goplus

ChainCatcher 消息，据 GoPlus 监测，VSCode 扩展 Solidity Pro 曾被投毒，历史版本存在数据窃取、远程执行等恶意能力。 建议开发者立即检查自己安装的相关扩展，并提高对第三方插件的警惕。

ChainCatcher 消息，据官方消息，GoPlus 宣布全面升级 DeepScan，推出基于 AI 的智能合约安全解决方案。GoPlus 表示，随着黑客开始利用 AI 挖掘更深层次的合约漏洞，传统“一次审计、上线即结束”的安全模式已难以应对持续变化的攻击风险。DeepScan 围绕智能合约全生命周期，构建由 AI 合约审计、持续安全监控和 Token 安全自查组成的完整安全闭环，为开发者、项目方及交易平台提供持续性的安全保障。其中，AI 合约审计可基于 AI 深度分析合约源码、权限管理及业务逻辑，识别语法漏洞、业务逻辑漏洞等安全风险，并输出包含安全评分、关键发现、问题详情及修复建议的结构化审计报告。持续安全监控则面向已上线及完成审计的合约，实时跟踪新披露漏洞、链上攻击事件以及预言机、跨链桥等外部依赖变化，并通过 AI 判断项目是否受到影响，及时进行复核和预警。Token 安全自查则面向即将发布或申请上币的项目，可快速检测貔貅盘/蜜罐、恶意增发权限、黑名单机制、异常交易税、Owner 权限及交易限制等风险。此外，GoPlus DeepScan 团队还发布了基于真实智能合约攻击事件构建的开源 Benchmark 基准数据集，用于评估 AI 在漏洞识别、攻击路径理解、上下文推理及审计稳定性等方面的实际能力，目前已收录自 2025 年 5 月至今近百起典型攻击事件并持续更新。GoPlus 表示，DeepScan 可用于开发者低成本安全扫描、项目方上线前安全审查及运营期间持续监控，同时可作为交易平台上币前安全评审的补充，帮助各方更及时识别新增漏洞和攻击风险。

ChainCatcher 消息，据 GoPlus 安全警报，某用户因地址投毒攻击损失约 10 万美元 USDT。攻击者通过尾号相似的恶意地址进行小额交易，等待用户复制粘贴时出错。地址投毒攻击已实现完全自动化，包括发现投毒机会、创建仿冒同名假币或实施小额投毒、混币洗钱。受害地址在 69 天前执行最后一笔交易后收到了四百多条投毒交易。

ChainCatcher 消息，据 GoPlus 监测，Base 链上一名用户因钓鱼攻击损失 50 万枚 USDC，攻击者将赃款兑换 WETH 时因脚本未设滑点保护，路由至几乎无流动性的 Uniswap V4 WETH/USDC 池，导致 50 万 USDC 仅兑换到 67.9 枚 ETH（价值 12.9 万美元），其中 37 万美元被 MEV 机器人赚走。该 MEV 机器人仅支付 0.03 枚 USDC 即抢跑该交易，但为此支付了 3.5 枚 ETH 的 Gas 费。随后受害者向攻击者和 MEV 地址发送链上消息，称已定位到攻击者身份，愿支付 10% 赏金请求退款。

ChainCatcher 消息，据 GoPlus 分析，Arbitrum 上的 Lumi Finance 于 7 月 13 日遭攻击，损失约 27 万美元。 漏洞源于 Sodium 智能账户合约（ERC-4337）中的 validateUserOp 函数在调用 _validateSignature 验证签名时存在逻辑缺陷——执行 isValidSignatureNow 时，signer 参数传递的是攻击者地址，调用 ECDSA.tryRecover 出错后未 revert，转而调用攻击合约中的 isValidSignature 函数并通过验证。攻击者利用该漏洞在 UserOperation 验证期间执行 Token approve 操作，未经支付方允许即从多个智能账户中获取 ERC20 代币的批准权限。

ChainCatcher 消息，安全分析平台 GoPlus 针对「某用户在 Uniswap 上将约 1126 枚 ETH（约 201 万美元）兑换为 5776 枚 LIT（约 1.4 万美元），损失近 200 万美元」事件发推表示，该事件核心原因并非三明治攻击，而是同一区块 backrunner 套利。路由合约将大量 WETH 打入了一个流动性极差的 AVAIL/WETH 交易池，导致用户以严重偏离市场价格（约为合理价格的 120 倍）买入 AVAIL。随后同一区块内，backrunner 用极少量真实价格的 AVAIL 反向交易该池，抽走约 1072 枚 WETH，并将大部分（约 1018 枚 ETH）作为 builder payment 支付给 Titan Builder。

