慢霧

ChainCatcher 消息，慢霧發布安全警報稱，Aave V3 Loop Safe Module 出現安全漏洞，攻擊者透過偽造 Safe 身份驗證並利用任意 Module 執行，從兩個 Safe 多簽錢包中竊取約 114.09 ETH。攻擊者透過偽造始終返回真值的 Safe 繞過認證，並利用可任意控制的 router 和 calldata 執行模塊交易，轉移 weETH 及 Aave 抵押品。攻擊者償還約 1300 枚 WETH 債務後解鎖抵押品。

ChainCatcher 消息，慢霧旗下鏈上追蹤平台 MistTrack 監測指出，加密交易平台 Bitget 安全事件的攻擊者此前嘗試將盜取資金轉入跨鏈 DEX 協議 Chainflip 進行轉移，但遭到相關經紀商直接拒絕充值。鏈上處理結果顯示，該筆資金未被協議方凍結，而是直接原路退回，攻擊者未能成功利用該渠道完成轉移。MistTrack 表示，將繼續對該批被盜資金的後續鏈上動向保持追蹤。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，iOS 27 版本之前的系統正被部分黑灰產團夥利用漏洞盜竊 iPhone 使用者加密錢包。其提醒使用者及時將 iPhone、iPad、Mac 等設備更新至最新版本，謹慎安裝來源不明的 App，並謹慎通過 Safari 及 App 內置瀏覽器打開不明連結。

ChainCatcher 消息，慢霧余弦在 X 平台發文表示，Bitget 被盜事件傳播廣、涉案金額巨大，且相關資金很快被關聯至朝鮮黑客。Circle、Tether 等機構已及時協助凍結相關資金，其中 Circle 凍結了黑客持有的 USDC。針對 THORChain，余弦指出，THORChain 此前自身遭遇被盜事件時，也曾迅速干預其所謂的"去中心化"平台；但此次面對行業重大安全事件，卻以"去中心化、無權干涉"為由回應，並將自身與比特幣、以太坊相提並論，同時繼續從黑客的大額跨鏈交易中獲得手續費。其表示，去中心化不應只是一句口號，在重大安全事件發生後，關鍵是分清哪些問題需要行業共同解決。他同時認為，不應輕易將 THORChain 等平台與比特幣及以太坊相提並論，不同系統的去中心化程度和機制存在明顯差異。

ChainCatcher 消息，据 Cointelegraph 報導，區塊鏈安全公司 SlowMist 表示，其調查尚未將近期引發安全警告的 iPhone Safari 攻擊與已確認的加密貨幣被盜事件關聯起來。SlowMist 向 Cointelegraph 表示，尚未獨立確認有受害者因其所分析的特定 Safari 攻擊樣本而受損，其掌握的最強技術證據覆蓋 iOS 18.4 至 18.6.2 版本。該公司稱，外界流傳的"iOS 13 至 26.5"受影響範圍應被視為初步判斷，在獲得可複現的技術證據前，傾向於避免聲稱 iOS 26.5 受到影響。SlowMist 指出，該 Safari 攻擊複用了此前披露的 DarkSword 漏洞利用鏈技術，與另一項涉及 App Store 應用內嵌惡意組件的 FomoPeek 調查相互獨立。Google 威脅情報團隊（GTIG）曾於 3 月披露 DarkSword，稱其為自 2025 年 11 月以來被多個威脅行為者使用的 iOS 漏洞利用鏈。

ChainCatcher 消息，Bitget CEO Gracy Chen 發文表示，Bitget 正在與獨立第三方專家 Mandiant 及慢霧合作，對此次平台安全事件展開全面調查。平台將繼續通過官方渠道發布最新進展。並強調保障用戶是 Bitget 當前的首要任務，用戶餘額保持完整，Bitget 用戶保護基金將覆蓋此次平台層面事件造成的影響。Bitget Wallet 屬於自托管錢包，使用與 Bitget Exchange 完全分離且獨立的基礎設施，因此未受此次事件影響。目前，Bitget Exchange 的充值、交易及獎勵等功能仍正常運行。提幣功能在額外安全核查期間繼續暫停，待平台確認能夠安全恢復後，將儘快重新開放。

