#安全

Moonshot 官方公告称，币安已确认发生安全事件并暂停提币，Moonshot 作为预防措施临时禁用币安充值功能，以免用户资金被卡住。官方表示 Moonshot 上的用户资金不受影响，其他充值方式均正常运行，并提醒用户警惕诈骗，后续将更新进展。

文章梳理太子集团关联公司清算与资产追查的三条程序线：2026年1月9日BVI法院为30家公司委任三名联合临时清算人，6月11日美国纽约南区破产法院依《破产法》第15章承认该程序，10月28日清算人向财新表示未来若进入清算且有足够资金，受害者可能申报债权，目前尚未建立申报和分配流程。文章指出，美国民事没收诉状指向的约127,271枚比特币（司法部2025年10月公告时估值约150亿美元）与30家BVI公司清算财产须分开计算；BVI《破产法》第207条规定清算费用和法定优先债权先于普通债权人受偿，同顺位不足时按比例分配。作者建议受害者按日期保存转账回单、链上交易哈希、聊天记录等可核验材料，标注每项证据连接到哪家公司，并警惕以“内部名额”“提前锁定赔偿”为名的付费骗局，切勿交出私钥或恢复短语。

支付宝发推称不支持虚拟货币交易，指第三方平台宣称可通过其购买加密货币的说法虚假且未经授权，指向 P2P 法币通道项目 Peer 推出的人民币买卖 USDC 功能。Peer 称该功能已进入测试阶段，自 8 月 21 日以来 45 名买家完成 107 笔订单，交易金额约 7094 美元；其流程为卖家将 USDC 存入 Base 链上智能合约，买家通过支付宝转账人民币，系统核验付款信息后自动放币，验证早期采用零知识证明，后引入 TEE。文章指出，系统只核对付款是否发生及金额、收款信息是否符合订单，无法判断人民币上游资金来源，若资金涉诈，收款账户可能被限制或司法冻结，已放出的 USDC 难以追回；买家则需留意可能收到与盗骗洗钱关联的「黑 U」，Circle 可限制特定地址收发 USDC。此外，2026 年 2 月中国人民银行等八部门通知将法币与虚拟货币兑换列为非法金融活动，要求支付机构不得提供资金划转等服务。

据 DelCrxpto 及慢雾首席信息安全官 23pds 称，Coinbase 发生数据泄露，超 7 万名用户联系信息被获取；Coinbase 同日回应称并未发生数据泄露，而是分析服务商 Amplitude 遭遇安全事件，影响部分 Coinbase 客户联系数据及其他 Amplitude 客户数据，未发现未经授权访问其系统的证据，客户资金未受影响。截至 10 月 28 日 Amplitude 未回应。CZ 称当日共 4 起数据泄露事件被报道，涉及 Bithumb、未来资产和大信证券，并建议使用硬件密钥、避免短信验证、启用提现白名单。文章还援引哈佛肯尼迪学院与 Bruce Schneier 研究等指出，AI 正降低钓鱼与漏洞利用门槛，压缩防御窗口。

本期《吴说不加密》播客邀请 Bitrace 情报分析师 Yuri，讨论东南亚担保平台如何为电诈、洗钱等黑灰产交易提供押金担保，通过专群、公群和纠纷仲裁替代法律约束。Yuri 介绍头部平台已公司化运营，收入来自交易抽佣（约2%到5%）、公群月租、广告和自营业务；他估算新币担保曾有5000多个公群、押金规模约1.5亿美元，公群月租月收入约500万美元，并称拿到一份据称内部流出的新币2024年报表显示净利润约2344万美元，但强调无法核实其真实性。谈到2026年9月美国财政部OFAC制裁新币担保、Tether冻结约4500万美元相关USDT时，Yuri认为打掉单一品牌难以根治产业链，只要电诈园区需求仍在，新平台可能迅速补位；他同时指出AI已被电诈团伙用于生成诈骗素材和跨语言交流，降低跨境诈骗门槛。节目声明嘉宾观点不代表吴说立场，相关研究判断不等同于司法认定。

