漏洞

ChainCatcher 消息，硬體錢包 Coldcard 的 2021 年固件漏洞導致部分恢復種子隨機性不足。自 7 月 30 日起，攻擊者從受影響錢包轉走約 1,600 至 1,800 枚 Bitcoin，涉及數千個地址，估值超過 1 億美元。Coldcard 製造商 Coinkite 表示，需假設有人利用 AI 審查其公開固件。該漏洞已存在約五年，AI 是否參與相關攻擊尚未得到確認。Shielded Labs 研究員 Taylor Hornby 使用 Claude Opus 4.8 審計代理，發現 Zcash Orchard 屏蔽池電路一項始於 2022 年的漏洞，測試中可無痕生成無限量偽造 ZEC。開發者在數日內完成修復，未確認發生盜幣。區塊鏈分析公司 Chainalysis 統計顯示，攜帶惡意軟體指令及命令控制資訊的鏈上寫入量，日均從約 2.06 次升至 11.1 次，增幅 440%。

ChainCatcher 消息，Binance Wallet 發布安全公告 ：iPhone 使用者請檢查是否安裝過 FomoPeek 應用。幣安已注意到社群近期披露的一起安全事件。據慢霧 SlowMist 等安全公司稱，第三方應用 FomoPeek（版本 1.1-1.2）包含惡意代碼，可利用 iOS 系統漏洞獲取設備最高權限，並可能訪問設備上儲存的敏感數據，包括私鑰、助記詞、登錄憑證、聊天記錄、文件等。請注意，此類惡意軟體直接攻擊設備本身。如果攻擊成功，受影響設備上所有應用的數據都可能被訪問。請檢查以下內容：使用的是運行 iOS 26.x 或更早版本的 iPhone 或 iPad 嗎？是否安裝過 FomoPeek 應用？如果以上兩項均符合使用者情況，建議立即採取以下步驟：刪除 FomoPeek 應用，切勿重新安裝。將 iOS 系統更新至最新版本。對於使用自托管錢包的使用者：在從未安裝過該應用的設備上創建一個新錢包，並將資產轉移到新錢包地址。如果發現任何異常的資產活動，請保留受影響的設備和相關證據，並聯繫客服進行進一步調查。同時提醒所有使用者：請勿安裝來自不可信來源的應用，並保持您的設備軟體處於最新狀態。

ChainCatcher 消息，Visa 已告知支付行業參與者，Crossmint 處理 Meme 幣交易時使用的"數字商品媒體"商戶類別碼並不適用於 Meme 幣購買。Visa 已通知包括 Checkout.com 在內的支付處理商停止使用該類別碼，並給予相關機構過渡期，預計下週結束。此前 Robinhood Wallet 和 Fomo 用戶可通過 Apple Pay 或 Google Pay 使用 Visa、Mastercard 信用卡購買 Meme 幣，相關交易通過 Crossmint 處理，卻被標記為電子書、電影等數字媒體交易，從而繞過加密交易分類並獲得普通信用卡積分或現金返還。摩根大通此前向 Visa 提出相關交易分類問題，Visa 隨後認定至少一筆交易被錯誤歸類，不應獲得信用卡獎勵。未來 Meme 幣購買需按照加密貨幣交易進行處理，並適用 Visa 相應的規則和限制。

ChainCatcher 消息，Radix Foundation 發布事件報告稱，攻擊者利用 Radix Engine 此前未被發現的漏洞，在未經所有者授權的情況下從第三方金庫提取資產，並通過 Hyperlane 跨鏈至以太坊、BNB Chain 和 Solana 等網絡後出售。該漏洞源於 2023 年 6 月的一次代碼整理，2024 年 8 月 Zellic 進行的獨立安全審計也未發現該問題。事件發生約 3 小時後，Radix 驗證者通過主動下線足夠的質押份額使網絡無法繼續達成共識，從而阻止漏洞被進一步利用；受影響資產包括 ETH、WBTC、USDT、USDC、BNB 和 SOL 等。Radix 表示，漏洞修復已完成並經過獨立審查和測試，目前正推進網絡恢復。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Bitcoin Core 開發者 Niklas Gögge 警告，近期 AI 驅動的漏洞掃描正在改變比特幣安全形勢，大型語言模型已顯著降低漏洞發現成本，攻擊者可能僅需數百美元計算成本就能發現災難性漏洞。針對 Bitcoin Core，Project Loupe、Bitcoin Red Team 及個人貢獻者已生成超過 1000 份報告，但截至目前尚未發現高危或嚴重漏洞。Gögge 表示，依賴更強模型在攻擊者之前發現漏洞並非可持續的安全策略，開發者應通過自動化測試、模糊測試和基於屬性的測試構建能夠提前阻止整類漏洞的測試基礎設施。Bitcoin Core 關鍵組件已累計完成超過 100 年的 CPU 模糊測試，並進行了數十年的比特幣節點網絡模擬。

