安全

ChainCatcher 消息，固定利率借贷协议 Term Finance 的开发团队 Term Labs 宣布，在治理攻击事件后，所有 Term Meta Vaults 已永久关闭，DAO 治理权限被撤销，但提款通道仍保持开放。在 8 月 23 日的更新中，Term 表示此次关闭不可逆转，并永久阻止后续存款，但未披露金库中剩余资产规模，仅表示将“探索路径”以解决任何缺口，存款者可收回的金额仍悬而未决。区块链安全公司 PeckShield 估计，攻击者盗走约 2,843 枚 ETH（当时价值约 687 万美元）及 168 万枚 USDC（后被兑换为约 168 万枚 DAI），总损失约 850 万美元。链上记录印证了相关转账：一笔交易将 2,841.74 WETH 转至被 Etherscan 标记为“Term Finance Exploiter 1”的地址，另一笔交易将 168 万枚 USDC 转至标记为“Term Finance Exploiter 2”的地址。Yearn 表示 Term 的金库合约使用其 V3 架构，但攻击发生在 Term 的自定义治理包装器上，该攻击向量不适用于标准 Yearn 金库。Term 表示，根据目前调查，其底层协议及直接借贷市场未受影响，并正与外部安全团队合作进行补救与追回，但未给出赔偿承诺或时间表。

ChainCatcher 消息，据彭博社报道，AI 安全初创公司 Alice 宣布完成 1.4 亿美元融资，私募股权机构 Apax Partners 旗下基金 Apax Digital 领投，网络安全公司 SentinelOne 和三星电子参与投资，此轮融资后该公司估值已接近 10 亿美元。 Alice 主要为 AI 模型提供安全防护，帮助企业降低 AI 系统被滥用、遭受攻击以及出现异常行为的风险。目前，该公司已与包括 Anthropic、Google 等在内的 AI 行业头部企业展开合作。

ChainCatcher 消息，思科与英伟达合作扩展安全人工智能工厂，以迎接机架规模时代。

ChainCatcher 消息，区块链网络 BNB Chain 已在 BNB Smart Chain（BSC）主网启用 Pasteur 硬分叉，升级涉及跨链桥验证、验证者授权、质押和治理安全，并在不改变 450 毫秒区块时间的情况下提升区块容量。本次升级包含 BEP-682、BEP-695 和 BEP-675，分别涉及重复验证者条目、验证者密钥轮换及惩罚治理、区块提交流程。内部测试环境 QANet 中，新流程将吞吐量从每秒 1237 笔提高至 2324 笔，但相关数据来自受控测试，并非主网测量结果。

ChainCatcher 消息，Cosmos Labs 发文称，一起持续中的安全事件已影响 Cosmos EVM 模块用户。Cosmos Labs 的安全与工程团队已在积极应对该事件，并已建议与其保持联系的 Cosmos EVM 链要求验证者暂停其链的运行。Cosmos Labs 感谢使用 Cosmos EVM 的各团队迅速响应，并表示将在事态解决后发布事件报告。若相关团队使用 Cosmos EVM 并有疑问，可联系 [email protected]。

ChainCatcher 消息，据安全公司 Salus 监测，一名用户因点击 Google 赞助广告进入假冒 Hyperliquid 网站，损失约 55 万 USDC。该案使用与 Inferno 体系关联的专业“盗币服务”基础设施。相关服务通过 Telegram 账号招揽客户，提供恶意脚本、自动盗转、跨链提款及自动分账等功能。在本案中，钓鱼团伙负责购买广告、部署仿冒入口并提供最终收款地址；盗币成功后，后台自动完成资金拆分。相关团伙累计涉案金额约 5,274 万美元，已关联多起重大钓鱼事件，如 2025 年 9 月 23 日，UXLINK 原攻击者遭遇二次授权钓鱼，约 5.42 亿枚 UXLINK；2026 年 4 月 15 日，CoW.fi 官方域名遭劫持，关联损失为 31.6 万 USDC；2026 年 7 月 9 日，假 DApp/假空投授权钓鱼盗走约 100 万 USDT。Salus 称，相关证据与高风险地址已提交有关机构处置。

