據其所知，目前尚無該漏洞被利用的報告。報告指出，清空供應隊列將阻止新的金庫存款，但該措施本身並不會關閉提款功能或底層借貸市場，提款仍取決於底層市場可用的流動性。Gauntlet 稱，相關措施將持續至問題解決為止，但未給出具體的恢復時間。Gauntlet 是面向 DeFi 借貸協議的風險策展方，為 Morpho 等協議上的金庫提供風險管理服務，負責設定抵押參數、供應上限與資產配置策略。此次調整涉及其在相關鏈上運營的 V1 金庫。

ChainCatcher 消息，据 GCSA 監測，全球網絡安全聯盟（GCSA）發布三份獨立技術調查報告，披露近期多項數位資產安全風險。攻擊者冒用 security@ku.com 身份誘導用戶下載遠程控制程序。GCSA 發現相關域名此前未配置 DMARC；經通報後，KuCoin 已完成整改並啟用 DMARC 隔離策略。Bitkub 官方文檔引用的 MCP 工具包原版下架後，第三方重新註冊了 npm 包名。未固定版本的安裝方式及明文密鑰風險可能導致憑據洩露，目前尚無實際竊取證據，Bitkub 暫未回覆通報。Avalanche 生態內 TranchePool 金庫因跨日結算邏輯缺陷遭攻擊，攻擊者利用閃電貸與重複提款，在 202 秒內轉出約 101.34 萬枚 USDC。該事件屬於上層應用漏洞，底層網絡未受影響。GCSA 表示已向相關平台通報線索，並公布原始分析與證據供業界參考。

ChainCatcher 消息，GitBook 發布 11 月 2 日安全事件復盤稱，攻擊者利用其單點登錄流程漏洞偽造員工登錄會話，進而查詢組織內配置不當的 GitHub App 認證信息，進入內部代碼倉庫並拿到 Cloudflare API 密鑰，最終借服務賬戶獲得完整生產環境權限。GitBook 在數小時內禁用相關內部服務賬戶切斷攻擊，平台因此下線約 16 小時，並於 11 月 3 日 11:56 UTC 全面恢復。攻擊者在生產環境累計約停留 3 小時 25 分鐘，GitBook 已輪換全部基礎設施與托管客戶密鑰並作廢 API 令牌。GitBook 表示，現有跡象顯示攻擊針對單一客戶而非平台整體，未發現其他客戶內容被篡改，但因攻擊者可觸及平台內客戶數據，已按全部客戶數據均可能暴露處理，涉及 API 令牌、集成密鑰、會話簽名密鑰、助手問答記錄及已授權倉庫的 GitHub、GitLab 應用權限等，賬單信息、密碼與 IP 地址未受影響。GitBook 稱攻擊推進速度與精度高度依賴自動化與 AI。慢霧首席信息安全官 23pds 轉發該復盤稱，被點名目標即為 Trade.xyz。Trade.xyz 此前表示，文檔異常來自 GitBook 基礎設施遭入侵，自身基礎設施未見被攻破跡象，並將在數日內遷離 GitBook。

ChainCatcher 消息，据 CoinDesk 報導，XRP Ledger 於北京時間 11 月 4 日 22:52 啟用了名為 fixCleanup3_4_0 的修復。該修復堵住了一個漏洞：某些原本只被授權"銷毀"發行方代幣的賬戶，在特定條件下也能創建新代幣。該漏洞影響了網絡的許可委託系統，例如穩定幣發行方可授權支付處理商在客戶贖回時銷毀代幣，但不授予其創建新代幣的權限；舊規則下，持有有限銷毀權限的賬戶可能同時鑄造代幣。該漏洞影響 XRP Ledger 上發行的資產，包括穩定幣，但不影響 XRP 本身，目前沒有公開確認的利用案例。此次修復還包括對計劃中的借貸系統和 Single Asset Vaults 的會計修正，以及自動交易池代幣回收、許可交易和交易簽名等方面的修正。啟用是在 10 月嘗試因驗證者支持中斷後，經過連續兩週支持才完成的。

