#教程/实践

Zerion API 的 token positions 端点可通过一次请求返回任意 EVM 或 Solana 地址直接持有的代币余额、价格与图标，无需逐链查询或单独拉取元数据。响应默认按持仓价值从高到低排序，以 USD 计价并过滤垃圾代币，EVM 与 Solana 地址使用同一路径和响应结构。该指南还说明可用 filter[chain_ids]、filter[fungible_ids] 和 currency 参数按需筛选，DeFi 协议持仓需另用 DeFi positions 指南，Solana DeFi 持仓尚不支持。

FinTax 撰文梳理欧盟 DAC8 与 CARF 客户交易信息报告的数据处理流程。文章指出，链上流水需与客户资料、平台内成交及账户记录关联才能申报，涉及数据接入、主体关联、交易分类、估值、核验和报表生成六个环节。以英国 HMRC 指引为例，币币交易需分别反映处置和取得资产的公允市场价值，覆盖 2026 年的首份报告应在 2027 年 5 月 31 日前提交，采用 XML 格式并遵循 OECD Schema 和 HMRC 文件要求。

作者对能找到的 646 张加密卡逐一核查，数据截至 2026 年 11 月 8 日，仅 109 张有足够数据可评分，其中 S 级只有 ether.fi Cash（78.5 分）、Solid Card（78.0 分）、Ethena Pay（77.8 分）和 Jupiter Card（73.0 分）4 张。256 张适合普通人的活跃卡之外，91 张高风险，多为免 KYC、经 Telegram 机器人售卖或发行方不透明。文中指出高返现大多附带条件，如以自家代币支付、需锁仓或高资产门槛；发行方高度集中，Rain 和 Third National 背后 67 张卡，共享服务商出事会波及多张卡，如 2026 年 8 月 Rain 在 Solana 上的合约漏洞同日影响 Avici、Tria 等项目，Blockaid 估计合计约 110 万美元。

0xJaehaerys 撰文、白话区块链编译的文章介绍以太坊经济区（EEZ）设计，让 Rollup 在一笔交易内同步使用以太坊主网及其他 EEZ 链的流动性与合约。EEZ 由以太坊合约和连接规则组成，依托实时证明、组合器和代理三个组件，要求加入的链在一个 slot 内完成状态证明并跟随以太坊重组回滚。文中称其可免去新链流动性冷启动，并提及测试 Rollup RollupX 上的实例；局限是链须在快速出块、同步调用与去中心化排序器间三选二，且组合器和构建者优先获得跨链 MEV。

这篇解读介绍支付型 zk-rollup 原型 Tacit Chain 的设计思路，主旨是用默认隐私重做加密支付。文章先比较侧链、状态通道、Optimistic rollup 与 zk-rollup 的取舍：Optimistic rollup 退出常需约一周挑战期，zk-rollup 提交前先验证有效性证明，无需等待争议。Tacit Chain 由持有 1000 TAC 席位的轮值者排序并提交至以太坊合约 TacitBlocks.sol，费用与证明奖励均以 TAC 计价；用户可即时退到 ERC20 形式 TAC，强制退出经 force() 排队，拖延超 1 小时触发 QueueOverdue() 回滚。支付备注用 ML-KEM 封装以抗未来量子解密，作者称其满足 L2 第二阶段标准，核心合约不可变、无升级路径，买咖啡场景商家即时收款、约 1 分钟后以太坊最终确认。

肖飒律师团队撰文分析离婚诉讼中加密货币的定性、查明与执行，以英伟达 CEO 黄仁勋婚外情风波引出。文章指出监管禁交易不等于否定财产属性，内地司法实践已认可加密货币属夫妻共同财产，非持有方可借助外围证据和财产申报义务施压，持有方拒不申报可被少分或不分。上海市高级人民法院近日发布网络虚拟财产执行工作指引（试行），明确虚拟货币属可执行财产，法院可在 7 日内（紧急 3 日内）反馈调查结果。文中还援引 Triple-A 基于 Chainalysis 数据对中国持有人数的估算。

