漏洞

ChainCatcher 消息，据慢霧科技首席信息安全官 23pds 披露，Linux 平台的 Snap Store 應用商店出現新型安全漏洞，黑客通過劫持過期域名接管應用發布者帳號，將惡意代碼植入加密錢包應用。攻擊者監控並註冊 Snap Store 中關聯域名已過期的開發者帳號，利用這些域名郵箱觸發密碼重置，從而接管建立長期信譽的發布者身份。被篡改的應用偽裝成 Exodus、Ledger Live 或 Trust Wallet 等知名加密錢包，界面與正版幾乎無差別。目前已確認 storewise[.]tech 和 vagueentertainment[.]com 兩個發布者域名被劫持。這些惡意應用會誘導用戶輸入"錢包恢復助記詞"，一旦用戶提交，敏感信息將被傳至攻擊者伺服器，導致數字資產被盜。

ChainCatcher 消息，据 The Hacker News 報導，Cyata 研究員披露 Anthropic 維護的 mcp-server-git 存在三項嚴重安全漏洞（CVE-2025-68143/44/45），可被利用執行路徑穿越與參數注入，甚至實現遠程代碼執行。這些漏洞可通過提示注入被武器化，攻擊者僅需控制 AI 助手讀取惡意內容即可觸發攻擊。漏洞已在 2025 年 9 月與 12 月版本中修復，官方已移除 git_init 工具並增強路徑校驗，建議用戶儘快更新至最新版。

ChainCatcher 消息，Anthropic 維護的官方 mcp-server-git 中發現三個安全漏洞。這些漏洞可被通過提示詞注入攻擊手段利用，攻擊者在無需直接訪問受害者系統的情況下，通過惡意 README 文件或受損網頁即可觸發漏洞。這些漏洞包括：CVE-2025-68143（未限制的 git_init）、CVE-2025-68145（路徑驗證繞過）以及 CVE-2025-68144（git_diff 中的參數注入）。若將這些漏洞與文件系統 MCP 伺服器結合使用，攻擊者可執行任意代碼、刪除系統文件，或將任意文件內容讀取至大語言模型上下文中。Cyata 指出，由於 mcp-server-git 未對 repo_path 參數進行路徑校驗，攻擊者可在系統任意目錄創建 Git 倉庫。此外，通過在 .git/config 中配置清理過濾器，攻擊者可在無需執行權限的情況下運行 Shell 命令。Anthropic 已於 2025 年 12 月 17 日分配 CVE 編號並提交修復補丁。建議用戶將 mcp-server-git 更新至 2025.12.18 或更高版本。

ChainCatcher 消息，a16z Crypto 高級安全研究員 Daejun Park 發文，呼籲 DeFi 協議從"代碼即法律"轉向"規範即法律"，採用更原則性的安全方法。具體做法是通過標準化規範和不變性檢查（invariant checks）硬編碼安全保障，自動回退違反預定義規則的交易。Park 指出，幾乎所有已知漏洞都會觸發這類檢查，有望在執行過程中阻止黑客攻擊。據 Slowmist 報告，去年黑客通過代碼漏洞竊取超 6.49 億美元。即便是自 2021 年運行的老牌協議 Balancer 也在去年 11 月因代碼漏洞損失 1.28 億美元。開發者擔憂黑客越來越多使用 AI 尋找漏洞。Immunefi 安全主管指出，不變性檢查會增加 gas 成本，可能流失用戶，並非萬能藥。Asymmetric Research 聯合創始人表示，許多漏洞難以編寫既能檢測攻擊又不誤報的不變性規則。

ChainCatcher 消息，据 CoinDesk 報導，Immunefi CEO Mitchell Amador 在最新訪談時表示，儘管加密貨幣損失持續上升，但鏈上安全性正在提高。2025 年是有記錄以來黑客攻擊最嚴重的一年，但最大的安全故障並非源於鏈上代碼，而是源於 Web2 的操作失誤，如密碼、私鑰、受感染的設備和人為錯誤。隨著代碼變得越來越難以被利用，2026 年加密安全的主要攻擊面將是人，人的因素已成為 Web3 參與者必須優先考慮的薄弱環節。該觀點與 Chainalysis 的報告發現一致。報告顯示，2025 年因詐騙和欺詐造成的加密貨幣損失約 170 億美元。其中，冒充身份的詐騙同比增長 1400%，而由 AI 驅動的詐騙盈利能力比傳統方案高出 450%。

