#安全

Bitcoin Core 开发者 Cory Fields 周三在 bitcoin-dev 邮件论坛提出量子地雷构想，针对公钥已暴露在链上的早期老钱包：攻击者偷 1 枚 BTC 须先从后量子安全钱包押 1 枚 BTC 作担保，锁定约 30 天等待期，原持有人期间出示所有权证明可取回币并没收担保作罚金。该方案只对仍握私钥者有效，Fields 强调这只是思想实验，执行机制尚未定论。

Chainalysis 在官方博客披露，全体用户的姓名、用户名、密码哈希及有效登录令牌暴露给攻击者，公司于本月2日得知暴露情况。此前10月30日初报称仅泄露用户ID、姓名、邮箱等非敏感客户数据，4日修正了影响范围，并表示未发现调查数据访问或归属数据被篡改的证据。公司已停止 Reactor、Data Solutions、KYT 及地址筛查产品，并计划于美东时间5日起恢复 KYT，要求客户登记许可IP、重设密码并更新API密钥。

Gate 宣布推出资金安全证明 Proof of Security (PoSEC)，称其为行业首家推出该体系的数字资产交易平台。PoSEC 聚焦资金存储安全，以冷存储覆盖率为核心指标，与验证储备充足性的储备金证明 (PoR) 互补。Gate 称，截至 2026 年 11 月 4 日 08:00 (UTC+8) 快照，其冷存储覆盖率达 104.58%，冷存储与热钱包资产占比分别为 88.26% 和 11.74%；本期数据正由独立第三方审计机构核验，审计报告完成后将在官网公布。

币安发布安全事件恢复进展更新#9，宣布将于北京时间11月6日12:00起陆续开放一批资产的提现服务，涵盖BSC、Base、以太坊、Optimism、Polygon、Arbitrum等网络，包括USDE、PENDLE、ZRO、XRP、CAKE等。币安称提现将在完成安全检查后分批逐步恢复，并非所有资产同时开放，充值业务保持正常；恢复顺序优先根据过去一周的用户需求安排，其他资产将在具备条件后陆续加入，期间部分用户可能遇到暂时性延迟。

据红星新闻报道，清华毕业生施某某在英国伦敦大学学院（UCL）留学期间遭遇电诈，持续近45天，最终被诱导购买数字币并转入指定账户，其家人也被骗转钱。施某某称，刚抵英时他接到显示为“大使馆”的诈骗电话，遭“网警”三小时信息轰炸，后被所谓“国际刑警”误导为协助调查洗钱案，遭受24小时视频监控和精神洗醒。回国后他发现失联期间骗子用其信用卡购买了机票，并提醒公众警惕骗子利用时间差和信息差设套。

据新加坡《联合早报》报道，针对币安约 63 亿美元资产被盗事件，新加坡金融管理局重申，一般民众不适合从事加密货币交易，不应与不受监管的公司交易。金管局指出，币安未获准在新加坡提供受监管的金融服务，2021 年 9 月已被列入投资者警惕名单；其本地平台 Binance.sg 虽于 2022 年停运，但无法阻止新加坡投资者使用 Binance.com。金管局发言人称，即使持牌服务商须设立严格管控机制，监管也无法完全防止消费者因加密货币本质上的高风险而亏损。

据新加坡《联合早报》报道，针对币安约63亿美元资产被盗事件，新加坡金融管理局表示，一般民众不适合从事加密货币交易，不应与不受监管的公司交易。金管局指出，币安并未获准在新加坡提供受监管的金融服务，2021年9月已被列入投资者警惕名单，本地平台Binance.sg虽于2022年停运，但无法阻止新加坡投资者使用Binance.com。发言人还表示，持牌数字付款代币服务商须设立严格管控机制管理技术与网络风险并保障客户资产，但即便持牌，监管措施也无法完全防止消费者因加密货币本质上的高风险而承担亏损。