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合约漏洞攻击频发，特别是部署多年历史悠久的老合约正成为攻击者重点目标，攻击者正利用 AI 技术快速发现并利用这些漏洞。 近期典型事件包括： 6月9日，部署于7年前的Token of Power（TOP）合约在以太坊上被攻击，损失约150万美元； 5月25日，部署3年的WUSD.fi合约遭攻击，损失约20万美元； 6月14日与6月18日，Aztec Network连续两次因2年前部署的老合约被攻击，总损失超过400万美元。 GoPlus Security 认为，传统审计方式难以有效覆盖历史遗留合约，采用基于 AI 的持续审计（Always-on Audit）服务可能是当前最有效的解决方案，能够在短时间内对老合约进行安全检查，在可靠性和成本之间取得平衡。

ChainCatcher 消息，GoPlus 在 X 平台发文称，Meta 账户恢复功能被曝存在高危设计缺陷，会直接泄露用户手机号、邮箱和 PII（个人敏感信息）。攻击者仅需输入 META 用户名，无需任何登录或验证，即可直接获取用户绑定的邮箱、手机号等完整 PII，这可能对用户带来大量危害，如：大规模钓鱼攻击、SIM 卡交换攻击、账号接管与身份盗用、精准社会工程学攻击。 建议：移除或更换已泄露的邮箱/手机号作为恢复方式；修改相关账号密码并启用 2FA；不点击任何“账户异常”“验证”“重置密码”相关的邮件或短信；设置多渠道验证，可通过官方文档或官方其他社交媒体渠道核实。

ChainCatcher 消息，据 GoPlus 预警，某用户因签署了恶意 Permit2 交易，被钓鱼者转走价值约 31.6 万美元的 USDC。

ChainCatcher 消息，GoPlus 发布安全警报称，韩国版凉兮、合约直播 KOL 西八姐 @jadoodoo_ 的 X 账号被盗，正以合作名义疯狂私信粉丝发送钓鱼链接。已有多个 KOL 中招，总损失约 5,000 美元。请不要点击连接钱包或下载恶意软件。

ChainCatcher 消息，针对 “DxSale 被指利用后门抽走 730 万美元流动性资金” 一事，安全公司 GoPlus 表示，该攻击或为内鬼作案，仍有 1550 万美元资金和 LP 急需自救。GoPlus 建议项目方立即检查其项目 LP 是否锁定在 0xEb3a9C56、0x81E0eF68、0x2D045410、0x5b5e9448 合约，如有请立即采取措施撤出。因初始资金来源为 Bybit，建议 KYC 溯源；最终出金渠道为多个币安地址，建议相关安全团队提交链上证据申请冻结攻击者地址。GoPlus 呼吁项目加强安全机制，关键管理员函数必须有时间锁，Owner 权限必须使用多签。GoPlus 强调，截至目前 DxSale 尚未发出任何公开的事件响应声明，其沉默本身也值得关注。

ChainCatcher 消息，据 GoPlus 安全警报，X 平台上出现推介黑 U 和反洗钱检测网站的钓鱼诈骗活动。经调查，该网站为部署在 Vercel 托管平台的钓鱼网站，目的是骗取用户钱包授权，请勿交互。 GoPlus 建议：尽量避免私下交易，使用中心化交易所的 OTC 功能；对陌生链接保持高度怀疑，尤其是需要钱包签名或授权的操作；牢记防钓鱼“四不选择”：不点陌生链接、不安装来历不明软件、不签署不明内容交易、不向未验证地址转账。

ChainCatcher 消息，据 GoPlus 分析，稳定币协议 StablR 在以太坊上多签合约的安全设置问题（多签阈值为 1），以及持有者私钥被窃取，导致 StablR $EURR、$USDR 稳定币脱锚 20%，攻击者已获利约 280 万美元。