ChainCatcher 消息，以太坊客户端 Besu 已在 7 月 27 日发布的 26.7.1 版本中修复区块链安全公司 CertiK 发现的 5 项安全漏洞，并于 8 月 14 日发布 4 份详细安全公告。漏洞细节延后披露，以便节点运营者完成升级部署。CertiK 安全工程总监兼高级审计合伙人 Jialiang Chang 表示，补丁先行、细节后置的安排提供了 18 天缓冲期，节点运营者可识别受影响部署、测试新版本，并协调验证者或联盟参与方完成升级。相关漏洞涉及区块广播处理、未来高度共识提案缓存、WebSocket 订阅限制及 JSON-RPC 过滤器创建。若未修复，攻击者可能耗尽节点内存或线程资源，影响节点可用性及共识处理。CertiK 通过 Chain Scan 方法，在私有多节点测试网络中对点对点、HTTP RPC、WebSocket RPC 及共识接口进行对抗性测试，并向 Besu 团队提供可复现测试工具。CertiK 正在更新 Chain Scan，以扩大对公链网络的全天候多节点测试。

ChainCatcher 消息，加密钱包项目 SafePal 发布安全事件后续进展，表示正在持续追踪钓鱼网站和冒充账号，并计划引入专业反钓鱼安全公司，加快恶意信息下架处理，以保护用户资产安全。SafePal 表示，目前正在 4 家专业反钓鱼安全公司中进行最终筛选，选定合作伙伴后将进一步提升对仿冒网站、诈骗账号等威胁的处理效率。 团队也在持续监测受影响数据是否被出售或公开，包括暗网论坛和交易市场等渠道。一旦发现相关数据泄露迹象，受影响用户将第一时间收到风险提醒。在安全审计方面，SafePal 称正在 3 家成熟的独立安全机构中进行最终选择，将对订单系统展开全面安全审查。同时，团队正在重新评估订单及物流流程，以减少系统初始阶段需要存储的数据规模，从源头降低潜在风险。 针对受影响用户，SafePal 表示将继续通过官方支持渠道提供一对一协助，并持续更新诈骗防护页面，提供事件进展、常见问题解答以及诈骗案例分析。SafePal 再次提醒用户：官方永远不会要求用户提供助记词（Seed Phrase）。用户不要向任何人透露助记词，不要扫描未知二维码或点击可疑链接，并应通过官方渠道验证信息来源。

ChainCatcher 消息，Strategy 执行董事长 Michael Saylor 在 X 平台发文表示，比特币最深远的创新在于，它能够将经济能量转化为数字形式，并以安全方式绑定到个人、家庭、企业、机器甚至国家。 Michael Saylor 指出，比特币不仅是一种数字资产，更是一种全新的价值存储和经济协调机制，使财富能够以数字化形式长期保存，并在全球范围内进行验证和转移。比特币通过去中心化网络和密码学技术，实现了对数字价值的安全控制，为个人和组织提供了一种不依赖传统金融体系的经济资产形式。

ChainCatcher 消息，HumidiFi 在 X 平台发文称，团队发现内部网络部分系统发生安全事件，影响范围仅限于自有资金，客户和第三方资产未受影响。团队正积极调查该事件，已暂停交易，将在完成审查后公布进一步更新。

