數據洩露

ChainCatcher 消息，鏈上偵探 Specter 在 X 平台發文表示，考慮到被盜數據所涵蓋的時間段，這可能意味著數據洩露早在 4 月已經發生，最晚不遲於 5 月初，但相關方直到近期、與 Trezor 宣布自身數據洩露大致同時才選擇保持沉默。部分用戶當時已收到釣魚攻擊並遭受資產損失，但相關方沒有保持透明、提醒用戶或進行風險提示，而是否認了數據洩露。

ChainCatcher 消息，据 Crypto Briefing 報導，以色列最大合規加密經紀商 Bits of Gold 遭遇數據洩露，約 20 萬名客戶個人信息被黑客竊取，平台全部用戶面臨風險。該公司曾於 2022 年 9 月獲得以色列首張虛擬資產服務提供商（VASP）牌照，2026 年 4 月獲批發行與謝克爾 1:1 錨定的 BILS 穩定幣，被盜數據類型尚未公布，但加密經紀商通常依據 KYC 法規收集身份證件、地址證明及財務信息等敏感資料。冷錢包雖可保護數字資產，卻無法保護伺服器上的客戶身份文件。歷史案例顯示，類似數據洩露常被用於釣魚、SIM 卡調換及定向社交工程攻擊，安全風險已超出平台本身。

ChainCatcher 消息，法國財政部長確認，黑客於 6 月底入侵法國公共財政總局系統，並竊取了個人和企業納稅人數據。據追蹤法國網絡攻擊的平台 FrenchBreaches 稱，此次事件影響約 678,437 人，相當於法國人口約 1%，但具體人數仍在調查中，尚未最終確認。被洩露數據據稱包括姓名、出生日期、家庭住址、電話號碼、電子郵件、稅務識別信息和收入數據等敏感信息。其中，近 27,000 人稅收收入至少為 10 萬歐元，386 人超過 100 萬歐元，另有 8 人超過 1000 萬歐元。報導稱，該數據庫已在暗網市場以數千歐元價格出售。攻擊者自稱 ZeroBytes，聲稱其通過內部搜索工具提取相關記錄，隨後才被發現並切斷訪問。這一事件引發加密行業擔憂，因為法國近年針對加密持有者的 "wrench attack" 暴力搶劫事件明顯增加。若高收入人群、地址和聯繫方式被洩露，可能為犯罪分子提供更精確的目標名單。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Trezor 稱其客戶數據因物流服務商 ShipMonk 發生安全漏洞而暴露。在過去 90 天內在美國、英國、瑞典、哥倫比亞、巴西、義大利或葡萄牙收到訂單的客戶可能受到影響。暴露的數據包括全名、收貨地址、電話號碼、電子郵件地址和訂單號。Trezor 表示其系統未遭入侵，設備仍然安全，但提醒受影響客戶防範利用洩露信息實施的精心設計的釣魚攻擊。

ChainCatcher 消息，據福布斯報導，美國聯邦通信委員會（FCC）於 2026年 7月 27 日正式宣布，禁止進口外國製造的 AI 人形機器人，理由是國家安全威脅。FCC 將這類設備定性為"特洛伊木馬"------其搭載的高精度傳感器可持續採集用戶家庭及企業的敏感數據，並將其傳輸至境外實體，存在被用於大規模監控或情報活動的風險，且相關設備還可能遭遠程操控。禁令雖針對所有外國製造商，但實際上對中國影響最為顯著，因中國目前在全球 AI 人形機器人市場佔據較大份額。推動本土製造業發展亦是此次禁令的重要次要目標。

ChainCatcher 消息，密碼管理工具 LastPass 公告，獲悉其第三方市場情報平台 Klue 發生安全事件，黑客竊取了 Klue 持有的多個客戶（包括 LastPass）的 OAuth 令牌，並利用這些令牌訪問了 LastPass 的 Salesforce CRM 系統，導致部分客戶姓名、電話號碼、電子郵件地址、家庭住址以及支持案例等業務聯繫信息和 CRM 數據可能洩露。官方提醒：LastPass 的產品、服務、基礎設施及客戶密碼庫（vaults）未受任何影響，Gong 系統數據也未被訪問。LastPass 已立即採取措施，包括停止員工對 Klue 的訪問、輪換暴露的 API 令牌、開展詳細調查並與 Klue、Salesforce 及執法部門合作，同時通過 TIME 團隊向安全社區分享威脅情報，並加強未來防護。用戶應提高警惕，防範可能利用洩露信息發起的釣魚郵件、電話或社交工程攻擊，並牢記 LastPass 絕不會索要主密碼，所有官方溝通均通過可信渠道發送。