ChainCatcher 消息，慢霧 MistTrack 更新 Bitget 黑客錢包地址，新增標記 7 個 Ripple 網路地址，餘額合計約 102,926,478 枚 XRP，約合 1.57 億美元。此外還包括 11 個 EVM 地址及 1 個 TRON 地址。其中，EVM 地址合計持有約 67,980.25 枚 ETH、5896.58 枚 BNB、495.625 枚 WETH、218,022.9 枚 USDT 及 99,989.9 枚 USDC；TRON 地址持有約 20,593,376.5 枚 TRX。

ChainCatcher 消息，据慢雾安全预警，MemTensor 旗下 AI 記憶工具鏈遭到入侵。面向 LLM 與 AI Agent 的開源長期記憶庫 MemoryOS (PyPI) 以及連接 OpenClaw 運行時的官方插件 memtensor/memos-cloud-openclaw-plugin (npm) 被植入跨平台 Go 二進制，該惡意程序會在包被加載或導入時觸發執行。受影響版本包括：PyPI 上的 MemoryOS==2.34，以及 npm 插件 0.1.21、0.1.23、0.1.25。其中，受影響的 npm 插件還可能造成用戶 prompt 內容洩露。慢雾建議採取以下處置措施：卸載或降級至已知安全版本 (npm 0.1.20、PyPI 2.33)；終止 sckit 進程；封禁相關基礎設施；檢查網絡活動；並輪換受影響環境中的憑據。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，相關應用為 FomoPeek，慢霧從未稱其為 FOMO App。海外相關安全 KOL 及媒體對此出現誤傳。

ChainCatcher 消息，慢霧創始人余弦披露，繼此前 FomoPeek App 投毒盜幣事件後，一款名為 ComeCome 的外賣類 App（comecome.icu）被發現採用類似手法實施攻擊。FomoPeek v1.1-1.2 版本內置惡意 SDK，集成 8 種 iOS 內核漏洞利用方案，可根據設備型號及系統版本自動選擇攻擊方式，已知受影響 iOS 版本覆蓋 iOS 12--18.7 及 26--26.1。攻擊成功後可突破 iOS 沙箱機制，進而竊取加密錢包資產。余弦提示，此類威脅同樣不排除波及 iPad 及 Mac 設備，建議用戶立即更新至最新 iOS 版本，並對來源不明的 App 保持高度警惕。

ChainCatcher 消息，慢霧首席信息安全官 23pds 在 X 平台發文稱，黑灰產已實現對 iOS 使用者的攻擊鏈條：點擊連結提取私鑰、助記詞；使用者使用 Safari 訪問網頁時，通過 WebKit/JSC 內存損壞獲得 JS 層讀寫能力；繞過 PAC 獲得原生調用能力；逃出 WebContent 沙箱；內核提權獲取 root 權限，拖走 Keychain 和錢包數據。受影響版本為 iOS 13 至 26.5，建議 iOS 使用者抓緊升級。

ChainCatcher 消息，慢霧發布安全預警稱，近期收到多起 FomoPeek 使用者資產被盜報告，經與 OKX 安全團隊聯合調查發現，部分受影響使用者此前安裝或使用過 FomoPeek 1.1--1.2 版本，相關應用包含惡意代碼。慢霧稱，FomoPeek 中存在與正常業務無關的模組，其中一個包含針對 iOS 系統的內核漏洞利用框架，支持 8 種不同攻擊方式，可根據設備型號和 iOS 版本自動選擇利用方式。受影響系統包括 iOS 12 至 18.7 以及 iOS 26 至 26.1。若利用成功，應用可能突破 iOS 沙箱並訪問、解密 Keychain 數據，從而導致私鑰、助記詞、登錄憑證及其他敏感文件泄露。此外，FomoPeek 還會連接與其公開服務無關的隱藏伺服器，並可接收遠程指令。慢霧表示，其分析捕獲的明文流量顯示，相關攻擊功能目前處於啟用狀態，並會定期自動運行。慢霧建議曾安裝或使用 FomoPeek 1.1--1.2 版本的使用者立即檢查資產是否存在異常，在從未安裝過該應用的可信設備上生成全新私鑰和助記詞，並儘快將資產轉移至新帳戶，同時升級至最新 iOS 版本，不要繼續使用或重新安裝 FomoPeek。

