项目新闻稿称，ChangeNOW 自 2026 年 11 月 10 日起成为 CoolWallet 应用内所有涉及 Bitcoin 兑换的独家服务商，有效期至 2027 年 1 月 10 日，覆盖 CoolWallet Pro 和 CoolWallet Go。此前 CoolWallet 于 7 月 30 日集成 ChangeNOW Exchange API，10 月 9 日至 11 月 9 日期间 ChangeNOW 为默认兑换服务商。
11 月 11 日，据 LNbits 官方公告，闪电网络钱包系统 LNbits 发布 1.7.0 安全更新，要求所有运营者在运行服务前升级。项目方称，11 月 8 日发现的漏洞影响此前所有版本，旧版本中的资金面临被盗风险。LNbits 表示，升级前已泄露的凭证仍可能让攻击者在升级后保持访问权限，建议运营者重置所有钱包密钥、更换资金来源及其他敏感凭证；若怀疑服务器已被入侵，应在新服务器上安装新版本并保留相关日志。
据Cointelegraph报道，比特币闪电网络钱包平台LNbits在遭遇导致资金被盗的攻击后，紧急发布1.7.0版本并敦促用户立即更新。LNbits警告该漏洞影响所有较早版本，仅升级无法保护凭证已泄露的用户，建议重置钱包密钥、更换凭证，怀疑被入侵时迁移服务器。创始人Ben Arc表示团队正努力应对损失。有用户报告攻击者利用其LNbits实例创建新账户，盗走约0.023枚比特币。
Bitcoin.com News 分析称，比特币非空钱包与 Telegram 新钱包两则数据都不如表面重要。Santiment 数据显示非空 BTC 钱包在10月16日达5999万后至11月10日下降近10.9万个，跌幅不足0.2%，Santiment 称散户投降历史上常是复苏前兆；Coinglass 同期口径为5730万，数字几乎未变。Telegram CEO Pavel Durov 称48小时内新增超70万个 Money 钱包，现累计近285万个，但据 GRAM Explorer 仅约17.8万个有余额，约6%，存入共173万枚 GRAM 价值约190万美元。期间 GRAM 一个月跌25%，比特币跌11%，钱包推广尚未提振币价。
比特币钱包Electrum在X平台宣布发布4.8.4安全更新，GitHub更新日志显示发布日期为11月6日。该版本修复闪电网络洋葱消息相关漏洞，任意来源的畸形洋葱消息可能导致Electrum与通道对等节点断开连接；目前Electrum将丢弃所有传入的洋葱消息，直至实现实际使用场景。新版本还修复了恢复2.0版本以前部分助记词失败等问题。上一版本4.8.3于10月下旬发布，修复了一项已遭在野利用的高危漏洞。
道说区块链撰文认为，加密生态的未来在以太坊，只有它才能承载真正落地并产生海量现金流的应用生态和商业场景。作者指出，随着每四年区块奖励减半，比特币区块奖励趋近于零后，网络安全维护将基本依赖交易手续费，届时若技术架构不变，唯一解是比特币价格必须是天价，而这仅靠比特币本身的故事肯定不行。作者还表示，闪电支付和 TACIT 等比特币应用协议因比特币核心基本改不动，只能在条件极其有限的地方挖掘潜力，最终做出的东西总是「四不像」，实际应用中几乎不会考虑。
道说区块链撰文认为，随着比特币区块奖励每四年减半并趋近于零，若技术架构不变，矿工维护安全将只能依赖交易手续费，届时比特币价格必须达到天价，而仅靠比特币自身的故事无法实现，必须依靠能产生海量现金流的应用生态和商业场景，因此加密生态的未来在以太坊。作者同时表示，自己在本轮不再定投比特币（除非跌到 3.5 万美元以内），并认为 Ledger 冷钱包被盗后，普通人应更信任开源冷钱包或自制方案，而非中心化交易所。
比特币钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，修复一个高危漏洞：恶意服务器可压制真实交易并注入伪造的冲突交易，显示攻击者地址和零手续费，使支付看似卡住；用户对看似停滞的交易提高手续费时，实际签名并广播的是支付给攻击者的新交易。开发者 SomberNight 的安全公告称已有服务器在野外实施该攻击，用户 Raju-K12 于 10 月 18 日确认在提高手续费后损失资金。4.8.3 在将未确认交易加入本地记录前验证钱包自有输入的签名，但来自外部发送方、输入均不属于用户钱包的转入交易仍未验签，公告承认该缺口需额外工作才能关闭。仅连接自建服务器的用户不受影响。
