錢包安全

ChainCatcher 消息，DeBot 團隊成員 Cat 發布公告披露，9 月 16 日凌晨，DeBot 收到一起錢包安全風險告警並第一時間啟動應急防護措施，受影響的相關錢包已被臨時隔離。官方表示，相關錢包內的本幣及穩定幣資產將按 1:1 映射自動轉入全新無私鑰錢包，Meme 代幣將部分轉移，新錢包仍可正常安全交易。保護期間用戶仍可正常提現與轉出 Token，但暫時無法導出私鑰，具體恢復時間將另行通知。截至公告發布時暫未發現用戶資產異常，平台提醒用戶立即暫停使用舊錢包、切勿繼續充值，並建議自行排查其他未被自動轉移的公鏈資產或部分 Meme 幣並及時完成手工轉移。

ChainCatcher 消息，鏈上分析師 SomaXBT 於 X 平台發文表示，疑似 Lootbot 用戶遭遇錢包集體被盜事件，目前損失金額已擴大至超過 60 萬美元（約 245 枚 ETH）。先有信息顯示，約有 50% 的受害者均為 Lootbot 訂閱用戶。值得一提的是，Lootbot 系此前軟 Rug 項目 gm.ai 創始人 dexter 創立項目之一，原為 telegram 生態交易 bot 平台。

ChainCatcher 消息，据 Decrypt 報導，安全公司 Socket 發布研究結果，將 77 個 Firefox 擴展身份關聯到其稱為"越位錢包盜竊工廠"的惡意活動，其中 40 個已確認存在惡意行為。這些擴展偽裝成 OKX、Rabby Wallet、TronLink 等 Web3 產品，通過偽造錢包介面誘導用戶導入錢包，或使用修改版真實錢包代碼，在用戶輸入時竊取助記詞和私鑰。Mozilla 簽名記錄顯示該活動從 3 月 9 日持續至 8 月 3 日，Socket 報告時仍有多個擴展在線。其中約半數擴展展示逼真的錢包介面並要求用戶導入現有錢包，從而截獲輸入的助記詞或私鑰；另有 13 個是 Rabby 的修改版本，在正常運作的同時將錢包存儲的帳戶數據發送至外部伺服器；還有 5 個專門收集已保存的憑證和剪貼板內容。此外，37 個擴展偽裝成密碼生成器、暗黑模式切換、VPN、貨幣轉換器和筆記工具，實際運行共享同一硬編碼憑證的體育比分應用。9 個已確認的惡意擴展最初以足球、籃球等比分應用形式發布，後續更新才替換為錢包竊取代碼。Socket 將該活動命名為"越位錢包盜竊工廠"，但提醒尚未確認所有擴展背後由同一操作者控制。Socket 團隊表示，任何在這些擴展中輸入過助記詞或私鑰的用戶都應視為"永久洩露"，並立即將資金轉移至新錢包，因為卸載擴展無法撤銷已發送到別處的助記詞。

ChainCatcher 消息，一場涉及約 1.3 億美元比特幣損失的錢包安全事件，正在重新引發加密行業對資產托管模式的討論：比特幣持有者究竟應該依靠個人自托管，還是轉向機構托管。硬體錢包廠商 Coldcard 部分固件在 2021 年曾存在隨機數生成漏洞，導致設備生成的部分助記詞存在可預測風險。該漏洞在多年後被發現，目前已有約 5200 多個地址、約 2000 枚 BTC 被盜，損失規模約 1.3 億美元。事件發生後，部分投資者開始轉向華爾街托管產品。數據顯示，美國現貨比特幣 ETF 在事件後的數日內淨流入約 6.26 億美元。彭博 ETF 分析師 Eric Balchunas 表示，此類安全事件可能進一步推動資金流向 ETF。不過，比特幣核心社區仍堅持自托管理念。Casa 聯合創始人 Jameson Lopp 表示，近期事件不應削弱用戶對自托管的信心，並指出第三方托管同樣存在風險。Bitcoin Core 早期開發者 Peter Todd 也認為，自托管長期安全記錄優於中心化機構。比特幣托管平台 Onramp 聯合創始人 Michael Tanguma 則認為，兩種方案都存在缺陷。他表示，將大量資產集中於單一機構會形成"蜜罐"，而硬體錢包則面臨供應鏈、固件和隨機數生成等風險。Tanguma 提出"多機構托管"方案，即通過多簽機制由多家受監管機構分別持有密鑰，任何交易都需要多個機構共同簽署，以降低單點故障風險。不過，該模式也引發爭議。批評者認為，多機構托管雖然提高安全性，但也引入了許可化管理，與比特幣最初追求的去中心化理念存在衝突。隨著比特幣逐漸進入養老金、信託和機構資產配置領域，行業正在尋找適合長期財富管理的新型托管方案。此次 Coldcard 漏洞事件再次凸顯，如何在安全性、去中心化和易用性之間取得平衡，仍是比特幣生態面臨的核心挑戰。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，一名 Trezor 使用者稱，其點擊了一個冒充 Trezor 的 Google 贊助搜索結果後，畢生積蓄被盜。該釣魚頁面托管在 Google Sites 上，據稱誘導受害者輸入錢包恢復種子。Trezor 表示，正在升級處理該報告，推進移除該網站，並提醒使用者切勿在任何網站或在線表單中輸入錢包備份或助記詞。Google 贊助釣魚廣告仍是加密使用者面臨的持續攻擊途徑。