ChainCatcher 消息，据 TechCrunch 報導，Trump Mobile 被曝出現用戶數據泄露事件，涉及客戶郵箱地址與郵寄地址等個人信息，目前相關數據仍可在網絡上訪問。YouTube 創作者 Coffeezilla 與 penguinz0 表示，他們在訂購特朗普金色 T1 手機後，收到安全研究人員提醒，發現其個人信息已出現在泄露數據集中。Coffeezilla 稱，泄露內容幾乎涵蓋全部基礎身份信息，僅未包含信用卡號，並警告用戶不要在該平台下單。兩人表示，泄露數據疑似來源於可公開訪問的系統，且目前尚未收到 Trump Mobile 官方回應或修復說明，相關問題仍未解決。據泄露數據中的訂單編號推測，實際預訂數量約為 3 萬部，遠低於此前市場預期的約 59 萬預售規模。分析認為，該事件進一步引發外界對 Trump Mobile 產品交付與基礎安全能力的質疑。

ChainCatcher 消息，据財聯社報導，OpenAI 針對近期發生的針對熱門開源庫 TanStack 的 "Mini Shai-Hulud" 供應鏈攻擊事件發布聲明表示，在監測到此次針對多款常用npm軟體包的惡意攻擊後，安全團隊已迅速排查了內部系統，目前尚未發現任何用戶數據被洩露或非法訪問的證據。OpenAI 指出，雖然其核心服務未受直接破壞，但為了確保本地環境的安全，所有使用其官方應用程序的 macOS 用戶須在 2026 年 6 月 12 日前完成軟體更新。

ChainCatcher 消息，針對外界有關其數據遭「洩露」的質疑，Polymarket 發文澄清，相關數據從未被洩露，所有數據均可通過其公共端點及鏈上數據公開訪問，這是鏈上數據透明性的固有特性，而非安全漏洞。Polymarket 表示，鏈上數據的核心優勢之一在於其完全公開可審計，任何人均可通過其 API 免費獲取相關數據，無需付費購買。ChainCatcher 此前消息，預測市場平台 Polymarket 疑遭數據洩露，逾 30 萬條記錄及漏洞利用工具包外洩。

ChainCatcher 消息，去中心化預測市場平台 Polymarket 疑遭黑客入侵，威脅行為者 xorcat 在一知名網絡犯罪論壇發布了逾 30 萬條數據記錄及配套漏洞利用工具包。據稱，攻擊者通過未公開的 API 端點、分頁繞過及 Polymarket Gamma 與 CLOB API 的 CORS 錯誤配置提取數據。泄露內容包括：1 萬個用戶完整個人信息（含姓名、代理錢包及基礎地址）、4111 條評論、1000 條舉報記錄（含 58 個 ETH 地址及管理員認證地址標識）、48536 個 Gamma 市場元數據、逾 25 萬個活躍 CLOB 市場的固定乘積做市商地址，以及 9000 個關注者社交圖譜數據。工具包中包含多個漏洞的概念驗證代碼，涉及 CVE-2025-62718（Axios NO_PROXY 繞過，CVSS 9.9，可觸發服務端請求偽造）、CVE-2024-51479（Next.js 中間件認證繞過，CVSS 7.5）及 CORS 錯誤配置等。此外，工具包還附有自動化持續拉取腳本及完整紅隊報告。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 轉推稱，雲托管平台 Vercel 內部系統遭未經授權訪問一事，疑似與內部數據洩露有關。相關推文表示，有人在 BreachForums 上自稱為 ShinyHunters，以 200 萬美元出售所謂 Vercel 內部數據庫、訪問密鑰、源代碼、員工帳號、API keys、NPM tokens 及 GitHub tokens 等。相關數據疑似涉及 Vercel 內部 Linear 系統及內部用戶管理系統。此前消息，雲托管平台 Vercel 披露內部系統遭未授權訪問，少量客戶受影響。

ChainCatcher 消息，OpenAI 發文表示，近期在一次行業範圍安全事件中，發現其使用的第三方開發庫 Axios 存在潛在安全問題。經排查，未發現用戶數據被訪問、系統遭入侵或軟體被篡改的證據。出於謹慎考量，OpenAI 已啟動安全加固措施，重點加強 macOS 應用的認證機制，以防範惡意方偽造官方應用進行分發。OpenAI 同時提醒所有 macOS 用戶儘快更新至最新版本應用，通過應用內更新或官方渠道下載，以降低潛在風險。

ChainCatcher 消息，据 Fortune 報導，為 OpenAI、Anthropic 和 Meta 等 AI 公司提供訓練數據的初創公司 Mercor 確認遭遇重大安全漏洞。此次事件源於針對開源庫 LiteLLM 的供應鏈攻擊，該庫被開發者廣泛用於連接 AI 服務，日均下載量達數百萬次。攻擊由黑客組織 TeamPCP 發起，通過在 LiteLLM 中植入惡意代碼竊取憑證。另一黑客組織 Lapsus$ 隨後聲稱已獲取 Mercor 多達 4TB 的數據，包括源代碼、數據庫記錄、內部 Slack 通訊及平台對話視頻等。據未經證實的報告，Mercor 部分客戶的數據集及其保密 AI 項目信息可能已被洩露。Mercor 表示已迅速採取措施遏制事態，並已啟動第三方取證調查。