据多位安全研究员及加密行业KOL披露，针对iOS 18的漏洞利用工具包DarkSword正威胁加密用户资产安全，攻击者通过受感染网站利用Safari触发漏洞，无需连接钱包或签名授权即可窃取密码、文件及钱包私钥、助记词。安全研究人员统计称已发现至少18个恶意网站，涉及20多个受影响钱包，累计损失约557万美元。币安创始人CZ提醒用户及时更新iOS系统，称钱包软件无法代替用户更新操作系统，自我托管需自行承担安全责任。

据多位安全研究员和KOL警告，iOS漏洞利用工具包DarkSword利用iOS 18底层缺陷，用户通过Safari打开受感染网站后恶意代码即可在后台运行，无需连接钱包或签名授权，可窃取密码、文件及加密钱包私钥和助记词。目前已发现至少18个恶意网站，受害者损失达557万美元，涉及20多个钱包。赵长鹏提醒用户及时更新iOS系统，称自我托管意味着自我负责。

MetaMask 于11月5日在官网公布9月安全事件后续：攻击者经存放收款地址的基础设施非法访问，临时改写以太坊质押奖励的收款地址，约0.385 ETH（执行层奖励）流出，当日发现并处理。公司称本金与出金钥匙未被侵害的迹象，钱包用户无需行动。受影响验证者已全部退出，Lido 上退出已于10月7日前完成的预期下，部分客户因预防性退出出现临时出金延迟，退出 ETH 回到协议最长约需45天。

PANews 11月6日消息，Bitcoin Core开发者Cory Fields提出量子地雷设想：量子攻击者须先抵押等量比特币作为担保，原持有者可事先设置隐藏所有权证明，在约30天锁定期内收回比特币并没收抵押品，攻击者动用资金前无法知道哪些持仓埋有地雷。该方案仅适用于仍持有私钥的所有者，不适用于已丢失的比特币。对不活跃钱包，Fields还设想拍卖系统，竞争者提前质押隐藏出价，遭攻击时最高出价者的智能合约自动销毁被窃目标币并将没收的抵押品转为赏金。Fields称这些均为思想实验，假设比特币已具备抗量子钱包，相关执行规则尚未编写。

币安称已移除所有与SignalPlus关联的API密钥，其自身系统未受影响、用户资金安全无虞，并建议曾使用SignalPlus的用户登录核对持仓与未成交订单，在SignalPlus确认问题彻底解决前暂勿重新绑定API密钥。Loopscale称过去一周遭持续攻击、API每天收到超3万次恶意请求，已暂停协议活动，针对SOL和USDC的Genesis Vault受影响金库已完成资金补足，用户存款无损失。Zilliqa宣布将转型为面向受监管机构的以太坊Layer 2，ZIL代币继续保留。

ChainCatcher 援引比特币核心开发者 Fields 的设想：原持有人可在量子攻击成为现实前，创建包含隐藏所有权证明的量子安全地雷。窃取 1 枚 BTC 的攻击者需从量子安全钱包额外提供 1 枚 BTC 作抵押，两笔资金锁定约 30 天等待期；若窃贼试图转走脆弱币，持有人可在等待期内披露证明取回 BTC，并没收窃贼的抵押品作为惩罚。窃贼投入资金前无法判断哪些地址设有陷阱。

据 CoinDesk 报道，比特币核心开发者、MIT 数字货币倡议组织成员 Cory Fields 于周三在 bitcoin-dev 邮件列表提出“量子地雷”构想。按其设想，窃取 1 枚 BTC 的攻击者需额外质押 1 枚 BTC 作抵押，两笔资金锁定约 30 天；原持有人可事先创建含隐藏所有权证明的地雷，在等待期内披露证明取回 BTC 并获得窃贼抵押品。足够强大的量子计算机可能从公钥推算私钥，部分早期交易已暴露公钥，业内对是否冻结易受攻击比特币仍有争议。