美国财政部OFAC近日更新制裁名单，涉及朝鲜相关及刚果民主共和国相关指定，包括多名在俄朝鲜籍个人、俄罗斯公民BOYKOV Ilya Aleksandrovich与OBERTAS Vitold Viktorovich，以及卢旺达国防部和ZIGAMA CREDIT AND SAVINGS SOCIETY。部分被制裁个人附有以太坊（ETH）和波场（TRX）数字货币地址，并标注涉及朝鲜制裁条例第510.201、510.210条的二级制裁风险及第510.214条限制。

四位作者在 arXiv 发布预印本研究，衡量 AI 智能合约合成中需求意图在何处丢失。方法是基于执行回放，将 AI 生成的合约与原合约跑相同交易并比对结果；作者称常见 AI 评审与标准分析工具会漏掉明显错误，仅检查共有函数会掩盖约一半流水线差异。其提出的 elicitation-first 架构在写码前先向客户提出简短问题清单，并用独立编写的可执行答案键校验，跨三个模型显示提问优先远胜事后审查或修补，自动安全修复常破坏请求行为。作者开源工具、600 个任务及全部结果。

Bitcoin Optech 发布第 428 期通讯回顾播客，Gustavo Flores Echaiz 与 Brandon Black 主持，Adam Gibson 介绍其 Lichen 协议，这是一种类似 Lightning 的单发行方 Layer 2，用双方 2-of-2 输出实现单方面退出并用 ZKP 验证，避免 BitVM 类方案的委员会 covenant 模拟和固定面额限制，作者称基于 BABE 单个 hub 或可支持 1 至 5 万并发用户，但 hub 需持续在线并承担较高流动性要求。本期还讨论 João Dias 提出的哈希原像 descriptor 语法提案、Ibis Wallet v5.0-beta（新增 Ark 支持、Spark 状态链单方面退出和 silent payment 接收，目前仅支持 Android）、Landfall Lightning 矿工收款钱包展示版，以及 rbitcoin 0.8.0 通过响应头和 asof 参数解决 Esplora 钱包同步视图不稳定问题。安全方面，Eclair 0.14.4 与 0.14.5 修复 trampoline 路由、taproot splicing 等多项资金盗窃漏洞，BTCPay Server 修复 Greenfield API 密钥权限提升漏洞和可能重复 Lightning 付款的问题，LDK、LND、BDK 也发布多项修复，BOLTs #1357 规定发票含多个支付哈希时应拒绝以防范重复支付攻击，该漏洞曾使 LNP2PBot 遭利用。

作者 @the_smart_ape 通过链上追踪发现一个由 43 个钱包组成的 Meme 币操盘网络：32 个发币钱包、8 个中转钱包、3 个捆绑钱包，自 2026 年 1 月以来在 Pump.fun 上发行超过 6855 枚 Meme 币，中位清仓时间仅 3 秒，利润经两个归集钱包汇入一个持有 102.68 万美元 USDC、只进不出的沉淀钱包。关键证据包括：10 月 14 日 36 个钱包在同一区块清空 SOL 转入归集钱包；抽查 160 次发币的 461 笔捆绑买入全部集中在发币区块；发币者首次买入的代币数量精确重复（110.9m 枚换 3.55 枚 SOL 出现 966 次）。作者指出该网络与近 1000 个已知 KOL 钱包无重叠，幕后身份只有 KuCoin、Bybit、Binance 等注资交易所可能掌握，当前发币者 DRXPafDu 仍在继续发币。

StonkFun 称目前已拦截 170 余个针对其社区的诈骗威胁，并正与 @ChainPatrol 合作下架虚假账号、钓鱼网站和诈骗链接。

Nethermind 发布 v2.2.2 补丁版本，集成微软 2026 年 10 月 .NET 带外安全更新，修复相关漏洞。Docker 镜像与自包含二进制文件已升级至 .NET 10.0.14 运行时，ASP.NET Core DataProtection 等 .NET 组件同步更新。该版本不含 Nethermind 代码、数据库格式或配置变更，共识行为与分叉调度与 2.2.1 一致，可从任意 2.2.x 版本原地升级。