ChainCatcher 消息，据 EU-Startups 報導，法國里昂 AI 驅動漏洞操作中心 Hackuity 宣布完成 1600 萬歐元（約 1900 萬美元）融資，由 Forgepoint Capital International 領投，Bright Pixel、Bpifrance 及 Seventure Partners 跟投，累計融資總額達 3200 萬歐元。本輪資金將用於產品創新、AI 能力提升及歐洲、亞洲市場拓展。Hackuity 平台整合逾 130 款安全工具數據，通過專有風險評分引擎自動化漏洞優先級排序與修復，目前服務超 6000 名用戶，保護逾 200 萬資產，管理 10 億條安全發現，客戶涵蓋 ENGIE、BPCE 及 Orange Cyberdefense 等大型企業。

ChainCatcher 消息，据慢霧披露，Core Lightning（CLN）一個實驗性功能存在漏洞，可能使用戶資金面臨風險。Core Lightning 官方表示正在調查該漏洞，建議所有啟用實驗性功能的節點立即禁用並等待補丁。高風險選項包括 --experimental-dual-fund、--experimental-splicing 和 --experimental-peer-storage。慢霧稱，類似問題曾在 8 月修復，遠程對等方可在通道開啟或資金調整協議中指定任意甚至零費率，本地節點會在無額外驗證的情況下簽名並寫入資料庫，可能迫使節點支付異常費用，甚至觸發崩潰循環，導致節點長期離線。建議節點運營商立即禁用或移除所有實驗性參數；不要完全關閉節點，應使用離線模式保留鏈上監控能力，防止對等方在節點離線時強制關閉通道；待官方補丁發布後驗證簽名再升級，並警惕冒充官方帳號分享的虛假補丁鏈接。

ChainCatcher 消息，据 CoinDesk 报道，一名攻擊者利用 Safe 多簽錢包所授權 Multicall 合約的權限校驗缺陷，試圖轉走約 2900 枚 rsETH（約 780 萬美元），但自動交易機器人 yoink 在公開交易池中發現該筆交易，支付約 4.7 萬美元手續費搶先成交，截獲 2882 枚 rsETH 並轉入另一地址。BlockSec、Blockaid、慢霧與 AstraSec 均確認漏洞出在用戶自行授權的組件，而非 Safe 核心合約。rsETH 發行方 Kelp DAO 已對接收地址實施 24 小時暫停。

ChainCatcher 消息，据慢雾監測，GitLab CE/EE 存在一個嚴重的路徑遍歷漏洞 CVE-2026-85706，CVSS 評分為 10，未經身份認證的攻擊者可通過 Repository Commits API 讀取受影響 GitLab 伺服器上的任意文件。GitLab 已發布安全補丁。受影響版本包括 18.7 起至 19.1.8 之前、19.2 起至 19.2.6 之前、19.3 起至 19.3.2 之前的版本。自管理 GitLab 用戶應立即升級至 19.1.8、19.2.6 或 19.3.2，並在打補丁後檢查日誌和可能暴露的憑證。

ChainCatcher 消息，据 Cointelegraph 報導，歐盟《網絡彈性法案》（CRA）於 9 月 11 日正式生效，要求加密硬體與軟體錢包提供商在發現被積極利用的漏洞或嚴重安全漏洞後 24 小時內提交早期預警報告，並在 72 小時內提交完整通知。製造商還需在採取糾正或緩解措施後 14 天內提交最終報告，嚴重事件則需在一個月內完成上報。歐盟委員會表示，新報告要求旨在更好地保護消費者和企業免受網絡威脅，適用於所有在歐盟市場上架銷售的"含數字元素產品"，並建立在歐盟更廣泛的網絡安全戰略之上。根據最終草案的處罰條款，未遵守第 13 條和第 14 條規定的公司可能面臨最高 1500 萬歐元（約 1730 萬美元）或全球年營業額 2.5% 的行政罰款，以較高者為準；提供不正確、不完整或誤導性信息也將面臨最高 500 萬歐元的罰款。該措施出台前，多家硬體錢包廠商近期披露了用戶數據泄露事件。9 月 4 日，Trezor 披露其物流供應商 ShipMonk 遭遇的數據泄露影響約 6.7 萬名美國客戶，超出最初估計的 1.4 萬人；本週 Trezor 與 BitBox 還警告用戶警惕偽裝成緊急安全通知的釣魚郵件。6 月，Layer-1 區塊鏈網絡 Zilliqa 曾警告其 Ledger 應用存在漏洞，攻擊者可能利用公開鏈上數據恢復用戶私鑰。

