漏洞

ChainCatcher 消息，慢霧安全首席信息安全官 23pds 發文稱，NEAR Intents 總經理 Alex Shevchenko 表示，NEAR Intents 漏洞利用者向恢復錢包轉入 1 BNB，並留言稱願意合作，請對方提供 Signal 聯繫方式。該筆轉帳來自此前轉移約 380 萬美元資金的同一地址。約一小時前，該地址還在以太坊網絡轉入 0.295 ETH，並發送相同留言。

ChainCatcher 消息，慢霧發布安全警報稱，Aave V3 Loop Safe Module 出現安全漏洞，攻擊者透過偽造 Safe 身份驗證並利用任意 Module 執行，從兩個 Safe 多簽錢包中竊取約 114.09 ETH。攻擊者透過偽造始終返回真值的 Safe 繞過認證，並利用可任意控制的 router 和 calldata 執行模塊交易，轉移 weETH 及 Aave 抵押品。攻擊者償還約 1300 枚 WETH 債務後解鎖抵押品。

ChainCatcher 消息，NEAR Protocol 在 X 平台發文表示，NEAR 財庫公司 SVRN 首席執行官 Sal Ternullo 已在 NEAR 治理論壇推出一項新提案，擬將 NEAR 年度代幣最大发行率從 2.5%削減至 1.6%，持續 24 個月，並將質押收益率從目前的約 5.4%降至約 3.5%。該提案目前正在向驗證者、House of Stake 委託者及 NEAR 社區成員徵求意見，預計下週公布完整方案供投票表決。針對此前發生的 NEAR Intents 安全事件，NEAR Protocol 進一步澄清區塊鏈網絡運行正常，相關事件並非由 NEAR Protocol 或原生代幣 NEAR 的漏洞導致，NEAR Protocol 網絡仍在持續出塊並處理交易，並未出現停機情況。

ChainCatcher 消息，据 Law360 報導，涉及 Uranium Finance 的加密資產盜竊案已在美國曼哈頓聯邦法院開審。檢方指控，馬里蘭州網絡安全顧問 Jonathan Spalletta 於 2021 年利用該協議智能合約漏洞發動攻擊，其中第二次攻擊從 26 個資金池轉出約 5,330 萬美元，並導致協議停止運營。相關說法為檢方指控，尚非定罪結論。

ChainCatcher 消息，Zcash 創始人 Zooko 發文表示，Zcash 本輪發放了超過 800 萬美元的追溯性資助，其中數百萬美元授予了今年 AI 漏洞危機期間為保護所有用戶付出的人员。此次資助更重要的意義在於，Zcash 再次證明其自籌資金與自我治理體系具有可持續性、抗俘獲能力，並能夠不斷演進。Zcash 今後每年都將開展多輪類似資助，同時持續改進機制。

ChainCatcher 消息，Zcash 第三季度代幣持有者定向追溯性資助計劃投票結果顯示，針對 Orchard 假幣漏洞發現者 Taylor Hornby 的兩項賞金提案均獲通過。其中一項為其申請的 75 萬美元漏洞賞金，另一項為社區成員提名的 75 萬美元追加獎金，合計 150 萬美元。獲資助者後續仍需完成 KYC 和資金發放流程。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，iOS 27 版本之前的系統正被部分黑灰產團夥利用漏洞盜竊 iPhone 使用者加密錢包。其提醒使用者及時將 iPhone、iPad、Mac 等設備更新至最新版本，謹慎安裝來源不明的 App，並謹慎通過 Safari 及 App 內置瀏覽器打開不明連結。

ChainCatcher 消息，据 Ark Invest Tracker 報導，Ark Invest 表示 AI 黑客攻擊正波及一切。風險遠不止比特幣，因為 AI 使軟體漏洞更容易被發現和利用。比特幣和硬體錢包可能最先受到衝擊，但社交媒體、稅務和銀行網站也可能面臨同樣威脅。信任一個大品牌，仍意味著信任該公司在 AI 日益強大時不會犯錯。ARK 預計大型托管機構也將成為目標，AI 可能以前所未有的速度發現並利用漏洞。

