攻击

ChainCatcher 消息，针对此前 FlashLoopAdapter 漏洞导致两个 Safe 多签损失约 114 ETH 一事，Aave 创始人 Stani Kulechov 表示，出现漏洞的合约并非 Aave v3 合约，而是构建在 Aave 之上的第三方外部适配器，对 Aave v3 本身没有影响。 此前慢雾披露，FlashLoopAdapter 存在访问控制漏洞，攻击者利用该漏洞绕过权限检查并从两个启用该模块的 Safe 多签中转出资产，最终造成约 114.09 ETH 损失。

ChainCatcher 消息，开源比特币闪电网络节点软件 Core Lightning 团队发出紧急提醒，称有报告显示攻击者正在针对尚未安装补丁的节点发动攻击，因而督促仍在运行旧版本的运营者立刻升级。该团队表示：“紧急安全更新：如果你使用的版本为 26.06.7 或更早，请尽快升级到最新的发行版。”在这之前，Core Lightning 已于 9 月 16 日开始排查一项可能影响其实验性功能、进而波及用户资金的潜在问题，并在大约六天之后推出了 26.06.8 版本。这次更新除了修复若干缺陷之外，也为经由多方负责任上报的安全漏洞提供了补丁，发布说明中点名感谢 Bitcoin Red Team 及其他 12 位个人与组织，同时向匿名报告者致意。依照变更日志，本轮修复涵盖可能导致发送方节点崩溃的故障、足以耗尽 REST 接口内存的请求，以及会在关闭支付通道时令用户资金遭遇罚没损失的一项漏洞。为了给运营者留出充足的升级窗口，防止攻击者趁机进行逆向研究与利用，该版本有意隐去了部分测试内容。而在今年 8 月，该项目还在审阅了大量由人工智能生成的通用漏洞披露报告后启动了协同修复流程，并于两天后发布 26.06.7 版本，用来封堵经过确认的漏洞。

ChainCatcher 消息，NEAR 联合创始人 Illia Polosukhin 表示，NEAR Intents及 near.com 已恢复上线，但少数受影响网络的相关服务仍受到限制。 Illia 表示，此次约 380 万美元攻击利用了 Omni 充提基础设施与 NEAR Intents 智能合约交互中的漏洞，影响范围仅限于 BSC 上的 USDT。NEAR 核心协议、NEAR 代币及其他应用均未受到影响，受损用户将获得全额赔偿。

ChainCatcher 消息，据派盾监测，NEAR Intents 攻击者已将盗取的资金转移至 Kucoin，并桥接到 BTC。攻击者地址已与一个标记为朝鲜 LazarusGroup 的地址（0x098B7...E2f96）进行交互。

ChainCatcher 消息，NEAR Intents 发布安全通报确认遭遇攻击。初步调查显示，漏洞源于 Omni 充提基础设施与合约交互缺陷，目前已完成合约漏洞修复，预计 1 小时内恢复核心服务，并承诺对受损资产进行全额赔付。 NEAR Intents 表示，BSC、Polygon、TON 等多条公链的充提服务将额外暂停约 12 小时，相关案件已报案并展开链上追踪。 随后，链上侦探 ZachXBT 表示，NEAR Intents的 BSC 热钱包出现多笔异常资金流出，被盗资金已转入 KuCoin，并进一步跨链至比特币网络。目前涉案金额超过 380 万美元。

ChainCatcher 消息，据 Law360 报道，涉及 Uranium Finance 的加密资产盗窃案已在美国曼哈顿联邦法院开审。 检方指控，马里兰州网络安全顾问 Jonathan Spalletta 于 2021 年利用该协议智能合约漏洞发动攻击，其中第二次攻击从 26 个资金池转出约 5,330 万美元，并导致协议停止运营。相关说法为检方指控，尚非定罪结论。

ChainCatcher 消息，CoinBureau 援引链上调查人员 ZachXBT 的说法称，疑似朝鲜相关攻击者正通过 Zcash 对 Bitget 被盗资金进行屏蔽。约 2700 枚 ZEC、价值约 380 万美元的资金已开始转入 Zcash 的 Ironwood。 这些被盗 ZEC 正被转入屏蔽池，交易细节可被隐藏。Bitget 涉及多类资产、总额约 3.88 亿美元的安全事件中，约 18900 枚 ZEC、价值约 2830 万美元被盗。此前，Bitget 首席执行官 Gracy Chen 表示，她对追回被盗资金“并不十分乐观”。

