慢

ChainCatcher 消息，据金十报道，“美联储传声筒” Nick Timiraos 表示，美联储会议纪要显示，“绝大多数”官员认为通胀缓解的步伐可能慢于预期，主要源于三项相互交织的担忧：关税对商品价格的影响可能需要更长时间才能消退；油价对核心通胀的传导效应；以及多年通胀率高于目标水平，导致通胀预期更容易受到新一轮冲击的影响。

ChainCatcher 消息，据官方消息，区块链安全机构慢雾（SlowMist）近期发布安全评估报告，对 OKX Wallet 进行专项审计。结果显示，在已审核版本中，未发现应用向外部服务器传输私钥或助记词等敏感信息的行为，整体未检测到敏感数据泄露风险。 据悉，此次评估重点围绕 OKX Wallet 是否存在私钥及助记词外传问题展开，结果表明相关核心信息均在本地处理。当前私钥与助记词的处理方式已成为钱包安全核心，此类审计结果也为用户提供了更直接的安全参考。

ChainCatcher 消息，慢雾发文分析 Drift 被盗事件指出，攻击发生前一周，Drift 将多签机制调整为「2/5」（1 个旧签名者+4 个新签名者），且未设置时间锁（timelock）。攻击者随后获取管理员权限，伪造 CVT 代币、操纵预言机、关闭安全机制，并从资金池中转移高价值资产。 目前，被盗资金已主要归集至以太坊地址，合计约 105,969 枚 ETH（约 2.26 亿美元）。慢雾表示，相关资金流向仍在持续追踪中。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文表示，Coinbase 已将要求用户输入明文助记词的页面下线，他指出对于钱包来说在线网页的安全模型非常低，远低于扩展、App；在线网页采集明文助记词的做法很容易被钓鱼网页模仿学习，而且早已经是钓鱼的常用手法。

ChainCatcher 消息，慢雾首席信息安全官 23pds（山哥）在 X 平台发文表示，有消息称 LiteLLM 漏洞攻击者已盗取约 300GB 数据，并窃取约 50 万个凭证。他建议所有加密货币开发人员立即核查，尽快轮换相关密钥与凭证，核查日志、访问记录及敏感数据暴露情况，避免出现类似 Trust Wallet 事件的损失。 此前消息，每月下载量达 9700 万次的 LiteLLM 遭供应链攻击，简单安装即可窃取 SSH 密钥等全部敏感凭据。

ChainCatcher 消息，在慢雾创始人余弦披露 Coinbase Commerce 资产恢复页面直接要求用户输入明文助记词存在风险后，慢雾首席信息安全官 23pds 补充表示，该页面的站点地图也存在缺陷，恶意攻击者可以轻易使用 ResourcesSaver 等工具下载前端代码并部署类似的网站。 如果将其与 Coinbase 等类似的域名结合使用进行网络钓鱼攻击，用户很容易上当受骗。

ChainCatcher 消息，随着 AI Agent 在加密交易中的应用快速升温，自动化交易正从“工具辅助”迈向“自主执行”。但与此同时，一系列安全风险也在同步显现。近日，安全机构 SlowMist 与全景交易所 Bitget 联合发布 AI Agent 安全报告，对当前 Web3 场景下 Agent 自动化交易的潜在威胁与防护体系进行了系统性梳理。 报告结合真实案例与安全研究，剖析了当前 AI Agent 面临的典型安全问题，包括提示词注入（Prompt Injection）导致的行为操控风险、插件与 Skill 生态存在的供应链隐患、API Key 及账户权限滥用，以及自动化执行引发的误操作、权限扩大化等潜在威胁。 报告建议，用户在使用 AI Agent 进行交易时，应有效控制权限，通过子账号隔离、设置 API IP 白名单，并建立持续的交易监控与异常告警机制。同时，在高风险操作中引入人工确认或独立签名机制，避免模型误判直接影响资产安全。为方便用户落实安全防护，报告在文末附交易安全自查表，助力用户快速排查安全隐患。 从行业发展来看，AI Agent 正持续推动 Web3 交易智能化，但安全体系建设仍需同步升级。如何在效率与可控性之间建立平衡，将成为行业长期关注的重要课题。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示：“一个群体被黑事件正在发生，黑客地址：0x913efc2062984288a0a083cd42b3a3422c07fcef，目前黑客累计获利 8.5 万美元，还在持续增加。从社区反馈来看，这个群体主要属于薅羊毛玩家，私钥/助记词被黑客提前采集。黑客正在归集相关资金。如果正在用 MoreLogin 指纹浏览器需务必注意，但目前没有证据一定是 MoreLogin 或相关插件出问题。”

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发文提醒称，ClawHub 开发者请注意钓鱼和凭据泄露风险。目前 ClawHub 依赖开发者 GitHub 一键登录，之前 Sha1-Hulud 蠕虫窃取大量开发者的 GitHub 凭据，攻击者可能会伺机攻击 Skills。 攻击路径为：凭证窃取→攻击者获取 GitHub 权限→以开发者身份登录 ClawHub→发布恶意 Skills 植入后门→用户下载安装后执行恶意代码导致系统入侵。