ChainCatcher 消息，据 Cointelegraph 報導，跨鏈流動性協議 Symbiosis 宣布已從其比特幣橋接漏洞中追回 15 枚 BTC（約 110 萬美元），並存入團隊控制的多簽錢包。此次漏洞發生於上週五，攻擊者利用協議漏洞鑄造 461 億枚無抵押代幣，實際獲利 4.3 枚 WBTC（約 33.6 萬美元）。Symbiosis 此前曾向攻擊者提供 20% 白帽賞金要求歸還資產，但截止日期已過、攻擊者未予回應。目前協議已轉而向任何能提供線索協助追回資產的人士提供 20% 賞金，同時承諾將公布對受影響流動性提供者的賠償方案，受影響的比特幣橋接功能仍處於暫停狀態。

ChainCatcher 消息，鏈上安全平台 Blockaid 發現，跨鏈協議 Symbiosis 的比特幣橋存在漏洞，攻擊者向新建外部擁有賬戶鑄造約 2^62 枚 syBTC，按 8 位小數計算面值約 461 億美元，並在 Ethereum 的 Uniswap V4 賣出約 4.39 枚 WBTC，已實現套現約 33.6 萬美元。Symbiosis 表示，攻擊發生於 9 月 11 日 4 時 28 分左右，團隊已暫停 BTC 路由，其他路由仍可運行且未受影響。團隊已追回約 15 枚比特幣，並將其存入由團隊控制的多簽錢包，同時向攻擊者提供資金 20% 的白帽賞金，截止時間為 9 月 13 日。近幾週內，Liquid Network、Nomic 與 Symbiosis 均出現通過鑄造無真實資產支持代幣擴大供應的安全事件。截至 9 月 13 日，Symbiosis 尚未公開 BridgeV2 技術復盤、最終損失金額或攻擊者是否接受賞金的確認。

ChainCatcher 消息，据 Decrypt 報導，國際清算銀行發布的一份新報告顯示，先進的 AI 技術縮短了銀行在攻擊者利用軟體缺陷之前修復缺陷的時間窗口。其警告稱，周期性的安全評估和預定計畫的補丁更新已愈發不足以應對挑戰，從漏洞被發現到被利用之間的時間窗口已從數週縮短至數分鐘。該報告重點關注銀行的應對能力，主張金融機構必須加快軟體修復速度，並加速相關的授權決策流程。

ChainCatcher 消息，据 SlowMist 安全警报，ether.fi 的 AtomicQueue 合約因 solve() 函數缺乏訪問控制，導致約 15.45 枚 ETH 被盜。攻擊者利用 updateAtomicRequest() 創建惡意請求，強制受害者地址作為 solver，隨後 AtomicQueue 調用受害者的 finishSolve 並執行 want.transferFrom，濫用受害者已有的 ERC-20 授權轉移資金。SlowMist 已先私下向 ether.fi 團隊披露，攻擊者地址和漏洞合約地址已公布。

ChainCatcher 消息，据 Bitcoin News 监测，DART 表示，其与獨立白帽研究人員已從受 COLDCARD 熵漏洞影響的錢包中救回超過 50 枚 BTC，並在惡意攻擊者盜取前完成轉移。DART 是一家數位資產追回組織，與白帽研究人員合作保護存在漏洞的資金，並協調將其合法返還給所有者。白帽研究人員未要求懸賞，將把比特幣返還給所有者。獲救的 BTC 已轉入 Crypto Recovery Trust。該信託是依據 Wyoming 州法律設立的專用法定信託，用於持有追回的數位資產，並在確認和核實合法所有者後進行返還。信託將記錄追回過程，將 BTC 與 DART 及研究人員的資金分離，開展區塊鏈分析、所有權核查和制裁篩查，並為經核實的所有者提供合法返還流程。若所有權存在爭議，或相關資金涉及制裁或刑事程序，BTC 將按照適用法律程序處理。DART 表示，其他存在漏洞的資產及追回線索仍在審查中。