美国财政部外国资产控制办公室（OFAC）11月5日宣布，制裁支持柬埔寨太子集团跨国犯罪商业网络的4名个人（Qiu Yong、Zhao Mengyao、He Yujing、Visal Pang）和41个实体，另制裁一名管理非洲诈骗网络的马来西亚人。财政部称太子集团关联行为者通过数字资产投资骗局、杀猪盘等获取数十亿美元非法收益，此次制裁针对其在香港、英属维尔京群岛和柬埔寨等地的离岸公司、代名董事及企业服务商。

一位 Bitcoin 开发者提议设置“地雷”机制，任何试图转移易受量子攻击的比特币的人都必须质押等额抵押品，使已做好准备的所有者有机会同时取走对方的抵押品。

据深潮 TechFlow 报道，Zcash 将在区块高度 3,543,405 激活 NU 7 升级，出块时间从 75 秒缩短至 25 秒，并停用 v4 交易格式——这是资金从初代隐私池 Sprout 转出的唯一通道，升级后全节点将拒绝该类转账。链上统计显示池内仍沉淀约 12226 枚 ZEC（约 1600 万美元），过去一周约 10037 枚已迁出。开发者社区通过的 ZIP 2003 提案为远期恢复赎回预留接口，但规范文本警告其仅具理论可行性，滞留资产大概率无法提取。

Odaily星球日报11月6日汇总：美股周四大幅抛售，据MSX.CON数据纳斯达克盘中一度跌5.35%，福布斯排行榜显示马斯克单日身价减少912亿美元；民主党在中期选举获胜后，Sharplink CEO Joseph Chalom预计CLARITY法案可能搁置至2028年，TD Cowen分析师Jaret Seiberg认为未来两年难有进展；美联储与OCC正排查币安63亿美元黑客事件后美国银行系统的安全风险，目前尚无证据表明美国银行系统受影响。

PANews 11月6日消息，Floki 在 X 平台称正在调查当日发生的一起漏洞利用事件，相关机器人服务已下线，团队正采取措施保护剩余用户资金并确认受影响用户，之后将把受影响用户迁移至新的安全钱包并转移剩余资金。Floki 提醒用户在另行通知前勿向机器人钱包存入资金，已导出私钥且钱包内仍有资金的用户应立即转移至自己完全掌控的钱包，并强调团队绝不会私信索要助记词或私钥，请无视声称可提供退款或恢复服务的人。

据安全机构 Blockaid 披露，以太坊执行客户端 Reth 及其衍生客户端 op-reth 存在状态根计算错误，影响包括多条 OP Stack 链在内的部分 EVM 区块链，未修复节点可能同步停滞或返回错误的状态证明（eth_getProof）。该问题属客户端正确性缺陷，并非已知攻击事件，目前未发现资金损失。修复代码已于 11 月 3 日合并，版本包括 reth v2.10.0、op-reth v2.8.1 和 Base node-reth v1.5.3。LayerZero 已暂停部分受影响链的链下基础设施，相关跨链消息会延迟但不会丢失，部分协议也暂停存款或跨链路由。Blockaid 建议节点运营商及 RPC 服务商尽快升级。

MicroStrategy董事长Michael Saylor在OranjeBTC峰会上警告，币安黑客事件后，加密行业的新威胁是利用AI的黑客，而非比特币本身的缺陷。他表示最先进的AI模型让攻击者能力大幅提升，真正的威胁是针对未充分测试、匆忙上线的新软件发起攻击，并敦促交易所、银行和托管机构每天用前沿AI模型扫描自身系统。Saylor还指出，以太坊、Solana或Cardano上的每个新功能都为攻击者提供了新的入口。

两名英国散户在币安遭黑客攻击后自述对交易平台失去信心并计划离场：33岁的 Max Daniels 投入5000英镑买入XRP，持仓已不足3000英镑，打算等币价回暖就全部卖出；35岁的 Tom Stanley 投入约2万英镑配置比特币、以太坊、狗狗币，已开始把部分资产分散到多家交易平台。币安称被盗的63.4亿美元中已有28.5亿美元被冻结、拦截，美国联邦调查局将攻击归咎于朝鲜黑客组织；Coinbase 回应称用户资产所有权始终属于用户，绝大多数资产存储在离线冷钱包。