FATF 于 2026 年 11 月 5 日发布打击诈骗园区端到端非法资金流动报告，SlowMist 对其进行翻译和解读。报告将诈骗园区视为犯罪网络中的运营节点，估计相关损失每年达数百亿美元，并用七个阶段描述资金从收款、分层转移到变现、再投资的链条，指出现金和地下钱庄仍是常见通道，虚拟资产只是渠道之一。报告中泰国案例显示资金可在 3 至 5 分钟内流出金融体系，而受害人平均约 20 小时才意识到被骗；配套文件提出六项应对原则，并指上游打击的长期效果仍需更多评估。

澳大利亚2027年7月1日起取消50%资本利得税折扣，按个税全额征税，收益超19万澳元部分税率47%，低收入者最低30%，仅保留通胀指数化抵扣。Foresight News编译的文章列出七种应对方案：寄望税改前牛市、支持承诺废除税改的政党、转入自助管理养老基金SMSF、比特币质押借贷（多平台未获税务裁定）、移居零资本利得税国家但面临离境税、设立公司按25%企业税率交易、或继续持有。文中业内人士提示清算、流动性锁定等风险。

11 月 9 日，由 Kinetiq 构建的 Hyperliquid 生态 Layer2 网络 Elysium 按计划上线主网。该网络采用 Arbitrum Orbit 技术栈、由 Conduit 提供基础设施，公布 100 毫秒出块、约 300 毫秒用户感知回执、300 Mgas/s 执行吞吐目标，手续费使用按 1∶1 从 HyperEVM 跨链的 HYPE。据 DefiLlama，截至 11 月 9 日 Kinetiq 在 Hyperliquid L1 流动性质押协议中排名第一，TVL 接近 8 亿美元。官方称排序器费用 25% 分给开发者、50% 用于回购销毁 KNTQ、25% 进 Kinetiq 金库。上线初期为单一排序器、许可制验证，AnyTrust 数据可用性由 Conduit 单服务器运营，标准 Optimistic 提款约需 5.5 天挑战期；Elysium 并非 Hyperliquid Labs 或 Hyper Foundation 的官方 Layer 2。

Zerion 发布教程，介绍如何把 HYPE 等资产跨链转入 Kinetic 推出的 Hyperliquid L2 网络 Elysium。Elysium 以 HYPE 支付 gas，HYPE 可从 HyperEVM 按 1:1 比例转入并直接用作手续费；HyperCore 上的 HYPE 需先转至 HyperEVM 地址。Zerion 的 Bridge 可比较各提供商路线，支持在一笔交易中兑换任意代币并转入 Elysium，网页端与移动端均可操作；原生提现需等待挑战期，第三方路线可能更快但收费。Zerion API 称自 Elysium 上线首日起即支持其余额、价格、持仓、盈亏与交易历史查询。

Zerion 支持在 Elysium（Hyperliquid 的 L2，主网已于 11 月 9 日上线）上直接兑换代币，网页端与移动端均可操作。Elysium 以 HYPE 支付 gas，出块 100 毫秒，但早期流动性较浅、价格影响和滑点可能较高，且存在同名代币风险，需核对合约地址。Zerion 会跨链上 DEX 与聚合器比较路由，部分情况下可一步完成跨链兑换。

Axie Infinity 官方说明 Terrariums Hosted Plots 将于 11 月 12 日 07:00 UTC 上线。Land Owner 提供地块和 Lunium，Flamekeeper 带入 axie 并按邀请约定分得这些 axie 赚到的 bAXS，Flamekeeper 无需付费。分成取决于 tick 燃烧的 Lunium 类型：Local Lunium 时 Flamekeeper 保留 70% 至 100%，Global Lunium 时保留 20% 至 50%。每地块可同时运行一个公开邀请和一个私人邀请，各设条件；奖励按每小时的 tick 依 Atia's Flame 占比先分配，再套用邀请比例。地块最多容纳 30 只 axie，Flamekeeper 可随时退出，修改邀请比例仅适用于之后加入的玩家。