ChainCatcher 消息，慢霧首席信息安全官 23pds 在 X 平台發文稱，Android 零點擊遠程代碼執行漏洞已納入 11 月安全補丁，建議用戶務必升級。Google 2026 年 11 月公告修復了 200 多個漏洞，其中最嚴重的是 Framework 層 CVE-2026-58868（Critical），可遠程執行任意代碼，無需用戶交互和額外權限，影響 Android 14、15、16、16 QPR2 和 17。目前暫無確認的在野利用。23pds 表示，安全補丁級別為 2026-11-01 及以上的版本包含 CVE-2026-58868 等 Framework/System 修復；11 月 5 日及以上的版本覆蓋本輪全部漏洞，包括內核、聯發科、高通等芯片層修復。用戶可在"設置→關於手機→Android 版本"中查看"安全補丁級別"。

ChainCatcher 消息，慢霧首席信息安全官 23pds 在 X 平台發文稱，與東歐相關的 APT29 專業組織正透過被入侵的網站和被劫持的網路分析工具腳本，傳播 iOS 和 Android 漏洞利用工具。其指出，DarkSword 和 AndroSnitch 已開始批量攻擊，使用者訪問的正常網站或 App 可能帶有後門。他建議使用者將系統升級到最新版本。

ChainCatcher 消息，開源比特幣支付處理工具 BTCPay Server 收到多起報告，稱其平台上的比特幣和萊特幣熱錢包遭到未經授權的資金盜取。專案團隊發布調查更新，確認攻擊針對運行 BTCPay Server 2.4.1 版本或更早版本的伺服器。攻擊者利用了已於 8 月 7 日在 2.4.2 版本中修復的漏洞，通過不同方法獲取伺服器管理員權限並清空熱錢包資金。BTCPay Server 創始人 Nicolas Dorier 確認，只有運行 2.4.2 之前版本，尤其是 2.4.1 版本的伺服器受到影響；運行最新 2.4.7 版本的用戶尚未出現可信的損失報告。部分受影響的服務商，包括 LunaNode，已自動關閉存在風險的舊版實例。官方建議仍使用 2.4.1 或更早版本的用戶立即將舊熱錢包中的剩餘資金轉移至使用全新助記詞創建的新錢包，將舊伺服器下線並保留相關日誌，隨後在全新虛擬機上安裝最新版本並連接新錢包，切勿將舊伺服器整體恢復至新機器。僅更新軟體版本不足以消除風險，因為攻擊者可能已在舊伺服器上獲得持久訪問權限。存放在伺服器之外的資金，例如硬體錢包中的資金，未受到此次事件影響。該漏洞與今年 8 月修復的漏洞相關，當時攻擊者曾通過獲取 LND 管理憑證操控節點。截至目前，該漏洞尚未被分配 CVE 編號，也不在 CISA 已知被利用漏洞目錄中。

ChainCatcher 消息，据 OpenAI 官網披露，該公司已搭建覆蓋漏洞發現、動態驗證、可利用性評估與補丁生成的自主安全研究流水線。在一次以即將推出的網絡模型為核心的運行中，流水線對 Linux 內核相關目標完成掃描與驗證，並生成 948 個可在常用 Linux 發行版上實現本地提權（LPE）的漏洞利用，API 成本約 121.3 萬美元，約合每個 LPE 利用 1,279 美元。據介紹，該流水線共識別並分析 2,308 個候選發現，動態復現 1,724 個漏洞，另產出 291 個信息洩露 PoC；目標虛擬機運行帶完整防護的標準桌面系統。Scout 智能體先圈定約 5,034 個審計目標（約 280 萬行代碼，約占內核 7%），Analyst 智能體在約 12 小時內產出候選發現。OpenAI 表示已按 Linux 社區建議優先報送關鍵漏洞補丁，並與 Patch the Planet 合作方繼續推進其餘報告。OpenAI 還稱，在適配的 kernelCTF 環境中另獲得 25 個信息洩露 PoC 與 21 個 LPE；抽檢 166 個利用中，智能體據稱使用了至少 10 種其認為較新的 Linux 利用技術。公司強調維護者修復很快：掃描約 10 天內已有逾 100 個 LPE 獲修補或進入暫存補丁，另有約 300 個進入公開討論。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，比特幣安全研究員 Talip 稱，其團隊在兩個月內借助 AI 發現超過 1 萬項潛在漏洞。團隊由志願工程師組成，部分發現已完成評估、披露並修復，其他披露仍在進行。Talip 表示，AI 生成的發現需要獨立驗證，因為其中不少可能是假陽性，或誇大漏洞嚴重程度。