作者在预印本中提出 Isotaxis，称其是首个在异步设置下实现 ordering linearizability 的状态机复制协议，通信复杂度为 O(nℓ+λn²)，在 ℓ≥λ n 时达到最优，而此前工作为三次方复杂度。作者称已在最多 100 个 EC2 c6a.2xlarge 实例上实现并测试，4 至 100 节点各规模下均优于 Pompē。该材料为预印本，尚未经同行评审。

一篇 arXiv 预印本（未经过同行评审）提出一种云对象存储公开审计系统：将每个对象及其名称的 SHA-256 哈希作为 Merkle 树叶子节点，整棵树的根哈希存入 Ethereum 智能合约作为可信公开记录，审计者下载单个对象并用简短 Merkle 证明重建根哈希比对，即可判定对象完好、被修改或缺失。作者在 S3 兼容存储与本地 Hardhat 区块链上做了五组实验，称检测出全部 15 处单点篡改、2,205 个被篡改对象和 830 个被删除对象，无误报；10,000 个对象的证明只需 14 个哈希，单对象核验约 10 ms，100 个对象抽样约 150 ms，且不随数据集规模变化。作者称存储根哈希耗费 91,863 gas，比在链上存储 1,000 个哈希少 252 倍，主要节省来自按需抽查而非全量审计。

投资人乔迪·维瑟（Joey Weiser）在与 Anthony Pompliano 的对谈中表示，他完全不担心 Chamath Palihapitiya 关于「比特币将因量子计算归零」的论断，认为量子威胁本质是硬件发展问题，严谨学者估计破解现代加密系统需 20 到 40 年，乐观派认为需 5 到 7 年，且行业有数年缓冲期迁移至抗量子加密算法。维瑟同时指出，近期半导体股票单日暴跌 5% 到 10% 并非 AI 基本面逆转，而是法国国债与德国国债利差套利交易平仓引发的对冲基金杠杆踩踏，高盛内部报告显示本周主流量化、股票多空和多元策略基金跌幅普遍超过 1%。他预测未来五年礼来（Eli Lilly）可能超越英伟达成为全球市值最大的公司，依据是医疗保健支出占美国 GDP 比重超过 20% 甚至 22%，且标普 1500 生命科学、生物技术与制药指数在科技股抛售期间逆势创下 52 周新高。

Foresight News 编译 Bankless 文章称，AI 大幅降低漏洞发现门槛，加密行业分化为两条安全路径：一是敏捷修补，Bitcoin Core 于 10 月 22 日合并安全策略变更，加快修复 LLM 简单提示即可发现的漏洞；Starknet 社区投票研究转型为独立后量子 L1。二是极简不可变，以太坊路线图转向「仅哈希」，开发者 Ross 主张把关键代码上链、走向无服务器。DefiLlama 数据显示 2026 年迄今已有 112 起超 100 万美元攻击，2025 年全年为 70 起；Anthropic 与 Theorem 的研究显示，用 Claude 对 123 个开源库的 239 个入口点做形式化验证只需数周，但典型证明约 60 万行，可能消耗数亿 AI token，且只覆盖指定属性。

一篇预印本（未经过同行评审）提出 BE-CTDE 框架，用区块链作为多智能体强化学习的训练管理层，由行为验证器比对执行轨迹与共享策略建议，并通过罚没、销毁、奖励与补偿的代币机制驱动。作者推导了激励条件与预期排除时间上界，并在多智能体寻路实验中称，该框架在受攻击时成功率高于现有学习型路径规划器，碰撞率较仅检测不设经济后果的方案最多低 35%、较传统质押罚没最多低 43%。

arXiv 预印本（尚未经同行评审）提出 PARS 机制与可选的许可链架构 PARS-ESL，通过在密码学纪元间进行经认证的密钥轮换限制密钥的时间暴露。PARS-ESL 仅记录密钥纪元、群组成员、撤销、算法套件策略等认证状态，不存储高频运营交易，低时延流量由当前活跃的对称纪元密钥保护。作者称，在其给出的信任、失陷、连接与资源假设下，该方案对选定的边缘 AI 与 CPS 安全控制工作负载可行；当前材料仅含作者摘要与元数据。