Corundum 撰文建议，币安安全事件后提币暂停及分阶段恢复期间，用户应先自行整理账户快照、资金进出记录和沟通材料，以备查账、沟通或请律师评估。文章建议保存账户编号、具体币种余额、充提币与交易记录的原始导出文件，并按时间串联银行流水、平台入账与链上交易哈希，注明网络。文中援引最高人民法院《关于民事诉讼证据的若干规定》第14、15、93条说明电子数据的证据要求，并以币安2026年5月7日版全球条款为例，提示核对服务实体、投诉与仲裁条款。

Zerion 发文介绍如何在 Hyperliquid L2 网络 Elysium 上构建应用。Elysium 由 Kinetiq 开发，是结算到 HyperEVM 的 EVM 兼容 Arbitrum Orbit 链，用 HYPE 作 gas，每 100 ms 出块，主网定于 2026 年 11 月 9 日上线。Zerion API 计划从上线首日起支持 Elysium，开发者可用 filter[chain_ids]=kinetiq-elysium 调用钱包端点获取代币持仓、PnL、交易历史和 NFT，且与 Ethereum、Solana、Base、Robinhood Chain、HyperEVM 等网络共用同一套端点；发交易和部署合约仍需自备 RPC。两家还合作提供 2 个月免费完整版 Zerion API 订阅。

Kinetiq（kHYPE 流动性质押团队）开发的 Elysium 是面向 Hyperliquid 生态的 EVM 兼容 Layer 2，主网定于 2026 年 11 月 9 日上线，Zerion 将从首日起支持。该链基于 Arbitrum Orbit 技术构建，以 HyperEVM 为父链结算而非以太坊主网，用原生 HYPE 作 gas，出块间隔 100 毫秒，目标每秒 3 亿 gas 吞吐，约为 HyperEVM 的两个数量级。上线时提供 AnyTrust 数据可用性、规范桥与镜像桥，约四周后计划通过 ArbOS 升级开放 HyperCore 订单簿读取和约 100 毫秒的快速下单通道。启动时为单一排序器、许可验证，提现需挑战期，无许可证明计划后续推出；手动手添加网络时需注意 ID 1338、1339 的同名链并非 Kinetiq 的 Elysium。

Tether 于 10 月 30 日公布 2026 年第三季度情况，公司公告称当季净经营利润 15 亿美元，前三季度合计 45 亿美元。截至 9 月 30 日，发行实体总资产约 1914.51 亿美元，总负债约 1834.96 亿美元，差额约 79.55 亿美元，约为总负债的 4.3%。文章解读储备结构，短期美国国债约 1228.40 亿美元、加权平均期限 90 天以内，另有贵金属约 190.85 亿美元、比特币约 83.67 亿美元、担保贷款约 141.75 亿美元。BDO 依据 ISAE 3000 修订版对报告日财务数字出具合理保证报告，利润数字则来自公司公告，两者覆盖范围不同。公开费用页列示直接赎回最低 10 万美元，费用为 1000 美元或金额的 0.1% 取较高者。

这篇编译文章梳理六种股票持有方式，核心差别是名字离过户代理登记册的距离。纸质证书和 DRS 让投资者成为登记股东但交易慢；DSPP 多数仍以名义持有人持有；券商代持下登记册写的是 Cede & Co.，2023 年 GameStop 约 75% 股份在 Cede & Co.名下；xStocks 等 46.4 亿美元的代币化股票市场多由包装代币构成，法律上是发行人承诺而非股份。IST 把登记册搬上链，是唯一让持有人成为登记股东的代币化形式，Forward Industries 链上股份从 2025 年 12 月底 980 万美元增至 2026 年 9 月底 5680 万美元；Securitize 的 CET 则是券商代持的链上版，转换后才能成为登记股东。