ChainCatcher 消息，慢雾旗下链上追踪平台 MistTrack 监测指出，加密交易平台 Bitget 安全事件的攻击者此前尝试将盗取资金转入跨链 DEX 协议 Chainflip 进行转移，但遭到相关经纪商直接拒绝充值。链上处理结果显示，该笔资金未被协议方冻结，而是直接原路退回，攻击者未能成功利用该渠道完成转移。MistTrack 表示，将继续对该批被盗资金的后续链上动向保持追踪。

ChainCatcher 消息，加密资产管理公司 BlockTower Capital 创始人兼首席投资官 Ari Paul 在 X 发文称：Coinbase 数年前“丢失”了其公司 2500 万美元资金，事后发现对方实际是在掩盖大规模且反复发生的黑客攻击，且至今仍未归还相关资金。Ari Paul 表示：其团队已追踪到至少十余家其他受影响机构，被掩盖的金额超过 10 亿美元。他称目前只能披露这些信息，因为多项法律程序仍在进行中。

ChainCatcher 消息，Bitget 大中华区负责人谢家印近日在直播中直面社区关切。他回顾道，Bitget 成立 8 年来，始终将用户资产安全置于最高优先级，成功抵御了多次网络攻击尝试，保持了长期的安全运营记录。此次事件是平台 8 年发展历程中的首次安全危机。 经完整溯源，本次事件属于一起针对第三方安全软件供应链的特殊攻击，攻击者利用第三方产品漏洞获取内网凭证，但私钥未泄漏、冷钱包资产未受任何影响。目前，Bitget 已联合安全机构 Mandiant 和 SlowMist 开展独立审查，并将全面升级对第三方组件的监控与管理标准。我们不仅致力于推动此次事件后的全面恢复，也将通过持续的技术迭代与体系升级，为行业更加安全、稳健和健康的发展贡献力量。

ChainCatcher 消息，在今日的社区直播中，Bitget CEO Gracy 就近期安全事件及平台财务状况进行回应。她坦诚表示，这是 Bitget 成立 8 年来遭遇的首次安全事件。经过完整溯源，黑客通过第三方安全产品的漏洞窃取了内网权限凭证，向钱包系统伪造提现命令，欺骗钱包执行了绕过风险校验的异常转账。Gracy 强调，此次事件中私钥未泄漏、冷钱包未受影响，具体技术细节将在正式发布的安全报告中详细披露。 Gracy 指出，本次事件核实后的损失处于保护基金覆盖范围内，用户资金安全不受影响。平台自有资金超过 14 亿美元，其中包括约 4.64 亿美元的用户保护基金。平台将继续践行 2022 年设立保护基金时的安全承诺，计划在一周内将基金规模持续补足至 3 亿美元的基准线。 “保护基金不是一句口号，而是在极端安全事件发生时，为用户提供切实保障的重要机制。”Gracy 表示，面对突发安全挑战，平台的综合实力以及主动承担责任的能力，是衡量其风险应对能力与长期可信度的重要标准。Bitget 将持续践行用户利益优先的长期承诺。

ChainCatcher 消息，美股 BNB 加密财库公司 Nano Labs 及董事长孔剑平表示，其 X 账号此前遭遇钓鱼攻击，目前已成功恢复控制。孔剑平称，攻击者向其公开常用邮箱发送钓鱼邮件，其 AI 助手误将邮件中的虚假链接识别为 X 官方验证页面，导致其将 X 发送至绑定邮箱的验证码输入至钓鱼页面，最终造成账号被盗；期间账号曾短暂发布数条诈骗信息。孔剑平提醒用户不要点击非官方链接，即使 AI 判断链接可信也应保持警惕，并建议将 X 绑定邮箱设置为不易被外部知晓的邮箱，以降低账号被盗风险。

ChainCatcher 消息，Bitget CEO 发文表示，攻击者地址已被公开列出并持续追踪，Bitget 呼吁 THORChain 拒绝向这些地址提供服务。去中心化是一项设计原则，不应成为为已知被盗资金提供便利的保护伞。