ChainCatcher 消息，据 TechCrunch 报道，Meta 內部近日發生一起 AI Agent 失控事件。一名員工在內部論壇發帖尋求技術幫助，另一名工程師隨即調用 AI Agent 協助分析，然而該 Agent 未經授權便自行發布了回覆，並給出錯誤建議。該員工依據 AI 建議執行操作後，導致大量公司及用戶相關數據在長達兩小時內被未授權工程師訪問。Meta 將此次事件定級為"Sev 1"，屬於公司內部安全事件第二高級別。值得注意的是，這並非 Meta 首次遭遇 AI Agent 失控問題。Meta 超級智能安全與對齊總監 Summer Yue 此前曾公開表示，其 OpenClaw Agent 在未經確認的情況下擅自刪除了她的全部收件箱內容。

ChainCatcher 消息，比特幣支付服務商 Bitrefill 在 X 平台發文披露於 2026 年 3 月 1 日遭受網路攻擊導致客戶數據洩露，攻擊源自一名員工被入侵的筆記本電腦，並導致部分資料庫和加密貨幣錢包被攻擊者訪問。調查顯示，此次攻擊手法與朝鮮 DPRK Lazarus/Bluenoroff 黑客組織過去針對加密企業的攻擊高度相似，約 18,500 條購買記錄涉及有限客戶信息（郵箱、加密支付地址及 IP 元數據），其中約 1,000 條記錄的客戶姓名信息被加密存儲，但可能被訪問。Bitrefill 表示，客戶無需採取特別操作，但建議警惕異常信息。Bitrefill 補充表示，目前已關閉相關系統進行隔離，並與安全專家、鏈上分析師及執法部門合作，現幾乎已恢復正常運營。公司強調，業務長期盈利且資金充足，可吸收此次損失，並將持續強化網路安全措施，包括內部訪問控制、監控與應急響應機制。

ChainCatcher 消息，以色列數據安全初創公司 Jazz 宣布完成總計 6100 萬美元融資，用於打造面向企業的數據洩露防護 AI 平台。本次 Seed 輪和 A 輪由 Glilot Capital Partners 和 Team8 領投，Ten Eleven Ventures、Merlin Ventures、Encoded Ventures 和 MassMutual Ventures 參投。Jazz 表示，其 AI agent 可學習企業業務流程與數據上下文，自動識別潛在數據洩露風險場景，包括員工不當使用 AI 聊天機器人等。目前 Jazz 已推廣約 7 個月，擁有 15 家付費企業客戶，具體估值未披露。

ChainCatcher 消息，X 上簡介為 "黑客" 的 Jamieson O'Reilly 發文表示，其在過去幾小時內嘗試聯繫 Moltbook，該平台將其完整數據庫公開暴露且未採取任何保護措施。泄露的信息包括秘密 API 密鑰，允許任何人代表任何代理發布內容。Jamieson O'Reilly 指出，受影響的對象包括在 X 平台擁有 190 萬粉絲的 AI 領域知名人士 Karpathy，以及該平台上目前可見的所有代理。目前任何人都可能利用該漏洞以他人名義發布虛假 AI 安全言論、加密貨幣詐騙推廣或煽動性政治聲明。Jamieson O'Reilly 呼籲相關人員協助聯繫創始人以解決該暴露問題。

ChainCatcher 消息，ZachXBT 發文稱，Ledger 曾多次遭入侵導致客戶隱私數據洩露，並引發針對性盜竊、損失 "數百萬美元"；同時指現有產品存在問題（如 Ledger Nano X 電池故障），質疑 Ledger 在宣布對 clear signing 收取比例費用後仍計劃赴美 IPO 以 "最大化攫取"。

ChainCatcher 消息，据 Decrypt 報導，法國 Verneuil-sur-Seine 一名加密投資高管與其家人於上週五晚遭三名持槍歹徒入室襲擊，全家被毆打並以束線帶捆綁。此事件發生前一日，另一名投資者亦在 Cholet 附近家中被綁架毆打並遺棄 50 公里外。近期法國頻發" $5 板手攻擊"事件，犯罪團夥通過暴力手段強迫受害人交出加密資產，引發對數據洩露與安全隱患的廣泛擔憂。

ChainCatcher 消息，据 Cryptopolitan 引援法國媒體報導，一名前法國稅務人員可能利用職務之便洩露了加密貨幣持有者的數據，增加了針對此類人群的物理攻擊風險。該名前稅務人員 Ghalia C. 因協助有組織犯罪等罪名已被判刑，目前正在上訴。調查顯示，她曾利用訪問機密稅務數據庫的權限，搜集包括加密貨幣投資者在內的潛在目標信息，並可能洩露了其位置及資本收益數據。儘管尚無證據表明她策劃了針對加密貨幣持有者的實際攻擊，但此案揭示了稅務系統可能成為數據洩露源的風險。隨著歐洲稅務機構對加密貨幣資產的監控日益嚴格，此類信息洩露可能使持有者面臨更高的安全威脅。