Keegan 回顾了他去年为一个去中心化隐私稳定币协议独立完成技术架构设计与白皮书撰写的实践，该项目最终未继续推进。他采用模块化分层架构，将系统划分为多抵押仓、稳定币引擎、隐私层、跨链层、SDK 与中继层五个层级，并基于 zk-Mixer 实现了集成到 Telegram Bot 的隐私转账 Demo，但多资产抵押、稳定币发行与跨链互通等功能尚未完成工程实现。

Zcash 第九次主网升级 NU7 预计于 UTC 时间 11 月 5 日至 6 日夜间激活，出块间隔从 75 秒缩短至 25 秒。Bankless 节目中 Zcash 联合创始人 Sean Bowe 与协议贡献者 Dev Ojha 介绍了把每秒约 60KB 吞吐量提升至每秒 5 万笔交易（100MB）的路线，包括 PIR 隐私检索钱包（已投入使用，用于近期一次持币人投票）、Tachyon 递归 SNARK 证明聚合与无状态链（开发中）、以及仍处于构想阶段的隐私 RPC 订阅服务。

Foresight News 刊发 SoSoValue Research 的科普文章，借 2025 年 2 月 Bybit 被盗约 50 万 ETH 的案例解读黑客洗钱路径。Bybit 案中约 50 万 ETH 在约 10 天内经 THORChain（约 72%）、eXch（约 16%）和 OKX Web3 钱包（约 8%）全部跨成原生 BTC；Bybit CEO 称两个月后 68.6% 仍可追踪，27.6% 消失，仅 3.8% 被冻结。换成 BTC 是因比特币链上没有可拦截的关卡且场外接受度高，之后经地下 OTC 币商对敲出金。就本次币安事件，文章称 Tether 和 Circle 已冻结约 24 亿美元稳定币，无法冻结的 ETH 约 19.5 万枚，并建议关注 THORChain 等跨链协议流量变化。

从 Polygon 孵化并独立的隐私项目 Miden 于 10 月 26 日开放邀请制伙伴主网，让合作方和受邀用户用真实资产检验其围绕隐私设计的区块链。Miden 将交易执行、STARK 证明生成与网络验证拆开，用户设备本地执行并生成证明；账户分公开与私有两类，私有账户状态留在链下，note 作为资产与指令载体，一次定向转账对应两笔交易。自托管钱包 Bread 支持 iOS、Android 和 Chrome，手续费用 Circle xReserve 发行的 USDCx 支付，另与 OpenZeppelin 合作推出 Guardian 恢复服务和私有多签。创始人 Bobbin Threadbare 披露，私有交易输入仍需验证者取得并核验，交易细节采用门限加密存档；当前兑换是公开的，出块者中心化、区块层证明尚不完整，团队计划几个月内转向公开主网。

文章梳理太子集团关联公司清算与资产追查的三条程序线：2026年1月9日BVI法院为30家公司委任三名联合临时清算人，6月11日美国纽约南区破产法院依《破产法》第15章承认该程序，10月28日清算人向财新表示未来若进入清算且有足够资金，受害者可能申报债权，目前尚未建立申报和分配流程。文章指出，美国民事没收诉状指向的约127,271枚比特币（司法部2025年10月公告时估值约150亿美元）与30家BVI公司清算财产须分开计算；BVI《破产法》第207条规定清算费用和法定优先债权先于普通债权人受偿，同顺位不足时按比例分配。作者建议受害者按日期保存转账回单、链上交易哈希、聊天记录等可核验材料，标注每项证据连接到哪家公司，并警惕以“内部名额”“提前锁定赔偿”为名的付费骗局，切勿交出私钥或恢复短语。