ChainCatcher 消息，据慢霧披露，Core Lightning（CLN）一個實驗性功能存在漏洞，可能使用戶資金面臨風險。Core Lightning 官方表示正在調查該漏洞，建議所有啟用實驗性功能的節點立即禁用並等待補丁。高風險選項包括 --experimental-dual-fund、--experimental-splicing 和 --experimental-peer-storage。慢霧稱，類似問題曾在 8 月修復，遠程對等方可在通道開啟或資金調整協議中指定任意甚至零費率，本地節點會在無額外驗證的情況下簽名並寫入資料庫，可能迫使節點支付異常費用，甚至觸發崩潰循環，導致節點長期離線。建議節點運營商立即禁用或移除所有實驗性參數；不要完全關閉節點，應使用離線模式保留鏈上監控能力，防止對等方在節點離線時強制關閉通道；待官方補丁發布後驗證簽名再升級，並警惕冒充官方帳號分享的虛假補丁鏈接。

ChainCatcher 消息，据慢雾監測，一個自至少 2025 年 5 月起活躍的巴西銀行惡意軟體行動 REF9334 近日被披露。其 KREMLIN 惡意軟體生態使用多階段加載器和惡意瀏覽器擴展竊取憑證、會話令牌和敏感數據。惡意擴展可通過繞過 Chromium 完整性機制，包括 Secure Preferences、HMAC 和 App-Bound 加密哈希，在未經用戶批准的情況下安裝到 Chrome 和 Edge 中。該行動還使用以太坊智能合約作為"死信解析器"，動態更新 C2 端點和載荷托管位置。在註冊網絡 Canary 域名後，分析人員觀察到 1515 台受感染主機簽到，其中 98.75% 位於巴西。慢雾建議安全團隊監控相關惡意軟體、瀏覽器擴展活動及與該行動相關的基礎設施。

ChainCatcher 消息，据慢霧預警，已檢測到兩名攻擊者在 BSC 鏈上複製近期 Notional Finance 漏洞攻擊手法。攻擊者已完成前期準備，利用相同漏洞模式創建了惡意 fCash 倉位。目前攻擊尚未完全執行，惡意倉位正等待到期。一旦到期，攻擊者可能結算倉位並從協議中提取資產。慢霧強烈建議受影響項目立即採取緩解措施，在倉位到期前完成防護。

ChainCatcher 消息，据慢霧安全團隊披露，其監測到一項偽裝成免費 VPS 服務的攻擊活動，專門針對運行 iOS 18.4 至 18.6.2 版本的 iPhone Safari 瀏覽器發起攻擊。攻擊者利用代號為 DarkSword 的六個漏洞形成完整攻擊鏈，涵蓋 WebKit 遠程代碼執行、沙箱逃逸及內核讀寫等環節，可在用戶無感知的情況下獲取 App 容器文件、鑰匙串數據，並在 imToken、TokenPocket 或 TronLink 等錢包處於前台時記錄鍵盤輸入。慢霧團隊表示，上述 6 個漏洞目前均已被 Apple 修復，當前攻擊屬於 n-day 漏洞鏈的複用。僅訪問惡意頁面並不能直接證明助記詞或私鑰已被竊取，仍需通過設備取證進行確認。建議 iOS/iPadOS 用戶儘快將系統升級至 18.7.3 或 26.3 及以上版本。