ChainCatcher 消息，Bitget 大中華區負責人謝家印近日在直播中直面社區關切。他回顧道，Bitget 成立 8 年來，始終將用戶資產安全置於最高優先級，成功抵禦了多次網絡攻擊嘗試，保持了長期的安全運營記錄。此次事件是平台 8 年發展歷程中的首次安全危機。經完整溯源，本次事件屬於一起針對第三方安全軟體供應鏈的特殊攻擊，攻擊者利用第三方產品漏洞獲取內網憑證，但私鑰未洩漏、冷錢包資產未受任何影響。目前，Bitget 已聯合安全機構 Mandiant 和 SlowMist 開展獨立審查，並將全面升級對第三方組件的監控與管理標準。我們不僅致力於推動此次事件後的全面恢復，也將透過持續的技術迭代與體系升級，為行業更加安全、穩健和健康的發展貢獻力量。

ChainCatcher 消息，在今日的社區直播中，Bitget CEO Gracy 就近期安全事件及平台財務狀況進行回應。她坦誠表示，這是 Bitget 成立 8 年來遭遇的首次安全事件。經過完整溯源，黑客通過第三方安全產品的漏洞竊取了內網權限憑證，向錢包系統偽造提現命令，欺騙錢包執行了繞過風險校驗的異常轉帳。Gracy 強調，此次事件中私鑰未洩漏、冷錢包未受影響，具體技術細節將在正式發布的安全報告中詳細披露。Gracy 指出，本次事件核實後的損失處於保護基金覆蓋範圍內，用戶資金安全不受影響。平台自有資金超過 14 億美元，其中包括約 4.64 億美元的用戶保護基金。平台將繼續踐行 2022 年設立保護基金時的安全承諾，計劃在一週內將基金規模持續補足至 3 億美元的基準線。"保護基金不是一句口號，而是在極端安全事件發生時，為用戶提供切實保障的重要機制。"Gracy 表示，面對突發安全挑戰，平台的綜合實力以及主動承擔責任的能力，是衡量其風險應對能力與長期可信度的重要標準。Bitget 將持續踐行用戶利益優先的長期承諾。

ChainCatcher 消息，隱私區塊鏈 Zano 發布網路更新公告稱，核心團隊發現 Gateway Address 存在嚴重漏洞，導致未經授權的 ZANO 和 fUSD 進入流通。調查顯示，錢包的支付密鑰或普通交易的隱私未受侵害，Zano 的核心共識機制也未受影響。團隊已制定解決方案，通過協調網路升級清除所有未授權活動。為確保網路完整性，Zano 區塊鏈已從區塊高度 3,833,000（即第 6 次硬分叉之前）重啟，影響約一個月的鏈上歷史記錄。節點、礦工、質押者和相關服務需儘快採用緊急更新。團隊表示將與受影響項目合作處理損失，並公布賠償與索賠流程，力求讓社區得到補償。後續將公開技術原因及相關代碼審查結果。

ChainCatcher 消息，Bitget 表示，針對 9 月 24 日發現的安全事件，相關漏洞已確認並修復，平台將在完成進一步安全檢查後分階段恢復提現。谷歌旗下網絡安全公司 Mandiant 與慢霧科技正協助調查。恢復安排如下（UTC）：9 月 28 日 8:00：比特幣網絡 BTC9 月 29 日 8:00：以太坊、BNB 智能鏈、Arbitrum、Base、Optimism 網絡 ETH9 月 30 日 8:00：以太坊、BNB 智能鏈、Solana、波場網絡 USDT10 月 2 日 8:00：其他代幣、法幣及點對點交易Bitget 稱，暫停提現屬於臨時安全措施，與用戶資產可用性無關；賬戶餘額未受影響，保護基金將承擔此次平台級事件造成的財務影響。目前事件已得到控制，不會再發生未經授權的轉帳，交易和充值服務仍正常運行。用戶無需提前操作，具體開放情況以平台及官方渠道通知為準。

ChainCatcher 消息，Revoke.cash 表示，Limit Break 的支付處理器存在已知漏洞，曾在 Magic Eden 以太坊市場交易 NFT 的用戶可能仍保留相關合約授權。該漏洞已由白帽安全研究員 0xQuit 處理，目前 NFT 資產預計未受影響，但用戶仍應檢查並撤銷受影響的授權，以降低後續風險。