文章以一家加密支付平台为例，解析 GENIUS Act 出台后美国稳定币支付的合规分层：仅使用第三方稳定币做兑换、转移和跨境支付的项目，FinCEN MSB 登记及州级 Money Transmitter License 仍是合规基础；若自行发行符合 GENIUS Act 定义的支付型稳定币，则须满足 Permitted Payment Stablecoin Issuer 资格、至少 1:1 合格储备及赎回等要求，仅有 MSB 不够。文中梳理 2026 年 OCC、FinCEN、美联储等机构的实施规则草案仍处征求意见阶段，主要条款法定生效节点为 2027 年 1 月 18 日或最终规则发布后 120 天（以较早者为准）；另提示第 3 条对数字资产服务商自 2028 年 7 月 18 日起销售非合规发行稳定币的限制，建议项目按发行人、钱包运营、资金传输、技术服务等角色拆分业务并核验合作方牌照。

支付宝发推称不支持虚拟货币交易，指第三方平台宣称可通过其购买加密货币的说法虚假且未经授权，指向 P2P 法币通道项目 Peer 推出的人民币买卖 USDC 功能。Peer 称该功能已进入测试阶段，自 8 月 21 日以来 45 名买家完成 107 笔订单，交易金额约 7094 美元；其流程为卖家将 USDC 存入 Base 链上智能合约，买家通过支付宝转账人民币，系统核验付款信息后自动放币，验证早期采用零知识证明，后引入 TEE。文章指出，系统只核对付款是否发生及金额、收款信息是否符合订单，无法判断人民币上游资金来源，若资金涉诈，收款账户可能被限制或司法冻结，已放出的 USDC 难以追回；买家则需留意可能收到与盗骗洗钱关联的「黑 U」，Circle 可限制特定地址收发 USDC。此外，2026 年 2 月中国人民银行等八部门通知将法币与虚拟货币兑换列为非法金融活动，要求支付机构不得提供资金划转等服务。

Foresight News 社区作者 Nicky 撰文介绍链上数据可视化平台 Bubblemaps：其通过气泡图展示代币持仓分布与钱包关联，近期从 Kimchi 空投钱包追踪出关联钱包集群，估算其 TRUMP 相关利润约 600 万美元，远低于社区传言的约 4000 万美元，团队说明调查仅覆盖部分地址。BMT 代币于 2025 年 3 月 11 日上线，总供应量 10 亿枚，流通量约 7.56 亿枚；持有者可通过向 Intel Desk 案件分配 BMT 决定调查优先级与积分乘数，当前已锁定约 552 万枚 BMT。10 月 24 日 Upbit 上线 BMT 韩元交易对当日最大涨幅超 130% 至 0.052 美元，随后回落至约 0.026 美元。文章对比称 Bubblemaps 侧重可视化持仓聚类、基础功能免费，Arkham 侧重实体归因与机构级追踪，二者定位不同；并指出 Arkham 2024 年行情与 AI 叙事、业务扩张预期及名人机构投资相关，而 Bubblemaps 目前缺乏类似背书。

文章解释了加密支付公司已获监管牌照却仍被银行拒绝开户的原因：监管牌照审查的是企业是否具备经营资格，银行则需独立评估该客户及交易带来的反洗钱、制裁、欺诈等风险能否被自身体系管理。文中以稳定币结算为例，说明银行关注的是链上付款人和资金路径在账户体系之外时，企业能否证明资金来源、客户身份和商业目的；并引用 EBA 2024 年加密资产反洗钱风险因素指引和 FATF 虚拟资产风险指标作为依据。文章还区分了公司自有资金账户、经营性收付款账户和客户资金归集账户三类用途，指出账户用途不清比资金来源不清更易被忽略；同时提到 2025 年 3 月 FDIC 取消加密相关活动专项事前通知要求、同年 4 月 FDIC 与美联储撤回两份联合声明，但强调这不等于银行必须无条件开户。最后给出开户前应自查的六个问题、被拒后的处理顺序，以及可考虑与 PI、EMI 等持牌机构合作的路径。

