goplus

ChainCatcher 消息，據 GoPlus 監測，某用戶因 922 天前簽署惡意 Permit 交易後，被釣魚者轉走 9.7 萬美元的 SYN 代幣，之後並未取消相關授權，再次導致價值 12.2 萬美元的 SYN 被盜。

ChainCatcher 消息，GoPlus Security 發出安全警報稱，一詐騙團伙劫持了 realtrumpcoins[.]com 網站及 @realtrumpcoins1 帳號，並惡意發行 GOLD 代幣。該團伙將其市值拉升至約 6000 萬美元後拋售並實施 Rug Pull，獲利超過 820 萬美元。鏈上數據顯示，開發者初始資金可追溯至 KuCoin 關聯熱錢包，另有 15 個操盤錢包由 Binance 關聯熱錢包提供資金。這些錢包均通過同一惡意路由合約進行交易。GoPlus Security 還指出，該團伙還部署了另一惡意迷因幣 Trump Digital Platinum（PLATINUM），其合約可隨時清空任意持有者餘額，提醒用戶避免購買並注意風險。

ChainCatcher 消息，GoPlus Security 發布安全警報稱，Realio Network 旗下 realio[.]fund 遭攻擊，攻擊者接管平台簽名系統，並在以太坊、BNB Chain、Algorand、Stellar 及 Realio 原生鏈上轉移金庫與托管錢包資產。此次事件共涉及約 1.279 億枚 RIO，價值約 620 萬美元，攻擊者目前已套現約 31.7 萬美元。

ChainCatcher 消息，据 GoPlus 監測，VSCode 擴展 Solidity Pro 曾被投毒，歷史版本存在數據竊取、遠程執行等惡意能力。建議開發者立即檢查自己安裝的相關擴展，並提高對第三方插件的警惕。

ChainCatcher 消息，据官方消息，GoPlus 宣布全面升級 DeepScan，推出基於 AI 的智能合約安全解決方案。GoPlus 表示，隨著駭客開始利用 AI 挖掘更深層次的合約漏洞，傳統"一次審計、上線即結束"的安全模式已難以應對持續變化的攻擊風險。DeepScan 圍繞智能合約全生命周期，構建由 AI 合約審計、持續安全監控和 Token 安全自查組成的完整安全閉環，為開發者、項目方及交易平台提供持續性的安全保障。其中，AI 合約審計可基於 AI 深度分析合約源碼、權限管理及業務邏輯，識別語法漏洞、業務邏輯漏洞等安全風險，並輸出包含安全評分、關鍵發現、問題詳情及修復建議的結構化審計報告。持續安全監控則面向已上線及完成審計的合約，實時跟蹤新披露漏洞、鏈上攻擊事件以及預言機、跨鏈橋等外部依賴變化，並透過 AI 判斷項目是否受到影響，及時進行複核和預警。Token 安全自查則面向即將發布或申請上幣的項目，可快速檢測貔貅盤/蜜罐、惡意增發權限、黑名單機制、異常交易稅、Owner 權限及交易限制等風險。此外，GoPlus DeepScan 團隊還發布了基於真實智能合約攻擊事件構建的開源 Benchmark 基準數據集，用於評估 AI 在漏洞識別、攻擊路徑理解、上下文推理及審計穩定性等方面的實際能力，目前已收錄自 2025 年 5 月至今近百起典型攻擊事件並持續更新。GoPlus 表示，DeepScan 可用於開發者低成本安全掃描、項目方上線前安全審查及運營期間持續監控，同時可作為交易平台上幣前安全評審的補充，幫助各方更及時識別新增漏洞和攻擊風險。

ChainCatcher 消息，据 GoPlus 安全警報，某用戶因地址投毒攻擊損失約 10 萬美元 USDT。攻擊者通過尾號相似的惡意地址進行小額交易，等待用戶複製粘貼時出錯。地址投毒攻擊已實現完全自動化，包括發現投毒機會、創建仿冒同名假幣或實施小額投毒、混幣洗錢。受害地址在 69 天前執行最後一筆交易後收到了四百多條投毒交易。