Electrum 开发者 10 月 24 日发布安全通告，称 4.8.3 之前所有版本存在高危漏洞且已被在野利用：恶意服务器可扣下真实支付，向钱包展示一份收款地址被替换成攻击者的伪造交易，钱包未校验该伪造交易的签名便将其显示为进行中；其中一笔伪造交易未付手续费，疑似诱导用户提费，用户提费后 Electrum 签署了支付给攻击者的有效替换交易。开发者收到两起受害报告，受害者称窃贼地址末尾四位与原收款地址相同。4.8.3 版本新增一项校验，对花费钱包自身代币的内存池交易在进入本地记录前验证签名；通告称连接可信服务器（如自建）的客户端不受影响，未升级用户应每次核对屏幕上的输出地址。通告和发布说明均未披露被盗金额及涉事服务器。
推荐理由：恶意服务器伪造低费交易诱导用户提费，升级 4.8.3 或自建可信服务器可规避。
ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。
据 Teh Block 报道，开源比特币硬件钱包厂商 Foundation 称发现有垃圾邮件通过其官方域名发出，追踪显示问题源于一个或多个遭到入侵的 Cloudflare API 密钥，目前这些密钥已被撤销，邮件中使用的恶意域名也已下架。Foundation 强调，存储在 Passport 设备中的资金依然安全，硬件本身未受到入侵。
Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。
推荐理由：漏洞利用 RBF 提费流程诱导用户签署被替换的交易，仅自建可信服务器的用户不受此攻击影响。
Keystone 硬件钱包官网遭未授权访问，用户姓名及收货地址泄露；Electrum 披露高危漏洞，提醒用户更新至 4.8.3 版本。早讯同时提到，Arthur Hayes 再次将 1400 万枚 ENA 转入 Cumberland；Strategy、Strive 等通过优先股融资支持购入 135,979 枚比特币，占最大供应量逾 0.5%。
PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。
推荐理由：攻击依赖恶意服务器替换交易，自建服务器用户不受影响，升级前签名须核对收款地址。
据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。
PANews 10月24日消息，比特币钱包Electrum官方宣布发布4.8.3版本，称本次更新修复一项严重安全问题，并敦促所有用户升级，漏洞详细说明将于晚些时候公布。其GitHub更新日志将4.8.3标注为安全更新，发布日期为10月23日；Electrum官网提醒用户应仅从官网下载软件并核验GPG数字签名，以确认安装包来源及完整性。
据 Bitcoin.com News 报道，多伦多公司 Coinkite 及联合创始人 Rodolfo Novak、Peter D. Gray 被提起集体诉讼，指控 Coldcard 硬件钱包固件五年多来生成可预测的助记词，导致超 1.4 亿美元比特币被盗。诉状称漏洞源于 2021 年 3 月固件的构建链接集成错误，改用 Micropython 的 Yasmarang 软件生成器而非硬件随机数生成器；攻击者于 2026 年 7 月 30 日开始利用，25 分钟内盗走约 594 BTC（约 3800 万美元）。原告 Amir Reza Naderi 称个人损失 1.22940052 BTC。Coinkite 于 7 月 30 日公开漏洞并次日发布修复固件，但已生成的助记词无法通过升级保护，用户需重建并转移资产。案件仍为拟议集体诉讼，指控未经法院认定，Coinkite 截至发稿未回应。
推荐理由：修复固件无法补救已生成的助记词，用户须重建密钥并转移资产才真正止损。
ChainCatcher 消息，Coldcard 硬件钱包制造商 Coinkite 及其联合创始人 Rodolfo Novak、Peter D. Gray 在加拿大安大略省面临集体诉讼。诉讼指控 Coldcard 自 2021 年 3 月左右起使用的标准固件未采用真随机数生成器，而依赖可预测的软件伪随机数生成器，导致助记词可能被复现、用户持有的 Bitcoin 面临未经授权访问风险；诉讼请求集体认证，主张 Coinkite 违反《消费者保护法》和《货物销售法》，并涉及过失、违约等指控，要求赔偿。
Cointelegraph 介绍五种硬件钱包替代方案：加密 ETF、Passkey 钱包、多签钱包、中心化交易所和纸钱包，并指出近期被篡改的 Ledger 和种子随机性存疑的 Coldcard 事件已使硬件钱包信任动摇。文中说明各方案取舍，例如 ETF 换来的是对美元净资产值的索取权而非比特币本身，多签需签名方保持可用，纸钱包生成环节易泄露私钥；21Shares 联合创始人 Ophelia Snyder 建议自托管用户按自身情况搭配交易所和 ETF 持有。