Foresight News 编译 David Christopher 的文章，横向对比部署在 Robinhood Chain 的 Orbio 与部署在 Base 上的 Surplus Intelligence、Antseed 三个链上 AI 推理市场。Orbio 面向 AI 智能体，用 CREDIT 凭证（一枚代表 1 美元推理额度）让智能体买入销毁换取算力，折扣来自 ORBIO 交易手续费转化的 CREDIT 奖励，但链上数据显示绝大多数已发行的 CREDIT 额度至今未被使用。Surplus Intelligence 是算力聚合市场，服务商自主定价、支持信用卡或 USDC 支付，近期上线密钥脱敏功能，但 SURPLUS 代币不能支付推理费、不参与路由，代币治理权限调整计划尚未落地。Antseed 自称「AI 推理领域的 BitTorrent」，搭建开放算力发现网络，买卖双方可质押 ANTS 提升信誉，奖励来自国库而非手续费，代币尚未公开交易，推理需求增长与代币价值的正向关联尚未得到验证。

Tiger Research 发文分析欧洲 MiCA 对 EMT（法币挂钩稳定币）的监管框架，为尚未立法国家的银行梳理可提前执行的准备工作。文章提出三项前置决策：选择本体直接发行或设立 EMI 子公司、按第54条设计准备资产架构（EMI 发行须将客户资金至少 30% 分离存入其他银行账户，本体发行无此义务）、按第49条和第55条搭建赎回流程与恢复及清算计划。文中指出，欧盟已申报的 45 个 EMT 中仅 USDC 被 EBA 指定为重要 EMT；按第52条，白皮书内容不完整或误导导致持有人损失时，发行方及管理层须承担不可通过合同免除的法律责任。

慢雾安全人员在威胁情报排查中发现 Udesk 客服系统脚本被注入恶意代码，获得 udeskApi.2026-10-16.cached.js 和 deeps.js 两个样本并完成分析。恶意加载器经十六进制解码后异步加载 https://udeskqlobal.com/deeps.js；deeps.js 启动时读取 Cookie、localStorage、sessionStorage 并挂钩表单与登录认证请求，将数据发送至 https://udeskqlobal.com/c.php，XHR 失败时改用图片 GET 请求兜底，该数据收集不受三个站点配置限制。地址模块则按 mgbx[.]com、bikingex[.]、bitxex[.]io 三条主机名规则匹配充值页，每 200 毫秒将识别出的充值地址替换为配置值，并通过包装 Clipboard API、替换复制按钮、拦截 copy 事件三条路径篡改剪贴板内容，配置了 BTC、EVM、TRON、Solana、LTC、DOGE 六种地址。慢雾给出停止分发受影响脚本、吊销会话与轮换凭据、独立核验充值地址等处置建议，并公布相关域名、URL、钱包地址与文件 SHA256 作为 IOC。

Starbase Accelerator 整理 Coinbase 2026 年 10 月发布的《The Always-On Dollar》报告（底层研究由 Coinbase 委托 The Block 开展），分析稳定币对美元转移、结算与资金效率的改善。报告称截至 2026 年 7 月 31 日的过去 12 个月，经筛选的稳定币转账中 73% 发生在美国银行营业时间以外（该统计剔除低于 1 美元转账、自转账及铸造销毁，仍含自动化交易）；以 200 美元汇款为例，Base 网络转 USDC 成本约为 1%，较传统服务加权比较值低约 86%；10 万美元及以上转账中约 97.7% 一小时内到账，对照的全球批发跨境电汇约一半达到该速度。报告还援引 2022 年估算称全球预存资金约 5 万亿至 15 万亿美元，并测算 80% 国际交易转向稳定币结算的情景下年度净增益约 1550 亿美元 GDP。文章强调这些费用比较有特定适用条件，宏观收益属情景测算而非已实现结果，实际成本还取决于兑换渠道、出入金条件与流动性。

