私鑰

ChainCatcher 消息，Cosmos 生態錢包 Cosmostation 宣布將正式停止錢包服務。自 2026 年 9 月 1 日起，iOS、Android 及 Chrome 插件版本將僅保留"導出助記詞"與"導出私鑰"兩項功能，其餘功能將陸續下線。由於該錢包為非托管錢包，用戶資產仍存儲於各自區塊鏈上，持有助記詞或私鑰即可將錢包導入其他兼容錢包繼續使用。官方強烈建議用戶在 9 月 1 日前完成私鑰或助記詞的安全備份。

ChainCatcher 消息，据 Lookonchain 披露，鯨魚地址 "TLBL" 再次發生重大資產安全事件，累計損失已超過 5,000 萬美元。其中，該地址曾於兩年前因釣魚攻擊損失約 2,400 萬美元；而在最新事件中，其疑似因私鑰洩露導致 3 個錢包內超過 2,600 萬美元資產被全部轉出。此次事件再度引發市場對高淨值鏈上地址安全管理風險的關注。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Bitcoin 開發者推出了一款新的可視化工具，用於解釋熵的工作原理以及如何為比特幣私鑰生成隨機性。該工具涵蓋真隨機數生成器（TRNG）、偽隨機數生成器（PRNG）、擲骰子和拋硬幣。

ChainCatcher 消息，一場涉及約 1.3 億美元比特幣損失的錢包安全事件，正在重新引發加密行業對資產托管模式的討論：比特幣持有者究竟應該依靠個人自托管，還是轉向機構托管。硬體錢包廠商 Coldcard 部分固件在 2021 年曾存在隨機數生成漏洞，導致設備生成的部分助記詞存在可預測風險。該漏洞在多年後被發現，目前已有約 5200 多個地址、約 2000 枚 BTC 被盜，損失規模約 1.3 億美元。事件發生後，部分投資者開始轉向華爾街托管產品。數據顯示，美國現貨比特幣 ETF 在事件後的數日內淨流入約 6.26 億美元。彭博 ETF 分析師 Eric Balchunas 表示，此類安全事件可能進一步推動資金流向 ETF。不過，比特幣核心社區仍堅持自托管理念。Casa 聯合創始人 Jameson Lopp 表示，近期事件不應削弱用戶對自托管的信心，並指出第三方托管同樣存在風險。Bitcoin Core 早期開發者 Peter Todd 也認為，自托管長期安全記錄優於中心化機構。比特幣托管平台 Onramp 聯合創始人 Michael Tanguma 則認為，兩種方案都存在缺陷。他表示，將大量資產集中於單一機構會形成"蜜罐"，而硬體錢包則面臨供應鏈、固件和隨機數生成等風險。Tanguma 提出"多機構托管"方案，即通過多簽機制由多家受監管機構分別持有密鑰，任何交易都需要多個機構共同簽署，以降低單點故障風險。不過，該模式也引發爭議。批評者認為，多機構托管雖然提高安全性，但也引入了許可化管理，與比特幣最初追求的去中心化理念存在衝突。隨著比特幣逐漸進入養老金、信託和機構資產配置領域，行業正在尋找適合長期財富管理的新型托管方案。此次 Coldcard 漏洞事件再次凸顯，如何在安全性、去中心化和易用性之間取得平衡，仍是比特幣生態面臨的核心挑戰。

ChainCatcher 消息，据《福布斯》報導，黃金投資應用 Vaulted CEO David McAlvany 表示，他認為比特幣可能在未來 4 年內因量子計算而消失。他稱，一旦量子計算機能夠快速解決保護比特幣私鑰的數學問題，"那將是比特幣的終結"。不過，McAlvany 隨後承認，自己無法確定相關突破究竟會在 4 年、5 年後，還是兩個月後出現。截至 2026 年中，尚不存在能夠破解比特幣加密算法的量子計算機。其觀點主要基於對量子計算未來發展速度的擔憂，而非已經發生的安全事件。Galaxy Digital 估計，約 700 萬枚 BTC 所在地址已在鏈上暴露公鑰，價值約 4700 億美元；Glassnode 的估計為 604 萬枚，占比特幣供應量的 30.2%。公鑰暴露並不等同於資產已被盜，只有當量子計算機能夠根據公鑰反推出私鑰後，這些地址才可能面臨實際盜取風險。McAlvany 還將比特幣與黃金進行比較，並質疑比特幣能否持續存在 5000 年。他表示，自己相對确信黃金屆時仍會存在，但比特幣"可能存在，也可能不存在"。比特幣開發者目前對解決方案存在分歧。BIP-360 提議增加抗量子地址類型；BIP-361 則計劃分階段停止支持舊式簽名，未及時遷移的資產可能被永久凍結，其中包括被認為屬於中本聰的比特幣。支持者認為，凍結資產優於讓量子攻擊者盜取並拋售，批評者則將其視為沒收。BOLTS Technologies、American Fortress 等公司也在開發跨鏈抗量子方案。American Fortress 於 5 月完成 800 萬美元種子輪融資，並聲稱其技術無需用戶遷移地址即可保護資產，但相關技術論文尚未公布，設計也未接受公開審計。

