私钥

ChainCatcher 消息，据 CoinDesk 报道，美国国税局（IRS）发布警告称，一场针对美国加密货币持有者的高级邮件钓鱼活动正在扩散，攻击者通过伪造官方税务信件，诱导用户扫描恶意二维码，以窃取加密钱包凭证和私钥。 据悉，攻击者冒充 IRS 发送纸质信件，利用“税务合规”“账户验证”等名义制造紧迫感，并在信件中附带二维码。一旦用户扫描，可能被引导至仿冒网站，进而泄露钱包登录信息、助记词或私钥，导致数字资产被盗。 IRS 提醒纳税人，官方机构不会通过非官方渠道要求用户提供加密钱包私钥、助记词或进行类似“钱包验证”操作。加密货币持有者应警惕任何要求扫描二维码、连接钱包或提交敏感信息的可疑邮件和信件。 随着加密资产持有者规模扩大，针对数字钱包的社会工程攻击持续增加，监管机构和安全机构正加强对相关诈骗活动的防范提醒。

ChainCatcher 消息，Cosmos 生态钱包 Cosmostation 宣布将正式停止钱包服务。自 2026 年 9 月 1 日起，iOS、Android 及 Chrome 插件版本将仅保留“导出助记词”与“导出私钥”两项功能，其余功能将陆续下线。 由于该钱包为非托管钱包，用户资产仍存储于各自区块链上，持有助记词或私钥即可将钱包导入其他兼容钱包继续使用。官方强烈建议用户在 9 月 1 日前完成私钥或助记词的安全备份。

ChainCatcher 消息，据 Lookonchain 披露，鲸鱼地址 “TLBL” 再次发生重大资产安全事件，累计损失已超过 5,000 万美元。其中，该地址曾于两年前因钓鱼攻击损失约 2,400 万美元；而在最新事件中，其疑似因私钥泄露导致 3 个钱包内超过 2,600 万美元资产被全部转出。此次事件再度引发市场对高净值链上地址安全管理风险的关注。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，Bitcoin 开发者推出了一款新的可视化工具，用于解释熵的工作原理以及如何为比特币私钥生成随机性。该工具涵盖真随机数生成器（TRNG）、伪随机数生成器（PRNG）、掷骰子和抛硬币。

ChainCatcher 消息，一场涉及约 1.3 亿美元比特币损失的钱包安全事件，正在重新引发加密行业对资产托管模式的讨论：比特币持有者究竟应该依靠个人自托管，还是转向机构托管。硬件钱包厂商 Coldcard 部分固件在 2021 年曾存在随机数生成漏洞，导致设备生成的部分助记词存在可预测风险。该漏洞在多年后被发现，目前已有约 5200 多个地址、约 2000 枚 BTC 被盗，损失规模约 1.3 亿美元。事件发生后，部分投资者开始转向华尔街托管产品。数据显示，美国现货比特币 ETF 在事件后的数日内净流入约 6.26 亿美元。彭博 ETF 分析师 Eric Balchunas 表示，此类安全事件可能进一步推动资金流向 ETF。不过，比特币核心社区仍坚持自托管理念。Casa 联合创始人 Jameson Lopp 表示，近期事件不应削弱用户对自托管的信心，并指出第三方托管同样存在风险。Bitcoin Core 早期开发者 Peter Todd 也认为，自托管长期安全记录优于中心化机构。比特币托管平台 Onramp 联合创始人 Michael Tanguma 则认为，两种方案都存在缺陷。他表示，将大量资产集中于单一机构会形成“蜜罐”，而硬件钱包则面临供应链、固件和随机数生成等风险。Tanguma 提出“多机构托管”方案，即通过多签机制由多家受监管机构分别持有密钥，任何交易都需要多个机构共同签署，以降低单点故障风险。不过，该模式也引发争议。批评者认为，多机构托管虽然提高安全性，但也引入了许可化管理，与比特币最初追求的去中心化理念存在冲突。随着比特币逐渐进入养老金、信托和机构资产配置领域，行业正在寻找适合长期财富管理的新型托管方案。此次 Coldcard 漏洞事件再次凸显，如何在安全性、去中心化和易用性之间取得平衡，仍是比特币生态面临的核心挑战。

ChainCatcher 消息，Reddit 上有开发者使用 Claude Code 对 Coldcard 开源固件进行漏洞扫描，8 分钟内定位到核心问题： 固件生成私钥时调用了软件伪随机数生成器而非硬件真随机数生成器，而正是该漏洞导致 1,196 个钱包共计约 7000 万美元 BTC 被盗。 同时，亦有社区用户反馈，用智谱 GLM 5.2（6 月 16 日训练，未联网）独立扫描同样发现该漏洞。 该 bug 在开源钱包代码中存在已超过五年。