OpenZeppelin 对 0xMiden/protocol 仓库的 miden-standards crate 执行 diff 审计，覆盖约两个月开发、69 个提交，报告 65 个问题：严重 2 个、高危 4 个，审计时 35 个已修复、3 个部分修复。两个严重问题分别是多票据跨 PSWAP 交易中栈深度错位导致做市商资产被记入错误输出票据，以及索引式输入票据资产移除允许低序号票据窃取高序号票据资产。报告附修复建议及对应 pull request 编号。

OpenZeppelin 发布对 0xMiden/miden-base 仓库 commit 5c4edb4 交易内核的安全审计，共发现 8 个问题（1 个 High、2 个 Medium、2 个 Low、3 条备注），报告发布时全部未解决。三个主要问题集中在对用户程序动态调用后未充分校验活动账户上下文，高危项为 Epilogue 中 auth 过程可能切换到外部账户，导致资产保全检查失效、手续费误扣和账户承诺计算错误。报告认为代码库整体结构良好。

美国司法部宣布，44岁中国籍男子Zheng Zhao从荷兰被引渡至加州中区法院提审，被控参与从柬埔寨诈骗窝点针对美国公民的国际加密投资骗局，共识别出174名美国受害者。起诉书指称，同谋通过社交平台、电话和婚恋网站接触受害者，用仿冒交易平台诱骗转账并谎称投资增值，超过3690万美元受害者资金从美国银行账户转入巴哈马Deltec Bank单一账户，被兑换为Tether（USDT）后转入柬埔寨控制的数字资产钱包，再分发给区域各诈骗窝点头目。Zheng Zhao于2025年8月被控洗钱共谋罪，若罪成最高可判20年监禁；另有8名同谋已认罪，其中ShengSheng He和Jingliang Su因无牌经营汇款业务共谋分别被判51个月和46个月监禁。

作者在 IACR ePrint 发布预印本（未说明经同行评审），提出 Tritone 协议，让比特币在无需共识变更的情况下强制执行对固定 NP 关系的 Groth16 证明验证结果，只要 N 个操作员中有一个诚实即可保证锁定资金安全。验证为乐观且链下进行，交易均为当前中继政策下的标准交易；协议将两方 BABE 推广为固定委员会，每对有序操作员各运行一个争议实例，引入 Lamport-adaptor 小工具实现交易级绑定。作者用 Rust 实现，在比特币主网最坏争议情形下，证明方需发布 9,607 vB、验证方 18,160 vB 交易；本地基准（40-bit 统计安全）下每个争议实例的证明方保留数据低至 112.83 MiB。

慢雾安全团队披露 GitHub 仓库 Hylance/sol-live 以 Solidity 面试练习为掩护，在 .vscode/settings.json 的终端启动配置中嵌入下载执行命令，命令前插入数百空格并用 files.exclude 隐藏 .vscode 目录。macOS 和 Linux 下用户需主动选用项目自带的 zsh/bash 配置才会触发；Windows 配置虽设为默认并隐藏窗口运行，但引号处理问题使其执行效果未获确认。获取的约 4 MB 远程载荷可启动三个后台进程，分别窃取浏览器登录库与钱包插件存储、扫描上传本地文件、提供远程控制与剪贴板监控，数据经明文 HTTP 上传至 172.86.112.107。慢雾同时指出浏览器密码解密函数直接返回空字符串，收集加密数据库不等于已获取明文密码或助记词；另发现八个存在类似配置的 GitHub 项目，IOC 已同步至 MistEye。

PHP 项目于 10 月 21 日发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个可导致未授权远程代码执行的漏洞，CVSS v4.0 评分均为 9.2，影响 PHP 5.4 至 8.5.11，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。慢雾指出，其威胁情报系统 MistEye 扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，约占 53.3%，但这仅说明使用了 PHP，不代表已被攻破；文章给出平台侧的清点升级、凭证轮换、隔离签名与热钱包私钥等处置步骤，并建议普通用户无需提币，重点是核对签名细节、警惕假冒登录与赔付页面。