ChainCatcher 消息，BNBChain 上去中心化資管協議 Swan Treasury 因私鑰洩露導致損失約 62.5 萬美元資金。攻擊者向其自持有地址偽造有效簽名，以 100 倍折扣購買 STY，並透過 PancakeSwap 閃電貸用約 1.97 萬枚 USDT 購買約 68.7 萬枚 STY。隨後在兄弟合約上偽造 claim() 和 transfer 簽名，將 STY 傾銷至 STY/USDT 池中，獲利約 62.5 萬枚 USDT。交易中的每個 ecrecover 均解析為確切的硬編碼簽名者，證實密鑰本身已洩露，而非簽名邏輯缺陷。

ChainCatcher 消息，Zilliqa 發文表示，Zilliqa Ledger 應用存在嚴重隨機數生成漏洞，影響原生非 EVM Zilliqa 交易的 Schnorr 簽名。攻擊者僅利用公開鏈上數據，即可從存在偏差的臨時隨機數中恢復簽名者私鑰。任何通過 Zilliqa Ledger 應用簽署並廣播約 5 筆或更多原生交易的帳戶，都應被視為已洩露。由於相關簽名已永久記錄在鏈上，後續更新應用也無法消除風險，受影響私鑰必須停用。EVM 交易及 zilliqa-js、gozilliqa-sdk、pyzil 等開發工具不受影響。漏洞源於應用複製隨機數時選取了錯誤的 32 字節，保留 8 字節零填充並丟失 8 字節熵，導致每個隨機數最高 64 位固定為零。攻擊者可利用 5 個或更多受影響簽名，通過普通硬體在數秒內恢復私鑰。Zilliqa 於 7 月 19 日觀察到疑似主動利用活動，並於 7 月 21 日確認根因。Zilliqa 已暫停原生交易以阻止進一步資金損失，並與 Ledger 準備修正版應用。但修正版無法保護已暴露的密鑰，受影響用戶目前不應自行轉移資產，應等待官方公布協調處置方案。

ChainCatcher 消息，程式設計師 Stefan Thomas 持有包含 7002 枚比特幣私鑰的 IronKey 加密 USB 驅動器，該批比特幣來自其 2011 年製作 "What is Bitcoin?" 教育視頻的報酬，近期按每枚約 11.1 萬美元估值約 7.77 億美元。該 IronKey 設備設定為在 10 次密碼錯誤後永久鎖定並刪除內容，Thomas 已嘗試 8 次，僅剩 2 次密碼輸入機會。製造商 Kingston 表示，除用戶設定的原始密碼外，不存在備份密碼或替代恢復方式。Thomas 曾尋求數位取證公司 Naxo 和安全研究員 Chris Tarnovsky 協助，並曾因已與兩支團隊達成口頭協議而拒絕 Unciphered。截至 2025 年末，該 IronKey 仍存放於瑞士金庫，截至 2026 年中未確認恢復成功。

ChainCatcher 消息，鏈上偵探 ZachXBT 對 Humanity 3100 萬美元安全事件發布更新。經過進一步分析資金流轉路徑，ZachXBT 認為團隊大概率不是「監守自盜」或「自導自演」，官方公告披露的私鑰洩露屬實，卻在解鎖前拉盤 H 代幣反遭黑客搶跑。私鑰洩露與此前的異常拉盤應當為獨立事件。ZachXBT 還質疑團隊在代幣解鎖前，通過可疑的做市協議和場外大額交易來人為拉高 H 代幣價格，以便在即將到來的投資者/早期貢獻者解鎖（6 月 25 日左右）前順利出貨或減輕拋壓。

ChainCatcher 消息，Humanity Protocol 創始人 Terence Kwok 在 X 平台發文確認發生安全事件，稱此事件涉及一位 Humanity 基金會成員的私鑰洩露。為安全起見，建議用戶在確認安全之前不要與跨鏈橋或任何流動性池互動。團隊正與安全專家及交易所合作夥伴合作解決問題。此前消息，Humanity Protocol 關聯地址已被盜超 3100 萬美元。