ChainCatcher 消息，据 Decrypt 报道，Ledger 首席技術官 Charles Guillemet 表示，Coldcard 漏洞事件暴露了硬體錢包隨機數生成的弱點，並強調 AI 正重塑網路安全攻防格局。Guillemet 指出，硬體錢包的安全模型"生死取決於隨機數"，此次事件以最昂貴的方式證明了這一點。Ledger 表示其硬體錢包未受影響，因其助記詞由通過認證的安全元件內的硬體隨機數生成器生成，無軟體回退路徑，每次生成完整的 256 位隨機數。Guillemet 認為，開源代碼若未經充分審查並不等同於安全，AI 正使攻擊者能以機器速度掃描代碼和識別漏洞，防禦也必須以同樣速度推進，這需要依賴安全設計、硬體和數學。Guillemet 建議用戶在選擇硬體錢包時應了解其隨機數生成方式及是否經過獨立認證。

ChainCatcher 消息，巴西聖保羅州法院判決 Coinbase 向一名用戶返還近 10 萬美元，該用戶稱其存入 Coinbase Wallet 的資金在未經授權的交易中消失。Coinbase 辯稱該錢包私鑰完全由用戶控制，但未能證明該交易由錢包持有人發起，也未能證明存在防止該結果的安全措施。法院依據《消費者保護法》相關規定作出判決，並要求 Coinbase 返還全部金額及法定利息。

ChainCatcher 消息，据鏈上分析師 Specter 監測，與 Humanity Protocol 關聯或交互過的錢包正在被入侵。目前已有超過 17 個持有 H 代幣的錢包被盜，總損失已超過 1,900 萬美元。被盜原因尚不清楚，但攻擊模式表明受影響錢包可能存在與 Humanity Protocol 相關的共同風險敞口。

ChainCatcher 消息，据加密分析師 Wazz，數百個錢包（其中許多已經休眠超過 7 年）在 ETH 主網上被同一個地址清空。Aragon 團隊成員 @TheTakenUser 也發文證實自己錢包的資金遭不明原因轉移。目前這一事件起始原因尚未查明，社區分析認為系 2017-2020 年間舊助記詞、私鑰或 LastPass 等存儲洩露或此前危險授權引發，而非新智能合約漏洞。

ChainCatcher 消息，OKX 創始人兼 CEO Star 發文回應"武漢安隼科技團隊利用插件漏洞實施的黑客攻擊事件"時表示，"OKX Wallet 安全團隊已經完成調查，原文將其描述為'OKX 錢包漏洞'並不準確。需要澄清兩點：該事件並不是 OKX Web3 錢包的安全漏洞。攻擊方式是黑客通過木馬軟體控制用戶設備後，通過篡改網頁 JS 代碼植入 hook，或監聽鍵盤輸入等方式，竊取本地存儲的加密文件和密碼。OKX Web3 錢包是 100% 自托管錢包。私鑰和密碼只存在於用戶自己的設備上，OKX 無法訪問或控制用戶資產。但如果用戶設備本身已經被黑客控制，那麼任何錢包------包括 MetaMask 在內------都無法保證安全。這就像小偷已經能夠操作你的電腦，並看到你所有的鍵盤輸入一樣。建議用戶避免安裝來源不明的軟體或插件，定期檢查設備安全，並妥善保護助記詞和私鑰。"據悉，武漢安隼科技團隊通過控制大量用戶終端，竊取助記詞並遠程轉移數字資產，涉案金額達 700 萬美元。

ChainCatcher 消息，加密 KOL 0xAA 在 X 平台發文表示，目前有大量鏈上玩家的錢包被盜，尚無法確定涉及的具體 Bot。0xAA 建議用戶保持警惕，可先將 Bot 中的資金轉移至安全的錢包或交易所。多位社區成員表示，涉及錢包或與 DeBot 有關。