ChainCatcher 消息，据官網資訊，Starknet 生態 Perp DEX Paradex 宣布進行臨時維護，目前已過預計維護完成時間，但協議仍未上線。據社區反饋，部分用戶在 Paradex 上的永續合約交易因異常高額的資金費率而遭強制平倉。公開資訊顯示，Paradex 是去中心化永續衍生品 Layer2 應用鏈，會把加密機構流動性平台 Paradigm 的流動性與 DeFi 的透明度和自我托管相結合，將作為基於 Starknet 開發者堆疊的自己的鏈運營，並且是 StarkWare 和 Paradigm 之間持續六個月合作的結果。

ChainCatcher 消息，Genius 在 X 平台發現宣布，針對社區反饋的平台交易問題，目前部分漏洞已修復，包括：1、Gas 費用大幅降低：修復了 EIP-1559 鏈上 Gas 限制估算過高以及 maxPriorityFeePerGas 設置過高的問題；2、優化 BNB 跨鏈兌換：添加了少量 Gas 緩衝，以防止 Gas 不足導致的交易失敗，同時不會大幅增加 Gas 費用；3、使用 EIP-7702 修復了跨鏈交易費用贊助問題：更新了流程，可以正確執行由第三方贊助的跨鏈交易（不再出現舊版執行問題）。

ChainCatcher 消息，區塊鏈安全機構 BlockSec 發文稱，部署於 Arbitrum 上的 FutureSwap 協議在四天前遭首次攻擊後，再次被黑客利用重入漏洞攻擊，損失約 7.4 萬美元。攻擊者先在 3 天前通過重入函數 0x5308fcb1 超額鑄造 LP 代幣，待冷卻期結束後贖回超額抵押資產實現獲利。

ChainCatcher 消息，SVM Layer 1 項目 Fogo 在 X 平台發文稱："我們已察覺到一個漏洞，該漏洞導致第一賽季 Flames EVM 錢包分無法正確顯示。目前正在對此進行調查，請在 24 小時後再查看，如果問題提前得到解決，我們會及時更新說明。"

ChainCatcher 消息，据 Cointelegraph 報導，開發人員週四在 GitHub 上發布的一篇帖子中表示，比特幣質押協議 Babylon 中新披露的一處軟體漏洞，可能使惡意驗證者破壞網路的部分共識流程，在關鍵時期潛在地減慢區塊生成速度。該漏洞影響 Babylon 的區塊簽名方案，即 BLS 投票擴展方案，該方案用於證明驗證者已就某個區塊達成一致。該漏洞使惡意驗證者在發送投票擴展時能夠故意省略區塊哈希字段，而這可能導致在網路 epoch 邊界期間出現驗證者共識問題。區塊哈希字段用於告知驗證者在共識過程中他們實際投票支持的是哪些區塊，而該漏洞允許省略此字段。通過這一漏洞，理論上，惡意驗證者可在階段邊界的關鍵共識檢查期間使其他驗證者崩潰，如果多個驗證者受到影響，將導致區塊生成速度放慢。目前尚未有該漏洞被積極利用的描述，但開發人員警告稱，若不解決，該漏洞可能會被濫用。

ChainCatcher 消息，据市場消息，攻擊者透過 Synnax 合約在 SEI 鏈上發起閃電貸，借出 196 萬枚 WSEI（約 24 萬美元）並未歸還。此次攻擊由三区塊前一筆誤操作觸發：地址 0x9748...a714 錯誤將資金轉入合約，意外為攻擊提供了資金支持。攻擊路徑涉及 TX1 與 TX2 交易，顯示鏈上誤操作在 DeFi 攻擊中仍可能構成關鍵風險點。

ChainCatcher 消息，慢霧團隊安全研究員 23pds 轉發研究員 Adam Chester 報告，在 Anthropic 的 Claude Code 中發現一項提權與命令執行漏洞，攻擊者無需用戶授權即可實現命令執行，漏洞編號 CVE-2025-64755，相關 PoC 已公開。該問題被指與此前 Cursor 工具中披露的同類漏洞相似。23pds 稱已有釣魚黑客利用相關漏洞攻擊加密用戶。

ChainCatcher 消息，据市場消息，Bitcoin Core 通告，30 與 30.1 版本在遷移舊版（BDB 格式）錢包時存在嚴重漏洞，極少數情況下可能導致節點中所有錢包文件被誤刪，若無備份，恐造成資金永久丟失。僅影響遺留錢包遷移流程，常規使用及現有錢包不受影響。官方將於 30.2 版本修復該漏洞，在此之前請勿進行錢包遷移操作。

