#安全

Geth 发布 v1.17.8 安全版本，修复多项 DoS 风险，多数漏洞仅在 Amsterdam 分叉激活后可能出现，官方建议所有用户升级。修复涉及 eth 和 snap 协议包处理器防护、JUMPDEST 分析缓存加固、IP 地址预测器验证，以及恶意 STUN 服务器可致节点崩溃的问题。

OpenZeppelin 完成对 Uniswap Universal Router 三个 pull request 的审计，共报告 17 项问题，9 项已修复，无 Critical 和 High 级别问题。两项 Medium 中，一项动态数组边界检查缺陷已在 commit cc89977 修复，另一项 amountIn 为 0 时的除零 panic 团队称属边缘情况、未修复。

OpenZeppelin 对 Uniswap universal-router PR #457 与 v4-periphery PR #497 完成差异审计，共发现 2 个问题并全部解决，无严重、高危、中危问题，仅 1 个低危问题和 1 条建议。低危问题为 ChainedActions 按用户传入参数授权可能将 inputToken 额度授予任意地址，已在 PR #461 中将 Spoke Pool 地址设为不可变修复。

慢雾披露针对 Fomo 用户的恶意书签钓鱼攻击：用户在 MOONLET 代币详情页跳转至 voltage.family，按人机验证指引将图标拖入书签栏并连点三次，实为执行 javascript: 书签代码，脚本读取 localStorage、IndexedDB 中 privy、wallet、seed 等关键词数据，提取 Privy 访问与刷新令牌并外发。用户未连接钱包、未签名授权、未泄露助记词，仍被转走约 48,000 美元资产。

Mukesh Tiwari 与 Aaron Feickert 在 IACR ePrint 发布预印本，评估依赖简洁证明验证的比特币桥设计中门电路求值与输入标签上链编码等组件的后量子脆弱性，并测算安全替代方案的成本。作者指出后量子证明系统的电路可比当前配对基线更小，但证明尺寸显著增大、成本更高，且需多个比特币区块才能编码。材料为作者摘要与元数据，未读取全文，档案收录不代表通过同行评审。

Bitcoin Optech 播客回顾 Newsletter #425，由 Gustavo Flores Echaiz、Brandon Black 与 Matt Morehouse 讨论 Eclair 两个 DoS 漏洞、钱包标签同步提案、后量子输出类型、SNARK 区块级签名聚合、BIP54、金库 covenant 对比、John Law 的 depots 提案，以及 LND v0.21.4-beta 与 v0.20.5-beta 维护版本和 Bitcoin Core 多项代码变更。Matt Morehouse 介绍了影响 Eclair v0.13.1 的两个漏洞：一是特征向量解析低效，64 KB 消息可累计分配 300 MB 堆内存；二是遗留的 zlib 解码可让 64 KB 载荷解压膨胀至约 450 MB 内存，两者均已在 v0.14.0 修复，他建议尽快升级。Bitcoin Core 方面，#35301 开始在 Bitcoin Core 中实现 BIP352 静默支付的地址编解码与扫描，尚不能通过 RPC 或 GUI 使用；#29278 新增 -maxfeerate 选项，默认将钱包交易费率上限设为 10,000 sat/vB。

以太坊基金会 Trillion Dollar Security 项目发文解释原生交易断言（native transaction assertions）如何在执行后检查交易的完整净状态变化与事件，规则不满足即回滚，以应对盲签和结果与意图不符的风险。

Solana 官方发布开源、可自托管的程序监控与告警工具 Microscope，用 IDL 解码程序指令与事件，生成 Grafana 仪表盘并推送告警到 Slack、Telegram 或 PagerDuty，还可监控控制程序的 Squads 多签。

研究团队提出 ContractLens 框架，通过层级线性探针定位预训练 LLM 中区分恶意与良性合约的关键层，再结合激活对比、恶意逻辑特异性和探针权重选出判别性单元 MCDUs，拼接激活后训练轻量分类器完成检测，全程冻结预训练模型。作者称在三个预训练模型上的平均检测准确率均高于被比较方法，掩蔽 MCDUs 比随机掩蔽更明显降低性能，少量标注样本训练的分类器仍保持较强检测能力。材料为预印本摘要，尚未经同行评审，未读取全文。