ChainCatcher 消息，隱私區塊鏈網絡 Zano 披露，涉及 Gateway Addresses 的通脹漏洞迫使其擬回滾區塊鏈約 24 小時歷史，並要求用戶立即停止與 ZANO 及 Confidential Assets 相關的經濟活動。Zano 承諾賠償回滾造成的損失，但尚未公布回滾目標區塊高度、修復版本、賠償流程、漏洞機制及未經授權創建資產的數量。Gateway Addresses 於 8 月 26 日隨 Hard Fork 6 上線。

ChainCatcher 消息，Google 產品安全團隊披露內部 AI 代理 PageBreak，用於測試其第一方 Web 應用的安全性。該代理基於 Google 的 Gemini 模型構建，於 2025 年 11 月啟動試點，2026 年 1 月轉為正式項目，目標是自主擴大漏洞發現規模並減少人工投入。與常見的 AI 掃描工具不同，PageBreak 在發現可疑缺陷後，會將假設交給專門的驗證器，在實時運行的應用副本中嘗試實際利用，只有確認可利用後才上報，誤報率接近零。Google 稱，PageBreak 已在其第一方 Web 應用中找出超過 500 個 XSS 漏洞，此類漏洞可被用於劫持登錄會話、竊取數據或冒充用戶。Google 表示，安全團隊近年來被大量由 AI 生成、看似合理卻並不成立的漏洞報告淹沒，分辨真實缺陷與幻覺已成為主要難題。在針對採用新一代高保障框架構建的應用進行測試時，PageBreak 僅發現兩個漏洞。下一步 Google 計劃將 PageBreak 與自動修復代理 CodeMender 對接，使已確認的漏洞附帶修復方案。

ChainCatcher 消息，Meta 旗下 AI 產品 Muse 被曝存在安全漏洞，可能危及用戶數據與虛擬環境安全，公司計劃加強風險提示。

ChainCatcher 消息，Magic Eden 發文表示，此次漏洞發生在 Limit Break 公司維護的 NFT 交易協議 Payment Processor V2。Magic Eden 於 2024 年採用該協議處理 EVM 網路交易結算，但已在 2024 年 10 月停止使用 V2，並於 2026 年第一季度完全關閉 EVM 市場，因此當前仍在 Magic Eden 掛單的 NFT 未受此次漏洞影響。約在 2024 年 2 月至 10 月期間通過其 EVM 市場掛單的 NFT 可能受到影響，2024 年 10 月之後的掛單原則上不受影響。平台正聯繫協議所有者及維護方 Limit Break，研究其他風險緩解措施，包括暫停協議轉帳，並將繼續調查實際影響範圍。Magic Eden 提醒，曾在其 EVM 市場掛單或交易 NFT 的用戶，應在以太坊、Polygon 及 Base 網路撤銷相關合約授權，用戶可通過 revoke.cash 篩選該地址，並撤銷所有標記為"approved for all"的 NFT 授權。Magic Eden 強調，撤銷授權無法取回已經被轉移的資產。Yuga Labs 區塊鏈副總裁 Quit 今日發文表示，今日美東時間 9 時，攻擊者利用 Payment Processor V2 漏洞，盜取大量 NFT，其聯繫 LimitBreak 團隊後，後者迅速暫停同樣受影響的 Payment Processor V3。但 V2 無法暫停，ApeChain 上的 V3 也暫時處於無法暫停狀態，因此團隊實施白帽行動，共轉移並保護 23,155 枚 NFT，價值超過 570 萬美元。

ChainCatcher 消息，NFT 市場 Magic Eden 疑似出現 NFT 安全漏洞，白帽黑客從數百個錢包轉移 3832 枚 NFT。Yuga Labs 區塊鏈副總裁 Quit 表示，此次轉移屬於白帽行動，相關 NFT 目前均存放在「0x71cF」開頭地址中，資產處於安全狀態。待風險解除，將全部歸還。

ChainCatcher 消息，白帽行動者將與 Coldcard 漏洞相關的 40.71 枚比特幣轉入一筆交易，價值約 331 萬美元。該交易歸集 11 個地址的資金，並附帶指向 Crypto Recovery Trust 的 OP_RETURN 信息。Galaxy Research 負責人 Alex Thorn 披露，更大範圍歸集共轉入 52.37 枚比特幣，涉及多個攻擊者地址集群，占該漏洞涉案資金約 2.8%。Coldcard 設備 2021 年 3 月的固件缺陷導致助記詞隨機性不足，涉案資金峰值約 1.3 億美元。