ChainCatcher 消息，据《福布斯》报道，黄金投资应用 Vaulted CEO David McAlvany 表示，他认为比特币可能在未来 4 年内因量子计算而消失。他称，一旦量子计算机能够快速解决保护比特币私钥的数学问题，“那将是比特币的终结”。 不过，McAlvany 随后承认，自己无法确定相关突破究竟会在 4 年、5 年后，还是两个月后出现。截至 2026 年中，尚不存在能够破解比特币加密算法的量子计算机。其观点主要基于对量子计算未来发展速度的担忧，而非已经发生的安全事件。 Galaxy Digital 估计，约 700 万枚 BTC 所在地址已在链上暴露公钥，价值约 4700 亿美元；Glassnode 的估计为 604 万枚，占比特币供应量的 30.2%。公钥暴露并不等同于资产已被盗，只有当量子计算机能够根据公钥反推出私钥后，这些地址才可能面临实际盗取风险。 McAlvany 还将比特币与黄金进行比较，并质疑比特币能否持续存在 5000 年。他表示，自己相对确信黄金届时仍会存在，但比特币“可能存在，也可能不存在”。 比特币开发者目前对解决方案存在分歧。BIP-360 提议增加抗量子地址类型；BIP-361 则计划分阶段停止支持旧式签名，未及时迁移的资产可能被永久冻结，其中包括被认为属于中本聪的比特币。支持者认为，冻结资产优于让量子攻击者盗取并抛售，批评者则将其视为没收。 BOLTS Technologies、American Fortress 等公司也在开发跨链抗量子方案。American Fortress 于 5 月完成 800 万美元种子轮融资，并声称其技术无需用户迁移地址即可保护资产，但相关技术论文尚未公布，设计也未接受公开审计。

ChainCatcher 消息，BNBChain 上去中心化资管协议 Swan Treasury 因私钥泄露导致损失约 62.5 万美元资金。攻击者向其自持有地址伪造有效签名，以 100 倍折扣购买 STY，并通过 PancakeSwap 闪电贷用约 1.97 万枚 USDT 购买约 68.7 万枚 STY。 随后在兄弟合约上伪造 claim() 和 transfer 签名，将 STY 倾销至 STY/USDT 池中，获利约 62.5 万枚 USDT。交易中的每个 ecrecover 均解析为确切的硬编码签名者，证实密钥本身已泄露，而非签名逻辑缺陷。

ChainCatcher 消息，Zilliqa 发文表示，Zilliqa Ledger 应用存在严重随机数生成漏洞，影响原生非 EVM Zilliqa 交易的 Schnorr 签名。攻击者仅利用公开链上数据，即可从存在偏差的临时随机数中恢复签名者私钥。 任何通过 Zilliqa Ledger 应用签署并广播约 5 笔或更多原生交易的账户，都应被视为已泄露。由于相关签名已永久记录在链上，后续更新应用也无法消除风险，受影响私钥必须停用。EVM 交易及 zilliqa-js、gozilliqa-sdk、pyzil 等开发工具不受影响。 漏洞源于应用复制随机数时选取了错误的 32 字节，保留 8 字节零填充并丢失 8 字节熵，导致每个随机数最高 64 位固定为零。攻击者可利用 5 个或更多受影响签名，通过普通硬件在数秒内恢复私钥。Zilliqa 于 7 月 19 日观察到疑似主动利用活动，并于 7 月 21 日确认根因。 Zilliqa 已暂停原生交易以阻止进一步资金损失，并与 Ledger 准备修正版应用。但修正版无法保护已暴露的密钥，受影响用户目前不应自行转移资产，应等待官方公布协调处置方案。

ChainCatcher 消息，Solv Protocol 在 X 平台发文称，7 月 13 日 BNB Smart Chain 上的 BTC+ 合约遭受安全事件。经调查，攻击者入侵了部署者私钥并升级了 BSC 上的 BTC+ 铸币代理合约，铸造了未经授权的 BTC+ 代币。团队在三小时内完成应急响应，隔离了恶意合约，并冻结、销毁或隔离了所有未经授权的 BTC+。所有底层 BTC 资产安全。作为预防措施，BTC+ 的申购和赎回已暂停，预计两周内恢复。BTC+ 从未在任何 DEX 上设立官方流动性池，用户应仅通过 Solv 官方渠道获取和持有 BTC+。团队已升级部署者安全措施，轮换所有受影响的访问凭证和签名密钥，并启动全面外部重新审计，详细事后分析报告将随后发布。