Trail of Bits 发布 SequenceHash 和 SequenceMAC 两个哈希构造，规范已开源并纳入 Community Cryptography Specification Project（C2SP），同时提供 Rust、Go、Python 三种实现和含中间值的测试向量。

OpenZeppelin 发布了对 CACEIS 旗下 EURXT 欧元稳定币合约的安全审计报告，审计于 2026-05-20 至 2026-05-21 进行，未发现严重、高危或中危问题，共提出 3 个低危问题和 15 条备注，均未修复。

Francisco Javier Becerra Sanchez 等人在 AFT 2026 发表 SoK 论文，对加密资产托管与金融科技中的密钥恢复机制进行系统化梳理。作者从 118 篇系统综述候选文献出发构建 77 篇综合语料，为每个系统编码恢复对象、恢复语义、机制、授权、信任位置、失败事件、验证证据、部署状态等维度，形成按轴分类的分类法，区分恢复秘密、混合、恢复控制、取证提取与框架导向五类恢复。作者指出恢复并非单一操作，可能涉及重建原始秘密、重新生成种子、恢复份额、重新签发凭证、迁移签名权限、恢复账户控制、转移资产或提取取证材料，并归纳六项发现：恢复语义异质、恢复会转移信任、活性提升带来滥用路径、恢复后生命周期管理不均、协议证据多于用户证据、恢复元数据保护不足。当前材料仅含作者摘要与元数据，未读取论文全文，具体方法与数据未核验。

作者提出 FairChain，一种适用于任意工作量证明中本聪式协议的两层改造：协议层在区块旁记录低难度的 workshares，奖励层采用 Proportional Reward Splitting（PRS），按各竞争对象背后的内在工作量比例分配该高度的奖励，分叉选择规则与出块流程保持不变，workshares 在奖励成熟后可丢弃，链上零残留。作者证明在参数足够大时 FairChain 是 ρ-coalition-safe ε-Nash 均衡，与 FruitChains 的理论水平相当；基于马尔可夫决策过程计算各效用函数下的最优对抗策略，在六区块确认窗口下将偏离阈值提升至 38% 算力，在激励相容、颠覆收益（FruitChains 在 42% 以上除外）和审查易感性（FruitChains 在 25% 以下除外）上优于该框架内其他机制。作者称该方案已被一条运行中的 PoW 区块链采用，部署中每区块存储开销低于 1KB。当前材料仅为作者摘要与元数据，未读取论文全文。

Woncheol Jeong、Sohee Choi、Jiwon Yoon 在 AFT 2026 发表的论文提出跨游戏、跨链的 Web3 P2E 机器人检测框架，将玩家活动建模为统一五类边词汇的异构时序交易图，提取 32 项链无关行为特征，用类型化边图注意力网络与 GRU-注意力序列模型的双分支编码器分类，并以图对比预训练引导。作者同时发布首个多游戏标注机器人数据集，覆盖 3 条异构链上的 3 款 P2E 游戏，共 57,879 个账户、3,551 个确认机器人。在联合测试集上，该框架 F1 = 94.39%、AUC = 99.92%、AP = 98.90%，作者称分数分布呈明显双峰且在较宽决策阈值范围内表现稳定。当前材料仅为作者摘要与元数据，未读取论文全文，方法细节与数据未核验。

Yannik Kopyciok、Stefan Schmid、Friedhelm Victor 在 AFT 2026 发布论文，提出检测 P2P 加密货币网络中异常对等节点的方法，并对 Monero 网络做取证案例分析。作者采集并分析了来自全球五个不同观测点、超过 240 小时的网络流量，观察到的 13,050 个对等节点中约 14.38%（1,877 个）表现异常，其中至少 1,582 个呈现受单一实体控制的模式，其行为与 Sybil 攻击叠加自我强化的对等节点列表投毒一致，作者认为这为削弱 Monero 隐私保证和网络去中心化创造了前提。作者还发布了检测流水线，供网络运营方基于新捕获的流量识别并屏蔽可疑对等节点。当前材料仅为作者摘要与元数据，未读取论文全文，方法与数据细节未核验。