ChainCatcher 消息，据 GoPlus 監測，Base 鏈上一名用戶因釣魚攻擊損失 50 萬枚 USDC，攻擊者將贓款兌換 WETH 時因腳本未設滑點保護，路由至幾乎無流動性的 Uniswap V4 WETH/USDC 池，導致 50 萬 USDC 僅兌換到 67.9 枚 ETH（價值 12.9 萬美元），其中 37 萬美元被 MEV 機器人賺走。該 MEV 機器人僅支付 0.03 枚 USDC 即搶跑該交易，但為此支付了 3.5 枚 ETH 的 Gas 費。隨後受害者向攻擊者和 MEV 地址發送鏈上消息，稱已定位到攻擊者身份，願支付 10% 賞金請求退款。

ChainCatcher 消息，据 GoPlus 分析，Arbitrum 上的 Lumi Finance 于 7 月 13 日遭攻擊，損失約 27 萬美元。漏洞源於 Sodium 智能帳戶合約（ERC-4337）中的 validateUserOp 函數在調用 _validateSignature 驗證簽名時存在邏輯缺陷------執行 isValidSignatureNow 時，signer 參數傳遞的是攻擊者地址，調用 ECDSA.tryRecover 出錯後未 revert，轉而調用攻擊合約中的 isValidSignature 函數並通過驗證。攻擊者利用該漏洞在 UserOperation 驗證期間執行 Token approve 操作，未經支付方允許即從多個智能帳戶中獲取 ERC20 代幣的批准權限。

ChainCatcher 消息，安全分析平台 GoPlus 針對「某用戶在 Uniswap 上將約 1126 枚 ETH（約 201 萬美元）兌換為 5776 枚 LIT（約 1.4 萬美元），損失近 200 萬美元」事件發推表示，該事件核心原因並非三明治攻擊，而是同一区塊 backrunner 套利。路由合約將大量 WETH 打入了一個流動性極差的 AVAIL/WETH 交易池，導致用戶以嚴重偏離市場價格（約為合理價格的 120 倍）買入 AVAIL。隨後同一区塊內，backrunner 用極少量真實價格的 AVAIL 反向交易該池，抽走約 1072 枚 WETH，並將大部分（約 1018 枚 ETH）作為 builder payment 支付給 Titan Builder。

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合約漏洞攻擊頻發，特別是部署多年歷史悠久的老合約正成為攻擊者重點目標，攻擊者正利用 AI 技術快速發現並利用這些漏洞。近期典型事件包括：6月9日，部署於7年前的Token of Power（TOP）合約在以太坊上被攻擊，損失約150萬美元；5月25日，部署3年的WUSD.fi合約遭攻擊，損失約20萬美元；6月14日與6月18日，Aztec Network連續兩次因2年前部署的老合約被攻擊，總損失超過400萬美元。GoPlus Security 認為，傳統審計方式難以有效覆蓋歷史遺留合約，採用基於 AI 的持續審計（Always-on Audit）服務可能是當前最有效的解決方案，能夠在短時間內對老合約進行安全檢查，在可靠性和成本之間取得平衡。

ChainCatcher 消息，GoPlus 在 X 平台發文稱，Meta 帳戶恢復功能被曝存在高危設計缺陷，會直接洩露用戶手機號、電子郵件和 PII（個人敏感信息）。攻擊者僅需輸入 META 用戶名，無需任何登錄或驗證，即可直接獲取用戶綁定的電子郵件、手機號等完整 PII，這可能對用戶帶來大量危害，如：大規模釣魚攻擊、SIM 卡交換攻擊、帳號接管與身份盜用、精準社會工程學攻擊。建議：移除或更換已洩露的電子郵件/手機號作為恢復方式；修改相關帳號密碼並啟用 2FA；不點擊任何"帳戶異常""驗證""重置密碼"相關的郵件或短信；設置多渠道驗證，可通過官方文檔或官方其他社交媒體渠道核實。

ChainCatcher 消息，据 GoPlus 預警，某用戶因簽署了惡意 Permit2 交易，被釣魚者轉走價值約 31.6 萬美元的 USDC。

ChainCatcher 消息，GoPlus 發布安全警報稱，韓國版涼兮、合約直播 KOL 西八姐 @jadoodoo_ 的 X 帳號被盜，正以合作名義瘋狂私信粉絲發送釣魚連結。已有多個 KOL 中招，總損失約 5,000 美元。請不要點擊連結錢包或下載惡意軟體。