ChainCatcher 消息，比特幣閃電網路客戶端 Core Lightning 發布 26.06.10 版本，修復了涉及通道餘額的風險，以及可導致節點遠程崩潰的漏洞。官方敦促節點運營者儘快完成升級。維護團隊表示，為給節點運營者留出升級窗口，暫未公開針對上述修復的測試用例，相關細節將在節點完成更新後披露。

ChainCatcher 消息，据 The Block 報導，以太坊隱私 Layer 2 網絡 Aztec 背後的 Aztec Foundation 已推出 Tierra（Alpha V6）升級，修復此前版本的安全漏洞，包括 V5 中的一項嚴重漏洞，並引入基於 AI 的安全測試系統。性能方面，新版本將隱私交易證明生成速度提升至原來的兩倍，在本地設備上僅需約 1 秒；以太坊消息傳入 Aztec 的時間也從平均約 2 分鐘縮短至最快 12 秒，進一步提升跨鏈存款及交易效率。Aztec 表示，由於網絡採用去中心化架構，修復關鍵漏洞需要整個網絡升級，目前正計劃加快未來安全更新的部署速度。生態方面，Aztec 近期重新推出自托管隱私錢包 zk.money，並有多個應用陸續上線或準備上線，包括支持隱私 AI 推理的 Galactica、隱私永續合約交易平台 Nemi、隱私瀏覽器錢包 Nulo，以及支持隱私支付和交易的 Xochi、Nyx 等。與此同時，Aztec 還發布了全新品牌形象及網站，目標是成為隱私應用的基礎設施平台。

ChainCatcher 消息，Anthropic 披露，Claude 編寫的漏洞利用程序可在特定 Linux 伺服器上遠程執行命令，Ubuntu 多個版本的修復仍在推進。

ChainCatcher 消息，區塊鏈漏洞賞金平台 Immunefi 宣布上線 Immunefi Credits。自提交費用機制啟動以來，研究員為有效報告支付的費用將獲得等額 Credits，範圍包括本人有效發現、有效報告的重複提交、私人已知問題，以及調解結果有利於研究員的情形。平台表示已有超過 700 名研究員獲得 Credits，無需另行申請，額度可在控制台餘額關聯的 Credits 頁面查看。Immunefi 表示，即日起 Credits 可用於支付平台內提交報告、調解、帳戶驗證等費用，並在 Immunefi Studio 向公眾開放後用於相關服務。1 個 Credit 價值 1 美元，可用 USDC 購買。Credits 不替代漏洞賞金或審計競賽獎勵，有效發現仍按原規則獲得獎勵，並額外獲得與提交費用等額的 Credits。本次追溯發放的 Credits 自即日起有效期為 12 個月，此後每筆 Credits 自入帳日起有效 12 個月，綁定帳戶，不可轉讓或兌現。可計入的情形還包括漏洞賞金中已支付或審計競賽中已確認的本人發現、他人有效報告的重複項、私人已知問題及其重複項，以及調解勝訴時的調解費用。公開已知問題、無效報告、超出範圍、違反政策、被拒報告的重複項以及本人報告的重複項不計入。帳戶驗證費用在驗證後有有效報告且準確率至少達到 25% 時可獲得等額 Credits。費用機制自 3 月 24 日起適用於漏洞賞金，自 4 月 10 日起適用於審計競賽，目前相關核驗約每兩週進行一次。

ChainCatcher 消息，開源 AI 從業者 Jun Song 在 X 發文稱：昨日有匿名黑帽組織聯繫他，提出一項強化學習請求，願支付極高金額，委託其對開源權重模型做後訓練，所用數據為漏洞利用數據。Jun Song 同時運營韓國數據中心硬體出口業務，並推進項目 0xSupergemma。Jun Song 稱，對方聲稱持有的攻擊數據規模是他前所未見的，即便有人說這是執法機構臥底數據集，他也會相信。作為對照，他參與的一項白帽項目使用 GLM-5.3，數據量不到該規模的 1%，表現已大幅超過前沿模型。他已拒絕該請求，並表示真正擔心的是最終會有其他人接受這筆交易。

ChainCatcher 消息，Solana 基金會驗證者關係負責人 Tim Garcia 發推稱，Linux 內核漏洞 CVE-2026-98432 已在 Linux 內核中修復，但 Ubuntu 尚未發布補丁。Tim Garcia 建議運行 Ubuntu 的驗證者暫時阻止含 IPv4 選項的入站 TCP 資料包，並禁用多路徑 TCP 及 TCP 請求套接字遷移。