Bitcoin Optech Newsletter #425 汇总了 Eclair v0.13.1 及更早版本中两个拒绝服务漏洞的负责任披露，两个漏洞均已在 5 月发布的 v0.14.0 中修复，建议仍在运行旧版本的用户升级。

作者对 GNN-based 智能合约漏洞检测器 GNNSCVulDetector 的表示层做失败分析，实验展示四项失效：结构不同的合约生成逐字节相同的图，构成具体规避攻击；图构建依赖含一条重复项的 47 条硬编码变量白名单，导致同漏洞不同变量名生成不一致的图、命名偏离白名单时图质量下降、无匹配时产出未基于源码变量的结构输出；表示重入攻击外部调用者的 C 节点在文献中最典型的漏洞合约中也缺失。受控实验证实一例直接误分类，C→W 边从未构建使完全可被利用的合约被判为安全。作者称文献现有准确率是在未暴露这些失效的条件下测得，此类失效在真实合约群体中的普遍程度仍是待解的经验问题。当前材料仅含摘要与元数据，未读取全文。

作者提出MPC分解原则与顺序揭示拍卖（SRA），将赢家判定隔离为只揭示赢家身份、不揭示支付信息的最小MPC组件，从而数学界定中止时的信息泄露。论文证明惩罚 κ ≥ ∑ Rev(F_i) 足以保证可信性且在最坏情形下紧致，并称SRA给出首个常数轮次、激励相容、收益最优的可信拍卖，适用于所有乘积分布，回应了 Akbarpour and Li (2020) 与 Ferreira and Weinberg (2020) 的开放问题。当前材料仅为作者摘要与元数据，未读取论文全文。

Lighthouse 发布 v8.2.3 中优先级版本，面向所有主网用户推荐更新，其中质押用户 Beacon Node 更新优先级为 Medium、Validator Client 为 Low。本次公开了此前修补的三项安全漏洞，均来自 quinn-udp 与 quinn-proto。已知问题方面，Data column backfill 可能导致 OOM，在 Gnosis 链上尤为明显，该问题在 v8.3.0-rc.0 中已修复并将包含在 v8.3.0 中；官方不建议在 v8.2.x 上不必要地重新同步，因该问题影响 Lighthouse 此前所有版本。运行 Sepolia 节点的用户需改用 v8.3.0-rc.0。

CFTC 宣布美国佛罗里达中区联邦地区法院对 Fundsz 数字资产与贵金属欺诈案被告 Brian Early 和 Alisha Ann Kingrey 作出缺席判决，责令其支付 15,732,455 美元赔偿金和 15,752,455 美元民事罚款，并永久禁止其违反《商品交易法》及实施注册与交易禁令。

OFAC 公告对多名与 TREN DE ARAGUA 关联的个人及实体实施制裁，并移除涉及白俄罗斯、禁毒和利比亚的部分指定。

OpenZeppelin 与 T-REX Network 将 ONCHAINID 更新至 V3，在保留已验证声明注册表的基础上加入模块化智能账户能力，使单一身份可持有资产、执行交易并管理恢复。

OpenZeppelin Security 公布了对 Uniswap/token-launcher 仓库（commit 9eff2a7）的审计报告，审计时间为 2025-08-26 至 2025-09-05，共发现 28 项问题，其中 25 项已修复，包括 1 项严重、2 项高危和 7 项中危问题。

OpenZeppelin 完成对 ONCHAINID 的 Solidity 代码审计，周期为 2026 年 7 月 27 日至 8 月 7 日。共发现 39 项问题，其中 36 项已解决，包括 1 项严重和 2 项高危问题均已修复。