作者预印本研究了LLM结合静态分析审计C/C++漏洞时对证据的依赖，覆盖PrimeVul的916对函数、四家厂商11种模型配置共16,572次审计。结果显示真证据仅小幅提升准确率（+0.02），而假保证使真实漏洞检出率最多下降19个百分点，假警报则未显著降低准确率且更常被质疑；在7个新模型上的复现确认了这种不对称性（均值+0.16，95% CI +0.10至+0.24）。单独调用核验每条声明并展示被驳回内容，在预设测试中使假保证下的准确率提升12个百分点（p=0.002），但第二个模型增益较小且不显著。研究为预印本，尚未经过同行评审。

arXiv 预印本提出 AgentTrace，一个通过可观察执行痕迹识别黑盒 LLM Agent 底层模型的主动框架，作者称其在对抗身份伪装下达到 96.0% 的归因准确率。该方法注入结构歧义探针触发工具接口的序列化失败，并用轻量马尔可夫链建模后续修复操作的时序，作者称其可区分共享相同分词器的同族变体（如 Llama-3 8B/70B），且对提示混淆和温度缩放保持稳健。材料为预印本，仅取得作者摘要与元数据，未读取论文全文，结果未经同行评审。

作者提出 CONSTRAINTDIAL 框架，通过协议变异持续构建智能合约安全任务，以缓解现有评测中模型可凭记忆或抄袭公开答案（含链上交易中的攻击代码）得分的问题。该框架自动重建本地合约，并用攻击执行结果筛选修改，使原始攻击失败同时保留可利用性、安全目标和正常功能。作者基于 203 个公开案例构建 3,045 个任务输入，覆盖检测、利用和修补；与仅重建相比，协议变异使提供公开答案时的平均成功率下降 10.9 个百分点。材料为预印本，未读取全文。

Adam Gibson 在 Bitcoin-Dev 邮件列表发布 Lichen 论文与概念验证代码：单一发行方（hub）在由 sequencer 运行的 Layer 2 账本上按 1:1 铸造可兑换比特币的代币，每个用户与 hub 签订 2-of-2 合约，即使 hub 拒绝配合或离线也能取回比特币；退出时若 hub 不响应，用户可生成 Groth16 证明并借助预签名 BitVMX 交易把争议收敛到 Script 可校验的单步执行。João Dias 在 Delving Bitcoin 提出扩展 BIP379、为 miniscript 增加哈希原像私有形式的提案，目前尚待完善标记语法等开放问题。本期还汇总 Eclair 0.14.4/0.14.5 安全发布（修复 trampoline 转发与 taproot splicing 漏洞）、LND v0.21.5-beta.rc1 等发布候选，以及 LND #10919 的本地信誉系统实验等代码变更。

作者提出 FPTracer 框架，用于追踪以太坊上跨 DeFi 协议、跨链桥和混币器的非法资产。其核心是基于 Context-Aware Transfer Tree（CATT）恢复交易内资产流路径，并结合资产流与执行证据特征识别跨链意图交易，同时分析混币器之后的潜在洗钱活动。在 20 个真实洗钱案例上，FPTracer 对已知洗钱地址和目的地的召回率分别为 98.6% 和 94.2%，识别出全部已知跨链桥使用并发现 30 例此前未报告的使用；在 18 个涉及 Tornado Cash 的案例中，其识别的提现侧活动在有公开报告可对照处得到印证。该材料为预印本，尚未经过同行评审。

作者在 BARBICAN（面向 MCP 工具中介的 fail-closed 提示注入网关）上展示：仲裁阶段因分词器配置错误，整段评测中接收被破坏的文本；修正后该阶段语料级 AUC 从 0.392 升至 0.855，但系统召回率反而从 80.67% 降至 80.34%，而一个恒定回答 malicious 的桩模型得分为 80.77%。作者指出，上游路由使该阶段输入带 96.82% 为恶意，且判定设计让有罪判定可阻断、无罪判定仅能经单一窄分支放行；删除该组件损失 673 次检测，用常量替换其判定仅改变 25,000 次决策中的 12 至 140 次，移植一个在该输入带 AUC 达 0.916 的现成分类器也只改变 16 次决策。作者主张，任何路由阶段的消融数字若脱离其输入带的类别分布都无法解读，消融实验应与替换实验并列。材料为预印本摘要，未读取全文，方法与数据细节未核验。

