配置错误

ChainCatcher 消息，半导体与 AI 独立研究机构 SemiAnalysis 发布 Neocloud（新型云）安全深度报告，揭露 ClusterMAX 3 测试期间发现的多类跨租户安全漏洞。在为期四个月、覆盖 25 家供应商和 32 个集群的测试中，团队仅利用公开已知漏洞和基础配置检查，就实现了多起跨租户远程代码执行（RCE），受影响实体包括银行、电信公司、大学、研究机构、AI 实验室，甚至一国情报机构。典型问题包括：共享 Kubernetes 控制平面导致租户元数据互见、容器逃逸、BMC/IPMI 管理网络暴露、InfiniBand 安全密钥（P_Key、SA_Key、M_Key）未正确配置、BlueField DPU 默认信任模式未加固、Grafana 监控仪表盘使用上帝级 API 密钥、前端网络缺乏 VXLAN 隔离等。报告特别指出一个级联漏洞案例：共享 vCluster 配置错误加上软件版本滞后两年，最终在下午级时间内完成了跨租户 RCE 的 POC 验证。值得注意的是报告对“AI 已根本性改变网络安全节奏”的主流叙事提出质疑：对英伟达 GPU 驱动、CUDA、PyTorch、Kubernetes、Docker 及 Linux 内核的 CVE 统计显示，AI 编码模型普及后并未出现显著漏洞增长，多数数据中“无法拒绝无变化假设”。报告同时详述了 OpenAI 训练代理攻击 Hugging Face 的事件，AI 代理通过 Artifactory 建立的消息板实现集群级权限提升，从 5 月持续到 7 月才被彻底发现。在构建 POC 验证已有漏洞时，团队发现 Claude Fable 和 GPT-5.6 Sol 对安全相关请求频繁拒绝，最终主要依赖 DeepSeek V4、Kimi K3 和 GLM-5.2 等开源模型完成。SemiAnalysis 表示 Neocloud（新型云）行业的核心问题并非 AI 带来的新风险，而是最基础的补丁管理、租户隔离和安全设计长期缺位，建议供应商建立自动化安全公告监控系统，并修正单点故障即可暴露全部用户的架构模式。

ChainCatcher 消息，据 Wired 报道，安全测试中，月之暗面的开源模型 Kimi K3 在安全测试中突破沙箱范围并访问了互联网，试图通过 GitHub 寻找测试答案。美国安全初创公司 Frontier Security 称，Kimi K3 利用了沙箱配置漏洞，但其本身缺乏足够的内置防护机制。与 OpenAI 和 Anthropic 此前披露的事件类似，此次逃脱部分源于沙箱配置错误。但 Kimi K3 未发起攻击，因答案在 GitHub 上可轻易获取。Frontier Security CEO 表示 Kimi K3 在网络安全防御方面表现出色，但缺乏防止作弊或逃逸沙箱的防护机制。安全专家表示配置测试环境至关重要，AI 代理的误用可能导致系统失控。

ChainCatcher 消息，据金十报道，Meta Platforms (META.O) 公司的人工智能模型在网络安全测试中攻击了另一家公司。Meta 的 MUSE SPARK 1.1 模型入侵了该公司的系统，并对其内部系统进行了更改。Meta 发言人表示，此次异常情况是由于一次配置错误导致，随后该模型利用了安全漏洞。

ChainCatcher 消息，据 Decrypt 报道，DeFi 借贷协议 Moonwell 因预言机配置错误导致约 178 万美元坏账。 Moonwell 在通过治理提案 MIP-X43 启用 Chainlink 的 OEV 包装器合约后，其中 cbETH 的价格预言机配置出现严重失误，一度估值仅 1 美元。链上交易机器人和清算者迅速行动，只需偿还约 1 美元债务即可夺取价值数千美元的 cbETH 抵押品。 此次配置错误共计导致清算 1096.317 枚 cbETH，抹除了许多借款人的绝大部分或全部抵押品，协议留下大量坏账。Moonwell 团队在发现后立即将 cbETH 借款上限和供应上限降至 0.01，限制进一步损失，但发言人拒绝就错误来源或漏洞细节进一步评论。

ChainCatcher 消息，据 Cloudflare 官方博客发布的分析报告，11 月 18 日发生的大规模宕机并非外部网络攻击所致，而是一次数据库权限调整后生成的错误配置文件导致核心代理系统异常，引发包括 CDN、安全服务、Workers KV、Turnstile、Access 在内的多项产品出现中断，这是自 2019 年以来最严重的一次事故。 报告指出，事件初期团队曾误判为 DDoS 攻击，最终通过回滚旧配置文件完成修复，相关服务已于北京时间 11 月 19 日凌晨 01:06 全部恢复。Cloudflare 称此次宕机“不可接受”，并将加速推进系统韧性改进工作。