Trail of Bits 发文分析在 MPC（多方计算）部署中使用 TEE（可信执行环境）的安全边界，指出 TEE 只能作为纵深防御层而非可靠协议的替代。

Alessandro Chiesa、Ziyi Guan、William Wang、Yuetian Wu 在 IACR ePrint 发布预印本，解决 succinct arguments 中回溯（rewinding）安全性分析的两个空白。作者证明负面结果：依赖黑盒提取器的严格多项式时间归约无法达到可忽略的知识误差，严格时间损失是固有的；正面给出新的期望时间分析，在 Kilian 提出的 commit-and-open 范式完全一般性下，包括多轮及多项式和线性 IOP 编译等变体，达到可忽略的可靠性与知识误差，并称这是首个在标准模型中覆盖实践部署 succinct arguments 的此类分析。该文为预印本，未经同行评审。

Ahmet Kurt 在 Delving Bitcoin 发布 PQLN 提案，旨在将闪电网络的链下协议升级为抗量子安全，并已发表论文、提供基于 rust-lightning 的实现供测试。

OpenZeppelin 宣布将其智能合约库与安全开发套件扩展至 TRON 网络，包含经审计的 tron-contracts 与 tron-contracts-upgradeable 合约库、tronbox-upgrades 等三套升级插件、面向 TRON 的 Contracts Wizard 代码生成器，以及支持 AI 辅助开发的 MCP server。

慢雾解读 FATF 于 2026 年 9 月发布的《Risks of Gaming and Gambling》报告，指出博彩与在线游戏平台正成为更广泛价值转移生态的一部分，虚拟资产被明确列为支付方式之一，相关风险可能延伸至交易所和 VASP。

Helius 详解 Solana Agave 4.3 版本周期的核心变化：引入 Alpenglow 新共识机制，用 Votor 替代 TowerBFT，目标将最终确认时间从约 12.8 秒压缩至约 150 毫秒。

Trail of Bits 分享其审计 Miden VM 的实践：在代码审查开始前，用六个月让智能体从零构建 LSP 服务器、反编译器、静态分析引擎和 Lean 模型。

美国财政部OFAC于今日制裁伊朗数字资产交易所BitBank及其开发者Pishtaz Simorgh Electronic Trade Company，以及Babak Zanjani的三名关联人Hossein Ali Zaker Hossein。

Sui 提出"安全应随价值而动"的链上安全理念，主张安全评估需在部署后持续跟踪代码与机制的每次变化，并于 2025 年夏季 DeFi 事件后设立 1000 万美元生态安全基金，补贴审计、形式化验证、赏金与共享监控工具。

OpenZeppelin 对 TRON Foundation Library 和可升级合约完成审计，时间跨度为 2026-07-02 至 2026-07-22，使用 Solidity。共发现 11 个问题，全部已解决，其中高危 2 个、中危 1 个、低危 3 个，另有 5 条备注也已解决，未收到客户报告问题。

S&P Global（NYSE: SPGI）于 9 月 17 日宣布已签署协议收购链上安全公司 OpenZeppelin。OpenZeppelin 自 2015 年起提供安全标准，其 Contracts 累计转移价值 37 万亿美元，完成 900 多项安全服务，在上线前发现 10,000 多个漏洞。

OpenZeppelin 研究与审计文章指出，若密码学相关量子计算机（CRQC）出现，代币化金融的首个机构危机不是哈希函数失效，而是暴露的古典公钥——钱包、托管系统、跨链桥、验证者、治理执行器和智能合约管理员角色背后的公钥——可能变成负债。文章认为量子风险不应被当作遥远的标准机构问题。

Bitcoin Optech Newsletter #422 介绍了 Adam Gibson 在 Delving Bitcoin 发布的 Babilonia 提案。

Eigen Labs 在 arXiv 发布 ECDSA.fail 预印本，介绍其发起的开放众包项目在约两个月内由 100 多名参与者及其 AI 代理共同产出 secp256k1 点加电路。

a16z crypto 发布开源 zkVM 新版本 Lattice Jolt，将底层密码学从椭圆曲线换成基于 Module-SIS 假设的多项式承诺方案 Akita，实现后量子安全、证明者与验证者提速 2-3 倍，证明体积低于 100 KB。

美国财政部外国资产控制办公室（OFAC）于近日修订了编号 5、13、51、58、59、74、75、76、77、78 的多项常见问题（FAQ），并发布两条与许可证相关的新 FAQ（1269 和 1270），作为其持续审查已发布指南、确保信息时效的一部分。