柬埔寨反诈委员会 10 月 22 日宣布冻结太子集团近 10 亿美元资产、查出 198 家关联公司并对 32 人发出逮捕令，全球至少七个司法管辖区已对其资产发起冻结或没收。核心标的约 12.7 万枚比特币于 2024 年 6 至 7 月转入美国政府冷钱包，按 2025 年 10 月美国司法部起诉时币价折合约 150 亿美元。美国司法部以受害者资金与被扣比特币在链上找不到对应关系为由，要求驳回数百名受害者的民事索赔；另有立法者主张将这批比特币划入拟设的美国国家战略比特币储备。

OpenZeppelin 在与 Stellar Development Foundation 的合作中发布 Stellar 库 v0.8.0，新增 Confidential Token 合约，使余额与转账金额保持私密、交易仍在链上结算，合约已经 OpenZeppelin 审计，可在 Stellar 主网部署。合约实现 ERC-7984 接口，采用 Pedersen 承诺与 UltraHonk 链上验证证明，支持可配置合规策略、限定范围的审计可见性、选择性披露、账户冻结与 clawback，且行政与审计角色分离。该版本以包装现有 SEP-41 代币的方式运行，独立发行模式未包含在本次发布中；SDK 与客户端工具为未经审计的演示版本，另有 RWA 合规工具包 T-REX 等更新，smart-accounts 模块的签名授权方式也已改变。

arXiv 预印本提出 SILMARILS-MV，一种面向 permissioned blockchains 的多验证者无条件安全签名方案，作者称其在腐化至多 ω 个验证者和任意签名者的无界对手下，诚实验证者接受伪造签名的概率至多为 Q/q + 1/(q-1)，且具备强不可伪造、不可否认、可跨无界跳数转移和线性聚合特性。密钥由验证者通过完美安全 MPC 在 t < n/3 条件下签发，无需广播；阈值公证下最终性证书恒为 32(ω+1) 字节，单次验证 2.4 微秒。作者在 1000 验证者的解析模型中估算每验证者每区块认证流量为 71 KiB，较 ML-DSA-44 少 22 倍；100 验证者的 Rust HotStuff 原型吞吐较 ML-DSA-44 高 2.8 倍、密码学 CPU 少 67 倍。该材料为预印本，未经过同行评审。

10 月 21 日至 22 日，PHP 与 Node.js 先后发布安全更新，云部署平台 Railway 披露客户环境变量可能遭未授权访问，AI 网关 LiteLLM 一个发布版本被植入恶意程序。PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个评分 9.2 的漏洞，受影响范围可追溯至 PHP 5.4；慢雾扫描的 1488 个加密行业相关域名中 793 个具有直接 PHP 指纹，但这仅是技术使用痕迹，不能据此认定存在漏洞或已被攻破。TokenWorks 称其 keeper 已离线并转出运行钱包中的 1.17 ETH，属预防性转移而非披露被盗；PeekPeak 已更换被视为泄露的执行者私钥。文章提醒用户核对链上授权记录，断开网站连接不会取消授权，撤销授权仍需链上交易和手续费；私钥或助记词泄露后应将剩余资产转入使用全新助记词的新钱包。

Firelight 提出用 AI 模拟为 DeFi 金库承保定价的框架，围绕损失形成方式而非历史损失定价，将风险拆解、历史校准、蒙特卡洛模拟、语言模型和强化学习结合，构建金融碰撞测试实验室。作者指出该方向为拟议方案，非全部已上线；AI 用于主动寻找失败路径，但找到失败不等于算出概率，模拟结果需转化为保障上限、资本要求或拒保等承保决定。文中强调模拟器本身也需复盘已知事件、样本外检验和跨团队对比，Firelight 将自身产品定义为协议型保障而非传统保险合同。