ChainCatcher 消息，程序员 Stefan Thomas 持有包含 7002 枚比特币私钥的 IronKey 加密 USB 驱动器，该批比特币来自其 2011 年制作 “What is Bitcoin?” 教育视频的报酬，近期按每枚约 11.1 万美元估值约 7.77 亿美元。该 IronKey 设备设置为在 10 次密码错误后永久锁定并删除内容，Thomas 已尝试 8 次，仅剩 2 次密码输入机会。制造商 Kingston 表示，除用户设置的原始密码外，不存在备份密码或替代恢复方式。Thomas 曾寻求数字取证公司 Naxo 和安全研究员 Chris Tarnovsky 协助，并曾因已与两支团队达成口头协议而拒绝 Unciphered。截至 2025 年末，该 IronKey 仍存放于瑞士金库，截至 2026 年中未确认恢复成功。

ChainCatcher 消息，链上侦探 ZachXBT 对 Humanity 3100 万美元安全事件发布更新。经过进一步分析资金流转路径，ZachXBT 认为团队大概率不是“监守自盗”或“自导自演”，官方公告披露的私钥泄露属实，却在解锁前拉盘 H 代币反遭黑客抢跑。私钥泄露与此前的异常拉盘应当为独立事件。 ZachXBT 还质疑团队在代币解锁前，通过可疑的做市协议和场外大额交易来人为拉高 H 代币价格，以便在即将到来的投资者/早期贡献者解锁（6 月 25 日左右）前顺利出货或减轻抛压。

ChainCatcher 消息，Humanity Protocol 创始人 Terence Kwok 在 X 平台发文确认发生安全事件，称此事件涉及一位 Humanity 基金会成员的私钥泄露。为安全起见，建议用户在确认安全之前不要与跨链桥或任何流动性池交互。团队正与安全专家及交易所合作伙伴合作解决问题。 此前消息，Humanity Protocol 关联地址已被盗超 3100 万美元。

ChainCatcher 消息，Manta 孵化的 Superfortune 在 X 平台就近日安全事件发布更新称，攻击不是内部人员所为，也没有任何团队成员参与，关于团队秘密出售代币的说法是错误的。团队也未与 Web3Port 有接触。 调查确认：攻击并非地址投毒，而是签名者私钥泄露。攻击者独立持有私钥，在正确交易 43 分钟后提交了伪造地址的交易。伪造地址与正确地址首尾四字符相同（0x70AE 开头、5C15 结尾），用于在 Safe 界面预览中伪装。被盗资金全程可追溯，目前存放在以太坊上的三个冷钱包中，约 2784 枚 ETH，另有约 17 万枚 USDT 被跨链转出。 攻击者还创建了大量仿冒地址，并用 Unicode 伪造的代币符号向这些地址发送虚假转账事件，试图混淆追踪。这种仿冒地址构造技术与攻击本项目时使用的手法相同。攻击者预先搭建了大规模基础设施，表明这是工业化操作，而非机会主义攻击。

ChainCatcher 消息，据链上数据显示，StakeDAO 部署者私钥在 Arbitrum 上遭泄露，攻击者铸造约 5.45 万亿枚 vsdCRV 部分兑换为 43.7 枚 ETH。

ChainCatcher 消息，慢雾创始人余弦在 X 平台发文解读 Squid 安全事件，他表示抽样发现相关 Safe 钱包都是单签，owner 也都不一样，但问题不在私钥，问题在这些 Safe 地址用到的模块（SquidRouterModule）存在漏洞，攻击者可以伪造消息，轻易绕过相关验证，发起后续的兑换操作，将目标 Safe 钱包里的资金转移走。此外，余弦还公布了攻击者获利沉淀地址信息。此前消息，某第三方 Gnosis Safe 模块在 Base 和以太坊上被利用，造成约 320 万美元损失，受害者为将该合约添加为受信任 Safe Module 的 86 个 Gnosis Safe。该合约在 Basescan 上名为 “SquidRouterModule”，随后 Squid 澄清未受 Gnosis Safe 相关漏洞事件影响。

ChainCatcher 消息，据 GoPlus 分析，稳定币协议 StablR 在以太坊上多签合约的安全设置问题（多签阈值为 1），以及持有者私钥被窃取，导致 StablR $EURR、$USDR 稳定币脱锚 20%，攻击者已获利约 280 万美元。

ChainCatcher 消息，预测市场 Polymarket 相关负责人称，本次安全事件起因是一枚使用长达六年的私钥发生泄露，该私钥用于内部充值配置，部分资金因此流向相关地址。 目前团队已完成私钥轮换、收回全部生产环境权限。后续计划将全部私钥迁移至密钥管理服务（KMS），摒弃传统保存模式。平台与 UMA 合约未被攻击，用户资金无恙，平台运营不受影响。