ChainCatcher 消息，据 Cardano 生態治理組織 Intersect 發布的最新週報，一項編號為 CVE-2026-98432 的嚴重 Linux 內核漏洞可能影響包括 Ubuntu 在內的多個 Linux 發行版，其 CVSS 安全風險評分高達 9.8 分（滿分 10 分）。Intersect 警告 Cardano 質押池運營商（SPO），應立即檢查區塊生產節點及中繼節點使用的 Linux 內核版本，並在對應發行版發布安全補丁後儘快更新和重啟伺服器。目前，部分 Linux 發行版已提供修復補丁，但包括 Ubuntu 在內的部分發行版仍在準備更新。Intersect 表示，將通過官方 X 帳號及質押池運營商社區持續發布安全指引。

ChainCatcher 消息，OnKey 創始人 Yishi 於 X 平台發文提醒，使用舊款 iPhone 作為加密資產冷錢包可能存在安全風險。iPhone 4S 至 iPhone X 存在於 BootROM 中的 checkm8 漏洞，今年 6 月公開 usbliter8 漏洞影響範圍則包括 iPhone XS、XR、11 系列和第二代 SE，均涉及設備底層啟動代碼，無法通過 iOS 系統更新修復。攻擊者在獲得設備物理訪問權限後，可通過 USB 接口在 iOS 啟動前執行代碼，開啟飛行模式也無法阻止此類攻擊。Yishi 建議，iPhone 11 及更早機型不建議用於存儲助記詞，已經使用此類設備保存助記詞的用戶，應在可信環境中生成全新助記詞並遷移資產，而非僅更換原助記詞下的錢包地址。此外，用戶還應及時更新系統、使用更複雜的設備及錢包密碼，避免使用公共 USB 接口充電，並警惕設備長時間脫離自身控制期間可能遭受的物理攻擊。此前 OneKey 創始人 Yishi 曾於 X 平台發文建議用戶使用 iPhone 作為冷錢包，但只建議用 iPhone 17 或更新的機型。

ChainCatcher 消息，据慢雾安全團隊分析，跨鏈協議 zkLink 遭攻擊，損失約 78.3 萬美元。攻擊者利用瞬態存儲中的殘留驗證值偽造提款驗證所需的批次根，隨後完成 12 次提款，包括 1 次 ETH 提款和 11 次 ERC-20 代幣提款。攻擊者先通過一次真實跨鏈消息領取並寫入驗證值，再在同一筆交易的後續調用中重用該值，借助中繼及網關合約寫入偽造的批次根。相關合約允許中繼者指定外部調用目標和參數，驗證值未被清除或綁定至當前調用；批次根更新僅校驗網關身份，缺少獨立證明驗證。

ChainCatcher 消息，隱私公鏈 Iron Fish 官方發文稱，將於當日正式終止對 Iron Fish 網絡的全部剩餘支持。團隊表示，數日前觀察到涉及 wIRON 與跨鏈橋 ChainPort 的異常活動，在與 ChainPort 合作並審閱其日誌後，確認原因是 Iron Fish 區塊鏈本身存在通脹漏洞。官方稱，該漏洞可追溯至 2019 年初 Merkle 樹實現中的一次提交。當時開發者實現的是標準 Merkle 樹，但由於票據 nullifier 的計算方式存在細節差異，攻擊者得以多次花費同一票據，隨後匯總相關票據並通過 ChainPort 跨鏈橋轉出。官方表示，該代碼路徑曾納入外部與內部審計範圍，但審查時未被發現。團隊稱，已在關閉並歸檔 ironfish 代碼庫之前提交漏洞補丁，並在相關 PR 中附上事後說明。Iron Fish 主網於 2023 年 4 月 20 日上線，開發公司後被 Coinbase 收購；基金會曾於 2026 年 4 月宣布轉入維護模式。

ChainCatcher 消息，網路安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。漏洞可能允許攻擊者通過構造特定 Web 請求，以 root 權限在後端容器中執行代碼，並訪問本地受保護資源及外部網路。XBOW 表示，已依據 EAC 公布的漏洞披露政策報告該問題，經 EAC 團隊驗證後，漏洞已於美國聯邦中期選舉之前修復。