ChainCatcher 消息，針對 "DxSale 被指利用後門抽走 730 萬美元流動性資金" 一事，安全公司 GoPlus 表示，該攻擊或為內鬼作案，仍有 1550 萬美元資金和 LP 急需自救。GoPlus 建議項目方立即檢查其項目 LP 是否鎖定在 0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448 合約，如有請立即採取措施撤出。因初始資金來源為 Bybit，建議 KYC 溯源；最終出金渠道為多個幣安地址，建議相關安全團隊提交鏈上證據申請凍結攻擊者地址。GoPlus 呼籲項目加強安全機制，關鍵管理員函數必須有時間鎖，Owner 權限必須使用多簽。GoPlus 強調，截至目前 DxSale 尚未發出任何公開的事件響應聲明，其沉默本身也值得關注。

ChainCatcher 消息，据 GoPlus 安全警報，X 平台上出現推介黑 U 和反洗錢檢測網站的釣魚詐騙活動。經調查，該網站為部署在 Vercel 托管平台的釣魚網站，目的是騙取用戶錢包授權，請勿互動。GoPlus 建議：儘量避免私下交易，使用中心化交易所的 OTC 功能；對陌生連結保持高度懷疑，尤其是需要錢包簽名或授權的操作；牢記防釣魚"四不選擇"：不點陌生連結、不安裝來歷不明軟體、不簽署不明內容交易、不向未驗證地址轉帳。

ChainCatcher 消息，据 GoPlus 分析，穩定幣協議 StablR 在以太坊上多簽合約的安全設置問題（多簽閾值為 1），以及持有者私鑰被竊取，導致 StablR $EURR、$USDR 穩定幣脫鉤 20%，攻擊者已獲利約 280 萬美元。

ChainCatcher 消息，GoPlus Security 表示，一名用戶遭遇典型地址投毒攻擊，因從交易歷史複製相似地址，誤將 100,000 枚 DAI 轉入攻擊者偽造地址。事件中，該用戶此前曾向目標地址轉入 300,000 枚 DAI，攻擊者隨後使用前後字符相近的地址向其發送 0.0003 枚 DAI，誘導其在第二次轉帳時誤選地址。GoPlus Security 提醒，勿從交易歷史複製地址，轉帳前應核對完整地址，並在大額轉帳前先進行小額測試。

ChainCatcher 消息，据 GoPlus 發布，過去 36 小時內新增兩起公開私鑰洩露事件，總損失 23.8 萬美元。其中 0xUnihax0r 損失 20 萬美元，其曾上傳過交易 Bot 和 Telegram；@Eli5defi 的被盜地址與之前 574 個地址的大規模私鑰洩露事件存在關聯。GoPlus 表示，鑑於此類集中性大規模私鑰洩露，建議立即按照私鑰洩露自檢清單排查風險。

ChainCatcher 消息，据 GoPlus Security 发推表示，過去 48 小時內，以太坊主網上接連發生 4 起智能合約攻擊，總損失已超過 150 萬美元。其中包括，Onchain 聚合器合約被攻擊，損失約 98.3 萬美元；TradingProtocol 相關第三方金庫合約被盜，損失約 39.8 萬美元；BCB 合約因重入漏洞被攻擊，損失約 3.98 萬美元；某合約因任意調用漏洞導致 QNT 資產損失約 12.49 萬美元。GoPlus Security 警告，隨著 AI 技術進入戰場，黑客攻擊正變得更加精準和迅速，漏洞從"幾天"被發現壓縮到了"秒級"。

ChainCatcher 消息，針對近期發生的"ListaDAOLiquidStakingVault"合約被攻擊事件，ListaDAO 官方發布聲明澄清，該被攻擊合約並非官方部署，而是由未經驗證的第三方使用相似名稱創建的仿冒合約。ListaDAO 的官方合約均未受到該事件影響。據 GoPlus 安全團隊深入分析，此次攻擊發生在 2026 年 4 月 16 日，根本原因在於該第三方合約存在業務邏輯缺陷。當進行代幣轉帳時，會觸發 Dividend.setShares() 函數並改變合約內的份額記帳，進而影響了 claimReward() 函數中的獎勵計算。攻擊者正是利用這一漏洞耗盡了該合約內的資產。GoPlus 提醒，由於該邏輯漏洞同時存在於上述兩段合約代碼中，任何分叉或復用該代碼的開發項目均面臨高被利用風險。建議相關開發者及時進行代碼排查與修復，並引入持續審計機制以保障智能合約安全。