ChainCatcher 消息，中央网络安全和信息化委员会印发《促进网信企业高质量发展行动计划（2026-2030 年）》。 其中提到，加强网络法治建设。积极开展网信领域立法前瞻性研究。加快推进人工智能、反网络暴力、数字经济、网络平台、区块链等新兴领域立法。 推进修订《互联网信息服务管理办法》，完善互联网信息服务管理、“自媒体”管理、算法治理等法律制度。推进制定电信法、网络犯罪防治法、网络安全等级保护条例，完善《未成年人网络保护条例》《网络数据安全管理条例》配套规定。 规范涉网信企业行政检查，最大限度减少对网信企业正常生产经营活动的干扰。健全适应互联网发展治理新特点的监督管理执法措施，严厉打击网络违法违规行为。

ChainCatcher 消息，HTX 全球顾问孙宇晨发文表示，HTX 已正式升级安全架构，以回应社区对更强安全保障的诉求，称将用户资产保持 100% SAFU。升级内容包括启用多地址提现系统，热钱包资产分散至多个地址；提现地址定期自动轮换，新地址启用后旧地址立即停用且不再受控；单地址风险敞口被压缩至最低。 孙宇晨称，即便发生极端安全事件，潜在损失上限也低于 100 万美元，并由保险基金全额覆盖，用户不会损失任何资金。他同时提醒，提现地址将作为正常安全机制定期变更，用户务必核实链上实际到账情况。HTX 表示将认真对待每一条用户反馈与每一分用户资产。

ChainCatcher 消息，据加密记者 Kate Irwin 报道，GalaChain 本周二发生资产异常流出事件，19.9 亿枚 GALA（约 290 万美元）及其他代币从 5 个主地址被转移至一个新钱包，GALA 在约一小时内被跨链兑换为 ETH。其中约 82%（16.39 亿枚 GALA）来自与 Gala CEO 兼联合创始人 Eric Schiermeyer 关联的钱包，该钱包还流出了约 50 万美元的其他代币。事件发生后数小时，Gala 开发者在 GitHub 提交修复代码，将其定性为 GalaChain EIP-712 未签名字段注入漏洞。目前 Gala 已暂停以太坊和 Solana 跨链桥，官方称“进行维护”，GalaChain 及其 CEO 尚未回应置评请求。

ChainCatcher 消息，以太坊基金会形式化验证团队与 Yukon、zkSecurity 合作打造的开放自动研究挑战 better.codes 现已上线。该平台将 Proximity Prize 中的自包含问题形式化于 Lean，并把 koalaIRS12 的机器检查可靠性界放入公共排行榜，供任何人推动提升，以推进基于哈希的 SNARK 及后量子以太坊相关安全基准。求解者可自带 AI 智能体，针对这一 Reed-Solomon 邻近问题证明更高的可靠性下界，向固定的 128 位目标迈进。Lean 内核核验每份提交，获晋升的证明会提高公开界，其新引理、证明技术与不可能性结果将上游同步，供所有参与者复用。生产环境中多数哈希 SNARK 依赖相关邻近间隙与相关约定结论，而目前可证明结果仍低于研究者所信基准，该挑战旨在以开放、增量、可验证方式缩小这一差距。koalaIRS12 源自相关论文并端到端形式化于 ArkLib。参与者可通过 GitHub 登录并克隆挑战仓库，在固定定理陈述与验证框架下提交；比较器与 Lean 内核确认后结果记入公共仓库并注明求解者与所用模型。今日上线的是将 koalaIRS12 已证下界提升至 128 位的可靠性挑战，后续或增加更多题目，细则以项目条款为准。