Brian Armstrong 于 10 月 21 日分享 Coinbase 应对比特币量子威胁的完整构想，涵盖地址设计、签名方案与存量资产迁移。核心思路是把地址容器与签名机制解耦，提出 BIP-360（P2MR）与 P2TRv2 两条技术路线及混合地址过渡方案，并评估 ML-DSA、SLH-DSA、FN-DSA、SHRINCS 四种抗量子签名候选。迁移规划五个阶段，从自愿升级到最终处置旧地址遗留资产；Coinbase 称该提案为公开研讨材料，尚未敲定最终方案。相关筹备始于今年 1 月设立量子顾问委员会，7 月与贝莱德、富达、Strategy 等成立比特币安全联盟，承诺三年投入 1500 万美元。

一篇arXiv预印本提出R-PBFT方法，将元宇宙系统中的计算卸载与更新准入决策分解为逐时隙卸载博弈和顺序准入控制，分别用恒等收益博弈与可行性过滤的DDQN求解。作者的数值结果显示，在测试的用户负载与随机种子上，该方法相对最强基线Minimum Secure的平均奖励提升最高达46.7%，在最高测试拜占庭上限下安全及时更新率提升62.3%。该材料为预印本，仅取得作者摘要与元数据，未读取论文全文，结果未经同行评审。

imToken 撰文指出，近期 Ledger、Trezor、Bitget、MetaMask 等事件表明 Crypto 安全风险已不止于私钥保护，还沿设备流通、第三方服务与内部权限传导至用户资产。文中称 Ledger 设备被植入可截取屏幕助记词并经蜂窝网络外传的恶意电路，官方 Genuine Check 未必能识别；Trezor 邮件服务商 Brevo 被入侵致 347149 个营销联系人地址被导出，钓鱼邮件借官方域名发出；Bitget 于 9 月 24 日因第三方安全产品漏洞被获取高权限凭证，约 3.88 亿美元资产被转出，官方称未发现私钥泄露、冷钱包未受影响。作者建议用户尽量从官网或原厂直接购买硬件钱包、通过自存官网地址核实官方消息，并按事件类型区分邮箱泄露、恶意程序、助记词泄露与合约授权等不同影响。

Khodaiemehr、Bagheri 与 Feng 的预印本提出 PQ-Vault，一套面向未改造以太坊的量子安全资产托管系统，包含仅依赖量子安全原语的金库、携带紧凑证书的量子安全 PoS 侧链及乐观争议协议。作者给出紧凑证书抗量子攻击的首个安全证明与对应攻击：按经典参数选取时安全保证从 128 位降至约 60 位，一条简单规则可恢复。针对 65,536 个验证者，单个证书约 0.8 MB，比全部签名小 260 倍，验证约 20 ms，金库接受一个检查点约消耗 420,000 gas。该材料为 arXiv 预印本，尚未经过同行评审，仅取得作者摘要与元数据。

OpenZeppelin 宣布与 Chainlink 建立战略合作，将 Chainlink 的跨链互操作协议 CCIP 与自动化合规引擎 ACE 原生嵌入 Wizards、AI tooling、Skills 和文档，UI Builder 支持将在后续版本推出。CCIP 与 ACE 成为 OpenZeppelin 工具构建的 ERC-20、ERC-3643 及未来代币标准的默认方案，合规策略可在不重新部署核心代币合约的情况下更新，可配置制裁筛查、KYC 检查、交易量限制等要求。OpenZeppelin 还建立了从 OpenZeppelin Defender 迁移到 Chainlink Runtime Environment（CRE）的迁移路径，迁移指南现已提供；未来数月将交付三套生产级机构参考方案，含参考代码、架构文档、威胁模型与内部质量评审，初期仅供私有评估、内部开发、测试和客户演示使用。

慢雾安全团队分析 Qubic Wallet 漏洞：账户种子由非加密安全的 Math.random() 生成 55 个小写字母，而同一随机流的截断输出又通过协议头 dejaVu 字段明文发给网络对端。慢雾用 Z3 求解器对 V8 xorshift128+ 状态建模，实验显示 6 个连续 dejaVu 值即可唯一还原 128 位状态并重建种子，配合余额请求暴露的公钥可离线验证候选种子，本地 PoC 已复现私钥匹配。慢雾提醒 Qubic 官方 10 月 18 日公告称攻击者利用部分钱包随机性不足转移约 2.94 万亿 QU、涉及 1404 个钱包；实际攻击成功率取决于桥接与对端的信任边界及调用连续性。