律师邵诗巍撰文从业务链条拆解 U 卡 /VCC 虚拟卡平台涉嫌非法经营罪的五个风险点：接受 USDT 充值后的兑换与支付结算、管理用户余额构成储值账户运营、服务中国大陆用户而境外牌照不能替代境内准入、绑定微信支付宝消费时持牌机构完成清算不等于平台无责、平台自行决定汇率赚价差构成换汇业务。文中指出，2021 年十部委通知和 2026 年 2 月 6 日八部门印发的《关于进一步防范和处置虚拟货币等相关风险的通知》（银发〔2026〕42 号）将虚拟货币相关业务活动定性为非法金融活动，但该行政定性不直接等同于非法经营罪；境外注册、持海外牌照或与持牌机构合作均不能当然排除刑事风险，具体仍需结合平台实际经营模式和证据判断。

法国电信运营商 Orange 10 月 21 日发生大范围移动网络故障，随后 Jack Dorsey 开发的 Bitchat 登上法国 App Store 社交类免费榜首位。该应用通过蓝牙网状网络在设备间接力传递消息，无需手机号、账号或互联网，支持加密私信与公共频道，Android 版还可用蓝牙传递 Cashu 电子现金凭证。安全研究人员曾发现其早期版本存在身份验证缺陷，Jack 也提醒软件尚未经过充分外部安全审查；蓝牙通信范围有限、耗电，且通信元数据仍可能被附近设备观察到。

文章以跨境稳定币收款结算为例，解释 MiCA 下的 CASP、PSD2 下的 PI 与 EMI 分别对应加密资产服务、支付服务和电子货币发行，指出项目无需集齐三张牌照，而应按业务功能拆解五个环节后确定主体分工。文中提到 2025 年 6 月 EBA 就 MiCA 与 PSD2 衔接发布 No-Action Letter，指出 CASP 代客户转移 EMT 或提供可向第三方收付的托管钱包可能同时构成支付服务；2026 年 3 月 2 日过渡期结束后，EBA 于 2026 年 2 月发布后续意见，对申请审理中的机构作出过渡安排。文章还提示 2026 年 10 月 8 日 ESMA 要求已获 MiCA 授权的 CASP 停止向欧盟客户提供涉及不合规 ART/EMT 的服务，因此币种合规性应先于牌照设计评估。

Foresight News 编译文章介绍了作者正在跟踪的五个 DeFi 项目：Mezzanine、INFINIT、IRIS、RISEx 和 Boros。Mezzanine 把单一资产或收益策略拆成优先、夹层、次级等层级，尚未上线，已通过 Sherlock 和 ChainSecurity 审计；INFINIT 的 APEX MultiStrategy 金库基于 50.61 万美元 USDC 存款，82 天上涨 7.18%，截至 10 月 20 日按 App 口径为 31.94% APR；IRIS 在 Morpho Blue 和 Aave V3 之上叠加固定利率、固定期限贷款，暂无公开 TVL 和代币；RISEx 是订单簿完全跑在 RISE 的 EVM 内的永续合约 DEX，跟踪 43 个市场、未平仓合约约 3900 万美元，RISE 已融资 800 万美元；Boros 于 10 月 15 日上线 ETH 和 BTC 资金费率价差市场，上线时空头报价约 25% 至 35% 固定 APR。文章提示项目多处于早期阶段、不确定性较高。

