plu

ChainCatcher 消息，据 GoPlus 分析，Arbitrum 上的 Lumi Finance 于 7 月 13 日遭攻擊，損失約 27 萬美元。漏洞源於 Sodium 智能帳戶合約（ERC-4337）中的 validateUserOp 函數在調用 _validateSignature 驗證簽名時存在邏輯缺陷------執行 isValidSignatureNow 時，signer 參數傳遞的是攻擊者地址，調用 ECDSA.tryRecover 出錯後未 revert，轉而調用攻擊合約中的 isValidSignature 函數並通過驗證。攻擊者利用該漏洞在 UserOperation 驗證期間執行 Token approve 操作，未經支付方允許即從多個智能帳戶中獲取 ERC20 代幣的批准權限。

ChainCatcher 消息，据 businesswire 報導，BNB 財庫公司 BNB Plus Corp. 因股價長期低於納斯達克 1 美元最低出價要求，收到納斯達克聽證小組退市裁定。公司股票 BNBX 將於 7 月 14 日起暫停在納斯達克交易，同日起轉至 OTCQB 創業市場掛牌，代碼不變。公司表示已向納斯達克上市及聽證審查委員會申請複審，但複審期間退市裁定不會暫停執行。

ChainCatcher 消息，安全分析平台 GoPlus 針對「某用戶在 Uniswap 上將約 1126 枚 ETH（約 201 萬美元）兌換為 5776 枚 LIT（約 1.4 萬美元），損失近 200 萬美元」事件發推表示，該事件核心原因並非三明治攻擊，而是同一区塊 backrunner 套利。路由合約將大量 WETH 打入了一個流動性極差的 AVAIL/WETH 交易池，導致用戶以嚴重偏離市場價格（約為合理價格的 120 倍）買入 AVAIL。隨後同一区塊內，backrunner 用極少量真實價格的 AVAIL 反向交易該池，抽走約 1072 枚 WETH，並將大部分（約 1018 枚 ETH）作為 builder payment 支付給 Titan Builder。

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合約漏洞攻擊頻發，特別是部署多年歷史悠久的老合約正成為攻擊者重點目標，攻擊者正利用 AI 技術快速發現並利用這些漏洞。近期典型事件包括：6月9日，部署於7年前的Token of Power（TOP）合約在以太坊上被攻擊，損失約150萬美元；5月25日，部署3年的WUSD.fi合約遭攻擊，損失約20萬美元；6月14日與6月18日，Aztec Network連續兩次因2年前部署的老合約被攻擊，總損失超過400萬美元。GoPlus Security 認為，傳統審計方式難以有效覆蓋歷史遺留合約，採用基於 AI 的持續審計（Always-on Audit）服務可能是當前最有效的解決方案，能夠在短時間內對老合約進行安全檢查，在可靠性和成本之間取得平衡。

ChainCatcher 消息，据慢雾監測，Little Boy Plus 遭遇攻擊，損失約 377,642 枚 USDT（約 610.555 枚 BNB）。漏洞原因在於 LBPHashrate 合約的 _update 函數可透過零值 transferFrom 調用觸發，繞過 OpenZeppelin 的授權檢查，攻擊者可無需授權調用該函數，觸發 _harvest 並透過 LBP.mintReward 向 PancakePair 地址鑄造 LBP 代幣。鑄造的 LBP 增加對池餘額但不改變儲備，攻擊者隨後透過 PancakePair.swap 耗盡 USDT。

ChainCatcher 消息，據 CriptoNoticias 報導，智利司法機關已對加密貨幣平台 Plusspay 展開調查，指其涉嫌為跨國犯罪組織阿拉瓜列車提供洗錢通道。調查顯示，該平台或透過多家關聯企業將當地法幣兌換為泰達幣、美元穩定幣等穩定幣，並藉助智利銀行體系轉移資金，相關可疑資金流規模超過 8400 萬美元。

ChainCatcher 消息，GoPlus 在 X 平台發文稱，Meta 帳戶恢復功能被曝存在高危設計缺陷，會直接洩露用戶手機號、電子郵件和 PII（個人敏感信息）。攻擊者僅需輸入 META 用戶名，無需任何登錄或驗證，即可直接獲取用戶綁定的電子郵件、手機號等完整 PII，這可能對用戶帶來大量危害，如：大規模釣魚攻擊、SIM 卡交換攻擊、帳號接管與身份盜用、精準社會工程學攻擊。建議：移除或更換已洩露的電子郵件/手機號作為恢復方式；修改相關帳號密碼並啟用 2FA；不點擊任何"帳戶異常""驗證""重置密碼"相關的郵件或短信；設置多渠道驗證，可通過官方文檔或官方其他社交媒體渠道核實。

ChainCatcher 消息，Plume 與以太坊流動性質押協議 ether.fi 合作推出新的 RWA 收益金庫，為 ether.fi 用戶提供代幣化現實世界資產收益機會。Plume 表示，ether.fi 已向該金庫獨家配置 1 億美元資金，來源包括其流動性提供者基礎，以及現有 liquid ETH、liquid USD、liquid BTC 等收益產品中的管理資本。ether.fi 相關負責人稱，市場對機構級風險控制、DeFi 暴露更低的收益產品需求強勁。該金庫將直接接入 ether.fi 應用，用戶可在熟悉的界面中獲得此前更多面向特定投資者的機構級 RWA 收益。Plume 表示，隨著 DeFi 波動和安全風險上升，用戶正轉向更穩定的鏈上收益來源。