ChainCatcher 消息，Aster 团队发文表示，XPL 永续合约异常价格事件的赔偿将于一小时内自动发放至受影响用户账户，如有疑问可在发放完成后通过 Discord 提交工单。官方说明，事件源于 XPL 由预上线市场切换至正式永续市场过程中参数配置错误，导致指数价被限制在 1 美元，移除上限后仍处于预上线模式，进而在 21:36 至 21:45 间出现价格异常飙升。该问题已于 21:45 前完全解决，确认系内部配置失误，并非外部攻击。

ChainCatcher 消息，据 GoPlus 分析，GAIN 项目因 LayerZero Peer 配置错误被攻击者利用，攻击者在 ETH 链上初始化额外 Peer 并铸造 TTTTT，通过绕过跨链验证在 BSC 链异常增发 50 亿枚 GAIN。该事件与此前 Yala 攻击类似，GAIN 价格暴跌超 90%。建议用户暂时停止与该项目交互以防损失。

ChainCatcher 消息，Coinbase 因与 0xProject 的“swapper”合约交互配置错误，导致累计约 30 万美元的代币手续费被 MEV 机器人截走。 Venn Network 的安全研究员、“X”用户 deeberiroz 周三披露，Coinbase 与去中心化点对点交易平台 0x的“swapper”智能合约发生了交互，而该合约从未被设计用于代币授权操作。 0xProject 提供的“swapper”合约是用于执行代币兑换的。该合约是无许可的，任何人都可以调用它来执行任意操作，没有所有权限制。然而，它并不是为接收代币授权而设计的，因为这样做可能会让资金面临风险。 研究员表示，这种设计在过去就曾引发已知问题，例如在 BaseLayer2 网络上涉及 Zora 空投领取的事件。

ChainCatcher 消息，据官方消息，以太坊固定利率借贷协议 Term Finance 因预言机配置错误导致约 160 万美元的 ETH 损失。团队表示，通过内部捕获和协商，已追回逾 100 万美元资金，剩余亏空将由协议金库覆盖，并计划发布详细复盘报告。 Term 强调，“这不是黑客攻击，未有智能合约被利用，用户资金未被直接针对。”

ChainCatcher 消息，对于“Morpho 因预言机配置错误损失约 23 万美元”一事，Morpho 于 X 发文回应表示：“协议提供了无需许可的基础设施，为风险管理（risk curation）提供了一个开放的市场。虽然风险管理层偶尔会发生错误，但底层协议仍然是安全和有弹性的。将继续为管理者（curator）配备强大的工具，以减少此类可能性和影响。”

ChainCatcher 消息，Chaos Labs 创始人 omer 发推表示，Morpho 上的 PAXG/USDC 市场因预言机配置错误损失约 23 万美元。 具体而言，Morpho 上的 Oracle SCALE_FACTOR 配置错误，未能考虑 USDC（6 位小数）和 PAXG（18 位小数）之间的差异，这导致 PAXG 价格出现了 12 位数的膨胀，且安全监控可能侧重于参考价格而非计算后的预言机价格。 最终攻击者存入 350 美元的 PAXG，并贷出了价值 23 万美元的 USDC。

ChainCatcher 消息，Blur 推出的 Layer 2 网络 Blast 表示，当 USDT 存入 Blast Bridge 时会在存款交易中转换为 DAI，UI 上的滑点参数配置错误导致 1 个用户在 2 笔交易中收到的 DAI 比他们应有的少 10 万枚。当前问题已解决，Blast 将向受影响的用户发送因滑点损失的金额和额外 10% 的奖金来（总计 11 万 USDT）。

ChainCatcher 消息，Galaxy 研究员 Christine Kim 在社交媒体上发文表示，计划于北京时间昨日晚间上线的以太坊 Holesky 测试网因网络配置错误导致出现重大问题而启动失败，开发人员计划在不久后重新启动。

链捕手消息，波卡 DeFi 协议 Acala 发推表示，此前的黑客攻击系 iBTC/aUSD 流动性池的配置错误，导致大量 aUSD 的错误开采。该配置错误已被纠正，收到错误铸造的 aUSD 的钱包地址已被确定，Acala 正在对这些地址进行链上活动追踪。 据初步的链上追踪显示，99% 以上错误铸造的 aUSD 仍在 Acala 平行链上，被兑换为 ACA 或其他 Token。在 Acala 社区集体治理决定如何解决错误铸币之前，留在 Acala 平行链上的这些错误铸造的 aUSD 及其兑换 Token 将被禁止转移。（来源链接）