ChainCatcher 消息，Liquid Network 發布最新進展稱，緊急版 Elements v23.3.4 現已上線，Functionary 節點已立即開始升級，並建議所有 Liquid 節點運行者同步更新。該版本針對此前發現的 Proof 驗證快取漏洞進行修復，強化了 Range Proof 使用的快取鍵。關於網路恢復，Blockstream 稱目前仍在制定恢復方案，預計分三個階段推進：恢復出塊但繼續暫停 Peg 操作；重放已驗證有效的交易；在網路狀態完全恢復並確認資金返還後恢復 Peg 操作。目前前兩個階段正在並行測試，任何階段只有在確認安全後才會推進。Liquid Network 表示，Elements v23.3.4 已完成多輪內部及外部審查，參與方包括 Bitcoin Red Team、Alpen Labs 等團隊。同時，Liquid Network 提醒用戶警惕利用此次事件實施詐騙的假冒升級網站，僅應通過官方 Liquid Network 及 Blockstream 渠道獲取資訊，切勿向陌生人發送資金或洩露私鑰、助記詞。

ChainCatcher 消息，据 Bitcoin News 監測，Liquid 漏洞利用事件背後的白帽黑客團伙指責 Blockstream 僅花費 150 萬美元，甚至可能未花費任何資金，為價值 50 億美元的資產提供安全保障。該團伙在一條新的鏈上消息中要求 Blockstream 使用自有資金支付相當於相關資產 10% 的漏洞賞金，並警告稱拒絕支付將導致持有者虧損 15%。該團伙還表示，將公布用於解密此前與 Blockstream 對話內容的私鑰。此前，該團伙已向 Liquid Federation 返還 3,400 枚 BTC，仍有約 600 枚 BTC 尚未返還。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Alby 確認 Alby Hub v1.7.0 至 v1.18.5 存在關鍵漏洞，若管理 API 暴露於公網，攻擊者可能獲得未授權訪問權限並轉移資金。目前已知有 1 名用戶受到影響，Alby Hub v1.19.0 及更高版本不受影響。Alby 建議受影響用戶限制管理介面的公網訪問，立即更新至 v1.24.0，並在更新後更改解鎖密碼。Bitcoin Team Red、Project Loupe 及其他研究人員報告的多個問題也已在最新版本中修復。

ChainCatcher 消息，据 Bitcoin News 監測，Liquid Federation 發布事件報告稱，攻擊者利用 Elements 範圍證明驗證快取漏洞，鑄造約 4000 枚無儲備 L-BTC，隨後通過 SideSwap 獲授權的退出錨定路徑將其兌換為真實 BTC。Liquid 職能機構將相關交易視為有效，並從聯邦儲備中釋放約 4000 枚 BTC。事件發生前，Liquid 持有約 4205 枚 BTC，暫停運營前儲備最低降至 197 枚 BTC。自稱白帽的攻擊者此後已返還 3400 枚 BTC，仍有約 598.5 枚 BTC 未返還。未有私鑰遭洩露，退出錨定機制本身按設計運行。Liquid 目前仍處於離線狀態，Blockstream 正準備發布 Elements v23.3.4 緊急版本，並著手在 1:1 比特幣儲備支持下恢復網絡。

ChainCatcher 消息，据官方消息，The Sandbox 宣布正式開放 SAND 補償申領。此前在 8 月 22 日發生的 Base 和 BNB Smart Chain（BSC）網絡 SAND 跨鏈合約漏洞事件中受到影響的用戶，如在事件發生前持有受影響網絡上的橋接版 SAND，可按 1:1 比例獲得以太坊網絡上的 SAND 全額補償。補償資格以事件發生前的鏈上餘額快照為準，與用戶在事件發生後的交易、轉帳或持倉行為無關。The Sandbox 表示，補償資格基於合約遭劫持前記錄的鏈上餘額確定，Base 網絡快照對應 2026 年 8 月 21 日 23:42:03 UTC 的區塊 50283188，BSC 快照對應 2026 年 8 月 21 日 11:42:44 UTC 的區塊 117322025。通過中心化交易平台持有 Base 或 BSC 網絡 SAND 的用戶無需採取任何行動，The Sandbox 正與相關交易平台協調處理補償；通過個人錢包持有的用戶則需要自行進行申領。申領時間為 9 月 8 日至 9 月 22 日 24:00（UTC+8）。申領僅需由事件快照時持有 SAND 的原錢包發起一筆交易，無需代幣授權、無需簽署鏈下消息，也無需向任何地址轉帳。