ChainCatcher 消息，据 PRNewswire 報導，機構級數字資產期權與衍生品交易基礎設施提供商 SignalPlus 完成 5000 萬美元 B1 輪融資，投後估值 5 億美元。本輪融資由 HashKey Capital 領投，BlockBooster 和 AppWorks 跟投，高盛擔任獨家財務顧問。據介紹，SignalPlus 總部位於香港，致力於為正在融合的資本市場構建機構級衍生品交易基礎設施。其平台為對沖基金、做市商、自營交易團隊和資產管理機構提供專業期權分析、實時風險管理和交易執行工具，覆蓋數字資產和傳統金融市場。

ChainCatcher 消息，据 GoPlus 預警，某用戶因簽署了惡意 Permit2 交易，被釣魚者轉走價值約 31.6 萬美元的 USDC。

ChainCatcher 消息，GoPlus 發布安全警報稱，韓國版涼兮、合約直播 KOL 西八姐 @jadoodoo_ 的 X 帳號被盜，正以合作名義瘋狂私信粉絲發送釣魚連結。已有多個 KOL 中招，總損失約 5,000 美元。請不要點擊連結錢包或下載惡意軟體。

ChainCatcher 消息，針對 "DxSale 被指利用後門抽走 730 萬美元流動性資金" 一事，安全公司 GoPlus 表示，該攻擊或為內鬼作案，仍有 1550 萬美元資金和 LP 急需自救。GoPlus 建議項目方立即檢查其項目 LP 是否鎖定在 0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448 合約，如有請立即採取措施撤出。因初始資金來源為 Bybit，建議 KYC 溯源；最終出金渠道為多個幣安地址，建議相關安全團隊提交鏈上證據申請凍結攻擊者地址。GoPlus 呼籲項目加強安全機制，關鍵管理員函數必須有時間鎖，Owner 權限必須使用多簽。GoPlus 強調，截至目前 DxSale 尚未發出任何公開的事件響應聲明，其沉默本身也值得關注。

ChainCatcher 消息，納斯達克上市數位資產財庫公司 BNB Plus 宣布將透過發行 B-1 系列和 B-2 系列可轉換優先股募資 410 萬美元，Silvermine Capital Advisors 旗下 Comstock Multichain Fund、Off the Chain LP 等加密原生機構投資方參投。募資所得將用於增持數位資產儲備、提供營運資金支持、以及探索 AI 基礎設施發展機會。該公司還披露目前持有超過 1640 萬美元現金及數位資產。

ChainCatcher 消息，据 GoPlus 安全警報，X 平台上出現推介黑 U 和反洗錢檢測網站的釣魚詐騙活動。經調查，該網站為部署在 Vercel 托管平台的釣魚網站，目的是騙取用戶錢包授權，請勿互動。GoPlus 建議：儘量避免私下交易，使用中心化交易所的 OTC 功能；對陌生連結保持高度懷疑，尤其是需要錢包簽名或授權的操作；牢記防釣魚"四不選擇"：不點陌生連結、不安裝來歷不明軟體、不簽署不明內容交易、不向未驗證地址轉帳。

ChainCatcher 消息，据 GoPlus 分析，穩定幣協議 StablR 在以太坊上多簽合約的安全設置問題（多簽閾值為 1），以及持有者私鑰被竊取，導致 StablR $EURR、$USDR 穩定幣脫鉤 20%，攻擊者已獲利約 280 萬美元。

ChainCatcher 消息，HashKey Capital 旗下基金宣布完成對期權交易平台 SignalPlus 的 4000 萬美元戰略投資，其中包含 HashKey Group 的 2000 萬美元現金出資。據悉，SignalPlus 專注於期權交易系統、自動化做市及結構化產品解決方案，是亞洲領先的機構級加密衍生品平台，在主流期權市場佔據重要份額。此輪投資是 HashKey Capital 自 SignalPlus 種子輪融資以來的持續加注，雙方將深化戰略合作，共同推動產品創新與全球機構業務擴張。

ChainCatcher 消息，据官方消息，鏈上金庫協議 Plume 已獲百慕大金融管理局（Bermuda Monetary Authority）頒發數位資產業務牌照，成為全球首家受監管的 onchain vault manager。Plume 將與已在該監管框架下運營的 Circle、Coinbase、Kraken 同屬百慕大數位資產監管體系。

ChainCatcher 消息，GoPlus Security 表示，一名用戶遭遇典型地址投毒攻擊，因從交易歷史複製相似地址，誤將 100,000 枚 DAI 轉入攻擊者偽造地址。事件中，該用戶此前曾向目標地址轉入 300,000 枚 DAI，攻擊者隨後使用前後字符相近的地址向其發送 0.0003 枚 DAI，誘導其在第二次轉帳時誤選地址。GoPlus Security 提醒，勿從交易歷史複製地址，轉帳前應核對完整地址，並在大額轉帳前先進行小額測試。

ChainCatcher 消息，据 GoPlus 發布，過去 36 小時內新增兩起公開私鑰洩露事件，總損失 23.8 萬美元。其中 0xUnihax0r 損失 20 萬美元，其曾上傳過交易 Bot 和 Telegram；@Eli5defi 的被盜地址與之前 574 個地址的大規模私鑰洩露事件存在關聯。GoPlus 表示，鑑於此類集中性大規模私鑰洩露，建議立即按照私鑰洩露自檢清單排查風險。