慢雾安全团队披露 GitHub 仓库 Hylance/sol-live 以 Solidity 面试练习为掩护，在 .vscode/settings.json 的终端启动配置中嵌入下载执行命令，命令前插入数百空格并用 files.exclude 隐藏 .vscode 目录。macOS 和 Linux 下用户需主动选用项目自带的 zsh/bash 配置才会触发；Windows 配置虽设为默认并隐藏窗口运行，但引号处理问题使其执行效果未获确认。获取的约 4 MB 远程载荷可启动三个后台进程，分别窃取浏览器登录库与钱包插件存储、扫描上传本地文件、提供远程控制与剪贴板监控，数据经明文 HTTP 上传至 172.86.112.107。慢雾同时指出浏览器密码解密函数直接返回空字符串，收集加密数据库不等于已获取明文密码或助记词；另发现八个存在类似配置的 GitHub 项目，IOC 已同步至 MistEye。

PHP 项目于 10 月 21 日发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个可导致未授权远程代码执行的漏洞，CVSS v4.0 评分均为 9.2，影响 PHP 5.4 至 8.5.11，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。慢雾指出，其威胁情报系统 MistEye 扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，约占 53.3%，但这仅说明使用了 PHP，不代表已被攻破；文章给出平台侧的清点升级、凭证轮换、隔离签名与热钱包私钥等处置步骤，并建议普通用户无需提币，重点是核对签名细节、警惕假冒登录与赔付页面。

Adam Gibson 在 Bitcoin-Dev 邮件列表发布 Lichen 论文与概念验证代码：单一发行方（hub）在由 sequencer 运行的 Layer 2 账本上按 1:1 铸造可兑换比特币的代币，每个用户与 hub 签订 2-of-2 合约，即使 hub 拒绝配合或离线也能取回比特币；退出时若 hub 不响应，用户可生成 Groth16 证明并借助预签名 BitVMX 交易把争议收敛到 Script 可校验的单步执行。João Dias 在 Delving Bitcoin 提出扩展 BIP379、为 miniscript 增加哈希原像私有形式的提案，目前尚待完善标记语法等开放问题。本期还汇总 Eclair 0.14.4/0.14.5 安全发布（修复 trampoline 转发与 taproot splicing 漏洞）、LND v0.21.5-beta.rc1 等发布候选，以及 LND #10919 的本地信誉系统实验等代码变更。

Zerion API 通过 /nft-positions 等端点，让开发者一次调用即可获取一个 0x 地址在所有支持链（如 Ethereum、Base、Zora、Robinhood Chain）上的全部 NFT 持仓，含媒体、藏品信息和基于地板价的估值，无需自行逐链扫描 Transfer 日志、解析元数据或过滤垃圾空投。Zerion API 默认排除垃圾 NFT 藏品，可用 filter[chain_ids] 限定单链或多链，另有 /nft-collections 按藏品分组、/nft-portfolio 给出总值及分链明细。

10 月 21 日至 22 日，PHP 与 Node.js 先后发布安全更新，云部署平台 Railway 披露客户环境变量可能遭未授权访问，AI 网关 LiteLLM 一个发布版本被植入恶意程序。PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个评分 9.2 的漏洞，受影响范围可追溯至 PHP 5.4；慢雾扫描的 1488 个加密行业相关域名中 793 个具有直接 PHP 指纹，但这仅是技术使用痕迹，不能据此认定存在漏洞或已被攻破。TokenWorks 称其 keeper 已离线并转出运行钱包中的 1.17 ETH，属预防性转移而非披露被盗；PeekPeak 已更换被视为泄露的执行者私钥。文章提醒用户核对链上授权记录，断开网站连接不会取消授权，撤销授权仍需链上交易和手续费；私钥或助记词泄露后应将剩余资产转入使用全新助记词的新钱包。

美国货币监理署（OCC）10 月 21 日公布《GENIUS Act》实施最终规则，将于 2027 年 1 月 18 日生效；截至 10 月 22 日 OCC 尚未开放申请，待 OMB 批准申请表。相比草案，最终版保留发行人付息禁令但删除第三方收益安排的「可反驳推定」，储备要求改为原则导向加 5% 即时可用资金底线，500 万美元最低资本延伸至持续经营阶段，并取消大额赎回自动延至七日的机制，改为 24 小时内通报 OCC 并另行申请延期。