ChainCatcher 消息，Cosmos Labs 发文披露，9 月 22 日 Neutron 遭遇治理攻击并导致 Astroport 等协议流动性被盗，约 173 万枚 ATOM 随后被攻击者转移至 Cosmos Hub。Cosmos Hub 本身未遭攻击，用户资金也未受影响。为阻止被盗 ATOM 继续转出，Hub 验证者一度暂停网络约 24.5 小时，并于 9 月 23 日基于修复后的 Gaia v28.3.0 恢复出块。Cosmos Labs 表示，暂停期间仍有 122.7 万枚 ATOM 留在攻击者的 Hub 地址，网络恢复时通过一次性变更将其转入由 Nansen、Keplr、Enigma、Silknodes、Kiln 和 Polkachu 组成的 4/6 多签地址。此前约 50 万枚 ATOM 已通过 THORChain 兑换为 ETH，无法追回；另有 16.9 万枚 ATOM 在网络恢复后因 THORChain 退款进入攻击者地址，并被转移至 Osmosis 后出售。当前多签地址持有约 122.7 万枚 ATOM，仅可在 Cosmos Hub 治理提案授权后执行返还，相关资金不会被质押、借贷或交易。Neutron 团队预计将于下周提交恢复方案及相关治理提案。

ChainCatcher 消息，据 Cointelegraph 报道，区块链安全公司 SlowMist 表示，其调查尚未将近期引发安全警告的 iPhone Safari 攻击与已确认的加密货币被盗事件关联起来。 SlowMist 向 Cointelegraph 表示，尚未独立确认有受害者因其所分析的特定 Safari 攻击样本而受损，其掌握的最强技术证据覆盖 iOS 18.4 至 18.6.2 版本。该公司称，外界流传的“iOS 13 至 26.5”受影响范围应被视为初步判断，在获得可复现的技术证据前，倾向于避免声称 iOS 26.5 受到影响。 SlowMist 指出，该 Safari 攻击复用了此前披露的 DarkSword 漏洞利用链技术，与另一项涉及 App Store 应用内嵌恶意组件的 FomoPeek 调查相互独立。Google 威胁情报团队（GTIG）曾于 3 月披露 DarkSword，称其为自 2025 年 11 月以来被多个威胁行为者使用的 iOS 漏洞利用链。

ChainCatcher 消息，据 Blockaid 监测，以太坊上的 Limit Break 正遭遇持续攻击，攻击者利用 Limit Break Payment Processor V2，冒充 NFT 持有者并以零价格购买已授权的 NFT，目前约 3 笔交易已导致价值约 170 万美元的 NFT 被盗。 Blockaid 提醒，曾将 Payment Processor V2 授权为 NFT Operator 的用户应立即撤销相关授权，仅取消挂单或 Master Nonce 无法解除该权限。

ChainCatcher 消息，KelpDAO 在 X 平台表示，其已对 LayerZero 及其联合创始人 Bryan Pellegrino 提起诉讼，要求就今年早些时候 rsETH 跨链桥攻击事件追责。诉状主张包括 LayerZero 未充分披露其技术固有弱点与风险；未能阻止其安全基础设施被渗透；LayerZero 曾书面审核并认可 Kelp 的部署与配置。 官方表示，LayerZero 近月公开将责任归于己方。自该攻击事件发生以来，团队已采取行动确保用户资产安全，包括将 rsETH 的跨链桥迁移至更安全的跨链标准。 LayerZero 联合创始人兼首席执行官 Bryan Pellegrino 则发推表示，KelpDAO 的相关主张缺乏依据，将在温哥华应诉并进行抗辩。 此前，LayerZero 公布事故报告显示，2026 年 4 月 18 日，基于 LayerZero 构建的 KelpDAO rsETH 跨链桥遭攻击，损失约 11.65 万枚 rsETH，价值约 2.92 亿美元。

ChainCatcher 消息，币安钱包宣布上线针对高风险签名场景的实时检测与风险拦截功能，以防范利用 DeFi 项目授权机制实施的钓鱼攻击。 币安表示，部分攻击仅需诱导用户完成无需 Gas 费的离线签名，即可能导致资产被盗。后续将继续拓展风险识别场景及安全防护覆盖范围。