ChainCatcher 消息，GoPlus Security 表示，一名用户遭遇典型地址投毒攻击，因从交易历史复制相似地址，误将 100,000 枚 DAI 转入攻击者伪造地址。事件中，该用户此前曾向目标地址转入 300,000 枚 DAI，攻击者随后使用前后字符相近的地址向其发送 0.0003 枚 DAI，诱导其在第二次转账时误选地址。GoPlus Security 提醒，勿从交易历史复制地址，转账前应核对完整地址，并在大额转账前先进行小额测试。

ChainCatcher 消息，据 GoPlus 发布，过去 36 小时内新增两起公开私钥泄露事件，总损失 23.8 万美元。其中 0xUnihax0r 损失 20 万美元，其曾上传过交易 Bot 和 Telegram；@Eli5defi 的被盗地址与之前 574 个地址的大规模私钥泄露事件存在关联。GoPlus 表示，鉴于此类集中性大规模私钥泄露，建议立即按照私钥泄露自检清单排查风险。

ChainCatcher 消息，据 GoPlus Security 发推表示，过去 48 小时内，以太坊主网上接连发生 4 起智能合约攻击，总损失已超过 150 万美元。 其中包括，Onchain 聚合器合约被攻击，损失约 98.3 万美元；TradingProtocol 相关第三方金库合约被盗，损失约 39.8 万美元；BCB 合约因重入漏洞被攻击，损失约 3.98 万美元；某合约因任意调用漏洞导致 QNT 资产损失约 12.49 万美元。 GoPlus Security 警告，随着 AI 技术进入战场，黑客攻击正变得更加精准和迅速，漏洞从“几天”被发现压缩到了“秒级”。

ChainCatcher 消息，针对近期发生的“ListaDAOLiquidStakingVault”合约被攻击事件，ListaDAO 官方发布声明澄清，该被攻击合约并非官方部署，而是由未经验证的第三方使用相似名称创建的仿冒合约。ListaDAO 的官方合约均未受到该事件影响。 据 GoPlus 安全团队深入分析，此次攻击发生在 2026 年 4 月 16 日，根本原因在于该第三方合约存在业务逻辑缺陷。当进行代币转账时，会触发 Dividend.setShares() 函数并改变合约内的份额记账，进而影响了 claimReward() 函数中的奖励计算。攻击者正是利用这一漏洞耗尽了该合约内的资产。 GoPlus 提醒，由于该逻辑漏洞同时存在于上述两段合约代码中，任何分叉或复用该代码的开发项目均面临高被利用风险。建议相关开发者及时进行代码排查与修复，并引入持续审计机制以保障智能合约安全。

ChainCatcher 消息，Web3 钱包基础设施 Claw Wallet 宣布与 GoPlus 达成战略合作。Claw Wallet 已集成 GoPlus 旗下的 SafuSkill Launchpad，支持 AI 技能（Skill）的资产化与代币化，赋能开发者通过 GitHub 验证获取持续链上收益。 同时，Claw Wallet 引入 GoPlus AgentGuard 安全扫描技术，通过多维度评分系统，对 AI Agent 的代码、敏感数据及运行环境进行实时监控与风险可视化。此次合作旨在提升 AI Agent 钱包的安全性，并完善其生态激励机制。

ChainCatcher 消息，据 GoPlus 中文社区披露，某用户因签署恶意 Permit2 交易，导致其钱包中约 316,000 美元的 USDC 被钓鱼者转走。 GoPlus 建议用户遵守防钓“四不”原则：不点击陌生链接、不安装来历不明软件、不签署不明内容交易、不向未验证地址转账，并推荐安装 GoPlus 安全插件以实时拦截钓鱼风险。

ChainCatcher 消息，据 GoPlus Security 披露，一款名为 Infiniti Stealer 的窃密恶意软件正通过 “ClickFix” 社会工程学攻击手法，针对 Mac 用户的加密钱包及敏感凭证实施窃取。 攻击者伪造高度仿真的 Cloudflare 验证码页面，诱导用户打开终端并手动粘贴执行恶意命令。命令执行后，脚本将移除 macOS 隔离属性，并将后续载荷写入 /tmp 目录静默运行。最终载荷为经 Nuitka 编译的原生 macOS 二进制文件，大幅提升了安全工具的检测难度。Infiniti Stealer 一旦部署，可窃取 Chromium / Firefox 浏览器凭证、macOS 钥匙串、加密钱包及开发者密钥文件（如 .env 文件），并具备沙箱检测与延迟执行能力以规避追踪。