CoinDesk 报道，一个自2013年起休眠的比特币钱包近期移动了411枚 BTC，当前价值约3400万美元；这些币在2013年购入时比特币价格为每枚131美元。报道称这是近期多个长期休眠钱包苏醒的其中之一。
区块链分析公司 Chainalysis 在周四的推文中披露，Ledger 钱包被盗事件的最大受害者之一是一名骗子，其损失超过 60 枚比特币，约 480 万美元，资金来自任务诈骗。该骗子于 9 月 22 日将资金转入三个独立 Ledger 地址，10 月 9 日三个地址被清空，每个地址约 164 万美元转入同一钱包。Ledger 称已确认损失均涉及经销商 CryptoBilis 销售的设备，但 Chainalysis 未说明该骗子的设备购买渠道；链上调查人 Specter 追踪到超 8600 万美元疑似被盗资金，Ledger 表示尚未核实该数字，其调查仍在进行。
Coinbase 发布框架，说明比特币迁移至抗量子密码前需解决的技术与运营难题，称仅更换签名算法不够。其指出迁移须保护已暴露公钥的代币、适配有限区块空间并保留全节点验证，可考虑 BIP-360 下的 P2MR、P2TRv2 等可演进设计，以及 1-of-2 混合结构，让资金可用现有 ECDSA 或 Schnorr 密钥支出，也可用未来抗量子密钥。Coinbase 还提示有状态签名方案重用签名状态可能引发伪造风险，希望保留无状态签名选项并兼容 MPC，同时认为休眠代币的处置属技术与治理问题，不应拖延抗量子签名工作。
文章分析，继今夏 Coldcard 事件和本月 Ledger 及其用户遭遇的问题后，多厂商多签（multivendor multisig）方案受到更广泛关注。该方案在 2-of-3 等设置中把私钥分散在不同厂商的设备上，即使单一设备被篡改也无法盗走资金，但前提是设备来自不同厂商和销售渠道。被入侵的 Ledger 经销商 Cryptobilis 也销售 Trezor、Tangem、Safepal 等设备，目前仅确认 Ledger 设备被篡改。Liana 和 Nunchuk 的开发者主张多厂商多签应成为标准，两家都在开发相关方案但尚未支持全部硬件钱包。文章指出若该方案普及，硬件钱包厂商或迎来销量增长，Casa、Unchained 等协作多签服务商也可能受益；但 Ledger CTO Charles Guillemet 曾警告多签增加复杂度和丢币风险，主张改用 miniscript 方案。用户也可能转向托管方案或 ETF。
比特币支付应用Strike在X平台发帖称，推出Stacks功能，用户可在账户内按用途分类管理比特币储蓄，包括为家庭成员单独预留比特币、为每个分类设置定投计划并追踪储蓄进度。该功能已面向全球个人及企业账户上线。
据Lookonchain监测，一名用户约一周前从经销商CryptoBillis购买Ledger设备，并将全部80枚BTC存入，现已全部被盗。链上数据显示该笔BTC于9月29日存入，10月9日被转至此前分析师标记的盗币地址。该用户4个月前以约6.5万美元均价买入80枚BTC（约520万美元），一度浮盈138万美元。
欧洲刑警组织（Europol）发布报告称，加密货币钱包是量子计算威胁的主要暴露点，攻击者可通过链上公开的公钥推导出私钥并转移资产，而底层哈希函数则基本具备抗量子特性。报告指出，目前约 30.2% 的 BTC（604 万枚）公钥已在链上暴露，建议行业分阶段过渡至后量子密码学，并在遭到攻击前主动完成预防性迁移。
Bringin 宣布推出仅限邀请的欧元企业账户 Beta，企业可持有、接收并用比特币和稳定币付款，同时保留对代币的控制权，并通过以企业名义开立的 vIBAN 处理 SEPA 支付。
Blink 发布 9 月 19 日攻击事件复盘，24 个客户账户共 6.61 枚 BTC 被盗。该漏洞自 2023 年 10 月起存在，任何免费账户用户均可借此获得客服级权限、接管账户并提高提现限额；另有 3817 个账户的部分电话号码和电子邮箱被获取，姓名、证件、地址、密码及助记词未泄露。
一个自2011年5月以来未活动的钱包转移20.43枚BTC，价值170万美元，结束15.4年沉寂。Arkham追踪显示这些BTC来自Braiins（Slush Pool）约3至4美元的收益发放，已被拆分转入隔离见证地址，尚未转入已知交易所充值地址。
Bitcoin Optech 播客复盘 Newsletter #423，由主持人与 Davidson Souza、Eric Price、PortlandHODL 等嘉宾讨论多个议题。