ChainCatcher 消息，慢霧創始人余弦發推表示，"用 NoFx 這個開源自動交易系統的朋友留意下，我們披露的風險已經出現真實的盜幣事件，有些使用者的錢包私鑰、CEX/DEX API Key 因此洩露。為了使風險最小化，我們聯合相關安全團隊儘可能對受影響使用者通知到位，之後才發此文披露細節。"

ChainCatcher 消息，据 OneKey 中文推特稱，針對近期 "Milk Sad 事件" 涉及的隨機數漏洞，OneKey 團隊澄清該漏洞不影響 OneKey 軟硬體錢包的助記詞與私鑰安全。漏洞源於 Libbitcoin Explorer (bx) 3.x 版本使用基於系統時間與 Mersenne Twister-32 算法的伪隨機數生成器，種子空間僅 2³² bits，攻擊者可通過預測或暴力窮舉推導私鑰。受影響範圍包括部分舊版 Trust Wallet 及所有使用 bx 3.x 或舊版 Trust Wallet Core 的產品。OneKey 表示，其硬體錢包採用 EAL6+ 安全晶片內置 TRNG 真隨機數生成器；老款設備亦通過 SP800-22 與 FIPS140-2 熵測試；軟體錢包則使用系統級 CSPRNG 熵源生成隨機數，符合密碼學標準。團隊強調，建議用戶使用硬體錢包管理資產，不應將軟體錢包生成的助記詞導入硬體錢包，以確保最高安全性。

ChainCatcher 消息，Trust Wallet 中文頻道發文稱，團隊就社區近期關於 2018 年早期錢包版本漏洞的討論作出澄清。該漏洞源自當時業內普遍採用的第三方開源隨機數庫，已於 2018 年 7 月修復並開源記錄於 Wallet Core 庫中。官方表示，約 1 萬名早期用戶曾受影響，均已獲通知並完成資產遷移，未造成任何損失。自 2018 年 7 月起，新創建錢包均不受影響。目前 Trust Wallet 已採用經審計的加密庫及高強度隨機數算法，並持續通過獨立安全審計及漏洞懸賞計劃強化安全。團隊還將推出"錢包安全認知系列"，科普助記詞與隨機數安全原理，重申其"透明與安全是核心承諾"。

ChainCatcher 消息，Alt.town 在 X 平台表示，檢測到部分錢包出現異常活動。已立即封鎖受影響的錢包，並正與外部安全專家緊密合作，開展緊急調查與應對工作。用戶資產未受任何影響。作為預防措施，在錢包輪換完成前將暫停存款與提款服務。

ChainCatcher 消息，GoPlus 瀏覽器安全插件現已全面支持 EIP-7702 檢測功能，為 Web3 用戶提供更強大的安全防護。該更新包含實時風險警報、高級威脅檢測以及惡意合約防護等核心功能，能夠在交易過程中即時識別並攔截基於 EIP-7702 協議的各類攻擊。作為首批關注該協議安全威脅的平台，GoPlus 建議用戶及時更新擴展程序，利用最新的安全工具武裝自己，確保資產安全。

ChainCatcher 消息，据安全機構 Scam Sniffer 監測，攻擊者正在使用 Uniswap V3 的 Multicall 等合法合約來繞過錢包安全警報，實施網絡釣魚攻擊。據悉，5 天前，一名受害者因這種策略損失了 85 Lido ETH。

ChainCatcher 消息，据 TechCrunch 報導，0xPass 完成 180 萬美元 Pre-Seed 輪融資。投資方包括 AllianceDAO、Soma Capital、Alchemy Ventures、Blockchain Builders Fund、Formulate Ventures、Kommune、Hashed EM、Signum Capital/UOB、Nonce Classic 以及天使投資人 Balaji Srinivasan（前 Coinbase 首席技術官）和 Cory Levy。0xPass 旨在為 dApp 帶來類似 Web 2.0 的用戶體驗，以便主流用戶能夠以與錢包無關的方式擁有現代 UX 優勢，允許開發者將多種身份驗證方法加入到非托管錢包中。

ChainCatcher 消息，Worldcoin 發推稱，每個 World App 使用者都將擁有一個以太坊智能合約錢包，該錢包將使用帳戶抽象來提高安全性，其底層使用了 Safe 的帳戶抽象堆疊。此外，World App 已成為 Polygon 上最大的 Safe 錢包部署者。（來源鏈接）