ChainCatcher 消息，据慢霧餘弦監測，某黑客地址涉及一起群體被盜事件，超過 100 個地址、數十名真實用戶受影響，原因是私鑰洩露，黑客獲利約 20 萬美元。該團夥為老團夥，被盜用戶可以嘗試找出共性。

ChainCatcher 消息，据慢雾監測，Float Protocol 遭閃電貸攻擊，損失約 2.8 萬美元（10.71 枚 ETH）。攻擊者通過閃電貸操縱 Uniswap V3 現貨價格（slot0），導致 Hypervisor 合約中 LP 份額定價錯誤，相關關鍵函數缺乏 TWAP/ 預言機校驗及滑點保護機制。攻擊者通過在 V3 資金池中進行大額交易扭曲 currentTick（）與 getTotalAmounts（）數值，隨後反復存入和提取被拉高的份額價值以套利。

ChainCatcher 消息，慢霧安全團隊近日披露，發現一個冒充 "Qwen 3.8 27B 本地量化模型" 的惡意 GitHub 倉庫。該倉庫標稱模型文件應超過 16GB，而實際下載內容僅約 487KB，內含偽裝文件、LuaJIT 解釋器及經過混淆的 Lua 腳本。慢霧強調，Qwen 官方項目未被入侵。慢霧分析指出，該惡意程序運行後會收集主機信息、截取螢幕並發送至攻擊者的 C2 伺服器；當硬編碼伺服器失效時，還會從 Polygon 鏈上合約讀取備用 C2 地址，攻擊者可通過鏈上交易輪換基礎設施。後續載荷可竊取瀏覽器登錄信息、Cookie、歷史記錄、郵箱、WinSCP、Steam 憑證，以及加密錢包相關文件和擴展數據。慢霧還發現，至少 23 個 GitHub 倉庫和 29 個類似壓縮包使用了相同的 Lua 投遞鏈。

ChainCatcher 消息，慢霧安全團隊披露，跨鏈橋項目 Allbridge 於 2026 年 8 月 19 日遭遇攻擊，損失約 19 萬美元。值得注意的是，此次攻擊並非即時完成，攻擊者早在近一個月前便開始佈局，並透過偽造跨鏈消息繞過驗證機制。根據慢霧分析，攻擊者於 7 月 26 日在 Polygon 鏈上直接調用 Circle 的 MessageTransmitterV2.sendMessage 函數，構造了一條偽裝成 CCTP 風格的跨鏈消息，聲稱存在 100 萬枚 USDC 轉帳，但實際上並未發生任何 USDC 銷毀操作。隨後，Circle 按照正常流程為該完整消息生成了有效驗證證明（attestation）。約 24 天後，8 月 19 日，攻擊者等待 Base Router 收到一筆真實 CCTP 存款、餘額增加至約 19.1 萬 USDC 後，僅 6 秒後發起攻擊。攻擊者利用此前偽造的消息和驗證證明調用 Allbridge 的 receiveCctpMessage 函數，由於項目缺少關鍵校驗，系統將虛假跨鏈消息誤認為真實存款，並記錄了 100 萬 USDC 額度。隨後，攻擊者透過 Aave 閃電貸臨時借入約 80.9 萬 USDC，使 Router 餘額與偽造金額匹配，並利用內部信用記錄調用轉帳函數，最終轉出約 99.9 萬 USDC（扣除 0.1% 手續費）。歸還閃電貸及費用後，攻擊者淨獲利約 18.98 萬美元。此次漏洞根源在於 Allbridge 未驗證跨鏈消息發送方和接收方身份，也未確認 USDC 是否真實鑄造及餘額是否實際增加，而是直接信任攻擊者構造的金額和消息哈希數據。慢霧強調，鏈上消息驗證並不等同於真實資產到帳。跨鏈協議不僅需要驗證消息真實性，還必須確保消息來源可信、接收方為 Circle 官方 TokenMessengerV2，並在確認資產實際鑄造和餘額變化後才能進行資產記帳。此次事件再次凸顯跨鏈橋在消息驗證和資產結算環節中的安全風險。