ChainCatcher 消息，慢霧在 X 平台發文表示，MistEye 檢測到與 Fusion 相關的潛在可疑活動。根本原因為項目團隊通過 EIP-7702 控制的 EOA 賬戶所委託的基礎合約存在漏洞，該漏洞允許任意外部調用，導致攻擊者能夠為 PlasmaVault 創建並配置惡意熔斷合約，從而從合約中提取資金。

ChainCatcher 消息，Fusion 發布安全更新：IPOR USDC Fusion Optimizer 存在 Arbitrum Vault 漏洞，IPOR 團隊接到通知，其發現一個漏洞導致價值 33.6 萬美元的 USDC 損失。該漏洞利用針對的是特定的舊版 Fusion Vault。由於其獨特的配置，這是唯一一個容易受到這種特定攻擊途徑影響的保險庫。損失僅占 Fusion 所擔保資金總額的不到 1%。其正在與 Security Alliance 合作追蹤和追回資金。IPOR DAO 將從財庫中彌補資金缺口。所有受影響的存款人都將得到全額補償。

ChainCatcher 消息，美國社區銀行正推動國會修訂 GENIUS Act，以封堵其認為允許穩定幣"變相付息"的監管漏洞。American Bankers Association 旗下社區銀行理事會在本週致信參議院稱，部分穩定幣發行方通過數字資產交易所等第三方間接向持幣用戶提供收益，削弱了法案中對穩定幣付息的禁止條款。GENIUS 法案此前明確禁止穩定幣發行方直接向持有人提供利息或收益，以避免與銀行儲蓄帳戶形成競爭。社區銀行理事會指出，當前包括 Coinbase、Kraken 在內的部分交易平台，仍向平台上的特定穩定幣持有者提供獎勵機制，可能對社區銀行的存款與放貸能力產生影響。該組織呼籲在正在審議的加密市場結構立法中，明確禁止穩定幣發行方的關聯方或合作夥伴向持幣人提供收益。報導還提及，Banking Policy Institute 此前亦提出類似訴求，認為相關做法可能引發傳統銀行體系存款外流。與此同時，Crypto Council for Innovation 與 Blockchain Association 等加密行業組織則向參議院表示反對，稱支付型穩定幣並非用於發放貸款，進一步收緊規則可能抑制創新與消費者選擇空間。

ChainCatcher 消息，Flow 網絡遭遇針對 Cadence 虛擬機類型混淆漏洞的攻擊，導致代幣非法增發。攻擊者利用複雜的"三部分漏洞鏈"繞過資源線性保證，將資源對象偽裝成結構體進行複製。事件造成約 390 萬美元的實際經濟損失，資金已通過 Celer、deBridge 等跨鏈橋流出。據 Flow 監測，攻擊者共製造了 879.6 億枚 FLOW 及多種代幣，其中 10.94 億枚 FLOW 被轉入中心化交易所。由於驗證者及時停機並與 OKX、Gate.io、MEXC 等合作，約 98.7% 的非法資產已凍結在鏈上或交易所，並已銷毀約 4.84 億枚 FLOW。網絡已於 12 月 29 日通過"隔離恢復計劃"恢復，目前已部署涵蓋參數校驗、運行時檢查及合約部署邏輯的全面補丁。

ChainCatcher 消息，据市場消息，Bitcoin Core 開發人員提醒用戶，30 版和 30.1 版存在錢包遷移漏洞，該漏洞可能會刪除文件並導致資金損失。這一問題在特定條件下才會出現，且會影響從未重新命名或升級過的舊 Bitcoin Core 錢包的遷移。Bitget 錢包市場分析師 Lacie Zhang 表示，當軟件嘗試遷移存儲在自定義錢包目錄（通常通過 "-walletdir" 設置來定義）中未命名的舊版 "wallet.dat" 文件，且同時啟用了 pruning 功能時，就會觸發該漏洞。在這種情況下，遷移看似成功完成，但清理邏輯會錯誤地刪除整個錢包目錄。Orbs 社區負責人 Shawn Odonaghue 表示，該漏洞主要影響 "非常老舊的錢包設置"，使用硬件錢包或現代錢包軟件的用戶不太可能遇到此類問題。Bitcoin Core 30.1 版於 1 月 1 日發布，而錢包遷移漏洞於週一公開披露，開發人員已從官方下載網站撤回了 30 版和 30.1 版的二進制文件。該項目提醒用戶，在修復版本 Bitcoin Core 30.2 版發布之前，不要使用錢包遷移工具，並強調未嘗試遷移的現有用戶可以繼續正常運行其節點。