ChainCatcher 消息，Manta 孵化的 Superfortune 在 X 平台就近日安全事件發布更新稱，攻擊不是內部人員所為，也沒有任何團隊成員參與，關於團隊秘密出售代幣的說法是錯誤的。團隊也未與 Web3Port 有接觸。調查確認：攻擊並非地址投毒，而是簽名者私鑰洩露。攻擊者獨立持有私鑰，在正確交易 43 分鐘後提交了偽造地址的交易。偽造地址與正確地址首尾四字符相同（0x70AE 開頭、5C15 結尾），用於在 Safe 界面預覽中偽裝。被盜資金全程可追溯，目前存放在以太坊上的三個冷錢包中，約 2784 枚 ETH，另有約 17 萬枚 USDT 被跨鏈轉出。攻擊者還創建了大量仿冒地址，並用 Unicode 偽造的代幣符號向這些地址發送虛假轉帳事件，試圖混淆追蹤。這種仿冒地址構造技術與攻擊本項目時使用的手法相同。攻擊者預先搭建了大規模基礎設施，表明這是工業化操作，而非機會主義攻擊。

ChainCatcher 消息，据鏈上數據顯示，StakeDAO 部署者私鑰在 Arbitrum 上遭洩露，攻擊者鑄造約 5.45 萬億枚 vsdCRV 部分兌換為 43.7 枚 ETH。

ChainCatcher 消息，慢霧創始人余弦在 X 平台發文解讀 Squid 安全事件，他表示抽樣發現相關 Safe 錢包都是單簽，owner 也都不一樣，但問題不在私鑰，問題在這些 Safe 地址用到的模組（SquidRouterModule）存在漏洞，攻擊者可以偽造消息，輕易繞過相關驗證，發起後續的兌換操作，將目標 Safe 錢包裡的資金轉移走。此外，余弦還公布了攻擊者獲利沉澱地址信息。此前消息，某第三方 Gnosis Safe 模組在 Base 和以太坊上被利用，造成約 320 萬美元損失，受害者為將該合約添加為受信任 Safe Module 的 86 個 Gnosis Safe。該合約在 Basescan 上名為 "SquidRouterModule"，隨後 Squid 澄清未受 Gnosis Safe 相關漏洞事件影響。

ChainCatcher 消息，据 GoPlus 分析，穩定幣協議 StablR 在以太坊上多簽合約的安全設置問題（多簽閾值為 1），以及持有者私鑰被竊取，導致 StablR $EURR、$USDR 穩定幣脫鉤 20%，攻擊者已獲利約 280 萬美元。

ChainCatcher 消息，預測市場 Polymarket 相關負責人稱，本次安全事件起因是一枚使用長達六年的私鑰發生洩露，該私鑰用於內部充值配置，部分資金因此流向相關地址。目前團隊已完成私鑰輪換、收回全部生產環境權限。後續計劃將全部私鑰遷移至密鑰管理服務（KMS），摒棄傳統保存模式。平台與 UMA 合約未被攻擊，用戶資金無恙，平台運營不受影響。

ChainCatcher 消息，Polymarket 工作人員 Shantikiran Chanal 在 X 平台發文表示，其已關注到與獎勵發放相關的安全報告，用戶資金與市場結算處於安全狀態。調查結果指向一枚用於內部運營的錢包發生私鑰洩露，並非合約或核心基礎設施問題。後續將發布更多更新。此前消息，ZachXBT 稱 Polymarket UMA CTF Adapter 合約疑似在 Polygon 上遭到攻擊，目前已流出超 52 萬美元。

ChainCatcher 消息，据 GoPlus 發布，過去 36 小時內新增兩起公開私鑰洩露事件，總損失 23.8 萬美元。其中 0xUnihax0r 損失 20 萬美元，其曾上傳過交易 Bot 和 Telegram；@Eli5defi 的被盜地址與之前 574 個地址的大規模私鑰洩露事件存在關聯。GoPlus 表示，鑑於此類集中性大規模私鑰洩露，建議立即按照私鑰洩露自檢清單排查風險。

ChainCatcher 消息，据 Politico 報導，波蘭主要加密交易平台 Zondacrypto 正面臨嚴重的欺詐調查。其前 CEO 於 2022 年失蹤，同時帶走了存有 4500 枚比特幣（當前價值超 3.4 億美元）的冷錢包私鑰。現任 CEO 已承認無法動用該錢包，近期也被曝出逃至以色列。檢察官估計客戶潛在損失約 9700 萬美元。鏈上數據顯示，該平台熱錢包中的比特幣餘額自 2024 年中以來已暴跌 99.7%，用戶普遍反映提款困難。波蘭總理圖斯克估計，可能有多達 3 萬名用戶受到影響。圖斯克公開指控該平台由俄羅斯關聯資金資助，並用於資助反對派議員以阻撓波蘭的加密貨幣監管立法。他直言這是"波蘭版龐氏騙局"，並批評總統兩次否決歐盟 MiCA 框架的本地化法案，使波蘭成為"詐騙犯的天堂"。平台董事會稱未能從失蹤 CEO 處獲得"可驗證信息"，已集體辭職。創始人自 2022 年失蹤至今，此前提及的"嫌疑人綁架指控"案件仍在調查中。這一事件預計將促使波蘭及歐盟加強對加密貨幣交易平台的監管審查。