ChainCatcher 消息，据慢雾科技首席信息安全官 23pds 披露，情报系统发现名为 “@openclaw-ai/openclawai” 的恶意 npm 包正在实施多层攻击。 该恶意包伪装成名为 OpenClaw Installer 的合法命令行工具，旨在窃取用户敏感信息，包括系统凭证、加密钱包私钥、浏览器数据、SSH 密钥以及 Apple Keychain 数据库等。

ChainCatcher 消息，据慢雾科技首席信息安全官 23pds（@im23pds）监测，攻击者正对 Bing AI 搜索结果进行投毒，诱导用户下载并安装伪造的 OpenClaw 程序，从而窃取用户的加密资产和敏感信息。

ChainCatcher 消息，慢雾 CISO 23pds (山哥) 在 X 平台发文表示，淘宝、咸鱼出现 U 盘版 OpenClaw，宣称用户购买后配置模型即插即用。但 OpenClaw 权限过大，恶意 Skills 普通用户难以识别，易导致资产损失。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文表示：“不信任 OpenClaw 的稳定性或韧性的，但对 Claude Code 挺放心，这可是软件工程的核心目标之一。安全重视上，两家对安全的重视力度都很高，提交的漏洞有得到很及时的反馈。某些 OpenClaw fork 或参考版本，对安全的积极性就差了许多。 安全场景上，OpenClaw 虽然也有 Sandbox 机制，也试图在工具权限上做更细粒度的设计，但如其名‘OpenClaw’，Open 是其最大魅力，束手束脚的 OpenClaw 就不是 OpenClaw 了，又希望它自由，又希望它可控，这是大家纠结的一点，但真正生产环境下，过度自由的 OpenClaw 容易失控。”

ChainCatcher 消息，据金十报道，美联储官员柯林斯表示，预计通胀将缓慢回落至 2% 的目标。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发布提醒称，警惕虚假 imToken Chrome 扩展程序。Chrome 应用商店一个虚假 imToken Chrome 扩展程序，会钓鱼获取种子短语和私钥。

ChainCatcher 消息，据金十报道，凯文·沃什试图缩减美联储资产负债表的计划将仅会缓慢推进。沃什指出，美联储近 7 万亿美元的资产负债表已越界涉入国会职权范围，并认为大规模债券购买扭曲了金融市场。 知情人士透露，沃什将在与银行及公众磋商后，才会着手调整资产负债表，且不太可能将规模恢复至 2008 年金融危机前水平。

ChainCatcher 消息，慢雾宣布推出 MistTrack Skills，旨在为 AI Agent 提供链上地址风险分析与反洗钱（AML）检测能力。在 AI Agent 与 Skills 生态快速发展的背景下，该工具可帮助 Agent 在执行转账、Swap 及其他链上操作前，自动完成地址级安全评估。 MistTrack Skills 基于 MistTrack 的 OpenAPI 构建。官方数据显示，MistTrack 已收录超 4 亿个链上地址与 50 万条威胁情报数据，支持包括 Bitcoin、Ethereum、TRON、BNB Smart Chain、Solana、Sui 等多条主流公链的风险分析。API 能力涵盖地址标签查询、风险评分、交易调查、资金流向追踪、交易对手分析及异步风险任务等模块。 开发者在配置 MISTTRACK_API_KEY 后，可在 OpenClaw、Claude Code 等 AI Agent 工具中调用相关功能。同时，该技能支持与 Bitget Wallet Skill、Trust Wallet Skills 等钱包类技能集成，在执行转账或签名前自动对收款地址进行 AML 检测。慢雾表示，随着 AI Agent 逐步参与链上资产操作，安全能力需要从工具层升级为默认基础设施能力。MistTrack Skills 的推出，意在为 AI 与 Web3 场景结合提供更完整的链上风险控制方案。

ChainCatcher 消息，慢雾创始人余弦转帖发布安全提醒，目前 OpenClaw 的 ClawHub 市场共发现 1,184 个恶意技能，这些技能会窃取 SSH 密钥、加密钱包、浏览器密码并打开反向 shell。仅一名攻击者就上传了 677 个软件包。排名第一的技能存在 9 个漏洞，下载量达数千次。 余弦提醒用户，文本不再是文本，而是指令。建议通过独立环境使用 AI 工具，许多 OpenClaw 技能存在潜在风险。此外，Web3 安全里合约只是一部分，真正事故原因早已不仅仅是合约。前几日 Moonwell 被盗 178 万美元，缺陷代码来自 Co-Authored-By：Claude Opus 4.6。

ChainCatcher 消息，据金十报道，美联储会议纪要显示，多数与会者警告称，通胀向 2% 目标迈进的进程可能比普遍预期更缓慢、更不均衡，且通胀持续高于目标的风险被评估为具有重要意义。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台提醒称，一种名为 “graphalgo” 的虚假招聘活动正在利用远程访问木马（RAT）攻击加密货币开发人员。