ChainCatcher 消息，Coldcard 发布最新固件 5.6.1（Mk4/Mk5）和 1.5.1Q（Q）。此次更新基于紧急修复后持续三周的安全审查，重点应对此前助记词生成攻击带来的安全风险。新生成的每个助记词必须加入至少一种用户熵源，包括不规律按键至少 65 次、实体骰子投掷 50 次或实体硬币抛掷 128 次，并与 STM32 TRNG、SE1 和 SE2 提供的新鲜熵进行组合。 新固件还增加签名前即时分阶段 PSBT 验证，强化 USB 连接及固件更新边界，改善 Delta Mode 隔离机制，修复活跃钱包备份问题，加强随机数生成器初始化及故障检查，调整 SIGHASH 默认设置，并包含多项安全性和正确性改进。Coldcard 表示，此次更新旨在进一步降低设备遭受攻击的风险。 官方提醒，更新固件无法修复此前受影响固件生成的已有助记词。若用户的助记词属于此次安全公告涉及范围，应先更新设备，再生成并验证全新的助记词，并将资金迁移至新钱包。Coldcard 建议所有 Mk4、Mk5 和 Q 用户及时更新设备，并核验所下载固件的签名。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 Rapid7 披露名为 Operation Asterix 的加密钓鱼行动，目标涉及多个国家约 88.5 万个手机号，并将受害者引导至虚假钱包服务网站。已有 5576 个手机号与币安用户账户匹配，并被列入攻击队列。 攻击者通过冒充 Ledger、Trezor 和 Exodus 的虚假应用窃取助记词，同时使用伪造客服邮件及电话联系受害者。Rapid7 还发现，德国逾 31.6 万个手机号中有 43066 个与加密交易账户匹配，命中率约 13.6%。相关攻击还包括针对 Kraken 账户的批量手机号验证工具，调查发现 AI 工具在钓鱼行动中被大量使用。 区块链安全公司 Hacken 数据显示，今年第一季度钓鱼攻击和社会工程诈骗造成 3.06 亿美元损失，占加密行业 4.82 亿美元总损失的大部分。

ChainCatcher 消息，据链上分析师 Ai 姨监测，交易员 Trader-DoshiAtoll 持有 1200 枚 BTC 的 40 倍空单，开仓价 66891.7 美元，浮亏 533.6 万美元。同时，Trader-DoshiAtoll 以 25 倍杠杆做多 1.86883 万枚 ETH（4245 万美元），开仓价 2270.43 美元，浮盈 18 万美元。

ChainCatcher 消息，Decred 发文称，强制补丁版本 v2.1.6 现已发布，更新内容包括修复一项与共识相关的关键安全问题，防止潜在的周期性去匿名化混币攻击。此外，该补丁还修复了多个可能与网络相关的拒绝服务（DoS）攻击问题，并改进了混币会话的失效时长。官方呼吁用户尽快升级，同时提示 Decrediton 的 Windows 版本尚未发布，预计将于次日推出。

ChainCatcher 消息，AWS 宣布 Amazon Bedrock AgentCore payments 服务正式全面可用（GA），该服务与 Coinbase 和 Stripe 合作，使 AI 代理能够通过几行代码自主支付付费 API、MCP 及内容服务。AgentCore payments 整合 Coinbase 和 Stripe Privy 钱包，支持以 USDC 稳定币进行小额交易支付，用户可通过信用卡或 USDC 为代理钱包充值并授权代理代为支出。 该服务支持 x402 协议及 MPP 协议，新增支持“upto”支付方案，允许代理设定消费上限而非固定价格，实现按实际推理用量动态计费。内置支付会话限额（单次交互最高支出和到期时间），超过限额即拒绝，并集成 AgentCore Observability 提供交易审计日志、成功率及平均交易价值等可视化看板。 相关功能已在 Amazon CloudFront 和 Cloudflare 等 CDN 实现集成，目前已有 Anchor Browser、SpreadX、Travala 等客户应用该服务。AgentCore payments 现已在多个区域可用，开发者可通过控制台、CLI 及 LangGraph、OpenClaw 等开源框架集成。该服务的推出是 AI 代理从“推理与行动”向“自主交易”演进的关键一步。

ChainCatcher 消息，OpenAI 宣布将采用更严格的系统监控和安全防护措施，以防止人工智能模型失控。公司计划在发现问题后 30 分钟内向安全团队发出警报，并新增控制措施防止 AI 模型连接互联网执行高风险任务。OpenAI 还暂停了部分模型的推理任务和训练计划，以待安全验证完成。