Gary King、徐轶青、Leo Yang 在 arXiv 预印本中提出复现证书方案，用密码学签名记录存档文件和运行日志。作者存入数据代码后，存档方根据文件哈希和某个区块链区块计算随机种子，作者重跑一次分析，存档方签名、在区块链中打时间戳并存储记录，无需重跑任何分析，机密数据也可包含在内。期刊只需在网站查看证书，任何人可在数秒内验证或在多年后重放任一步骤，包括存档方在内无人可倒填日期，伪造则面临被发现的风险。

Rekt 复盘 Binance 热钱包失窃事件。Elliptic 估计损失 64.3 亿美元，TRM Labs 称大部分在约二十分钟内被转走，FBI 归因于朝鲜 TraderTraitor 组织。Binance 11 月 3 日报告称攻击路径为假招聘面试植入恶意代码、利用内部 AI 工具扩展权限、再用窃取的凭证部署容器并访问内部钱包签名服务，在 Ethereum 上通过一笔含 50 个 EIP-7702 授权的交易把 Binance 14 委托给清扫器合约，持续约 3 小时 49 分钟。BTC、XRP、SOL、OP 走的是签名服务通道而非 EIP-7702。约 28.5 亿美元被冻结或拦截，Binance 称截至 10 月 31 日已补充 98% 受影响代币资产；Elliptic 11 月 5 日更新称约 33.5 亿美元仍在涉案地址。文章指出 Binance 尚未解释签名服务为何接受攻击者请求。

imToken 撰文指出，评估 ETH 质押应先看提款密钥归属与协议依赖度，而非只比较 APY。文章对比了完全托管、流动性质押（Lido 等 LST）、非托管原生质押与独立质押四类方案的安全边界，并介绍其非托管 ETH 质押提供复利型（单台有效质押上限最高 2048 ETH）与自动提领型（维持 32 ETH）两种验证节点模式。

Ethereal News 第46期周报汇总以太坊生态动态。Justin Drake 与 Kev 在 Devcon 8 介绍后量子与后 AI 过渡计划，目标在 2028 年 12 月的 J* 升级前完成，并更新了 L1 路线图草案。开发工具方面，Paradigm 发布 Solar v0.3 编译器，Nomic Foundation 发布 Slang alpha，两者均可更快编译但尚不可用于生产。安全方面，周报援引初步调查称 Binance 约 63 亿美元安全事件源于被篡改的 Homebrew 安装、求职作业仓库恶意软件及内部 AI 工具被用作跳板，美国 FBI 指认朝鲜 TraderTraitor 组织负责。其他内容包括 Kairos Research 统计上市公司持有 6.6% 的 ETH、Amundi 在主网发行代币化股票指数基金份额、Base Denim 升级实现原生 200 毫秒出块、Aztec Tierra alpha 上线，以及新泽西证券局撤销对 Coinbase 质押业务的停止令。

LlamaRisk CEO Adam Sadowski 在 11 月 4 日录制的 Uneasy Money 节目中表示，正在为 Aave 构建风险预言机方案，限制一定时间段内的借款能力，但未给出时间表或限额大小等细节。此举背景是与币安热钱包被盗相关的地址在 10 月 29 日的约三分钟内，用 6000 万 USDT 作抵押借出 19,762 WETH，当时价值约 4460 万美元。该仓位 11 月 5 日仍欠约 9,885 WETH，健康因子约 1.24；一名清算人 11 月 4 日偿还约 9,884 WETH 并取走约 2438 万 USDT，Sadowski 称仓位已开始进入清算。Aave 守护者在借款发生约 40 分钟后冻结市场，Ethereum Core 市场此后重开，但存入的 USDT 和 USDC 因贷款价值比为零仍不产生新借款额度。

Base 发布状态公告称，其底层执行客户端 Reth 的状态根漏洞未影响用户，并已重算状态根确认无误。Reth 维护者在 v2.10.0 中修复并将升级评为高优先级，Base 发布节点版本 v1.5.3，称可消除验证者因无效状态根停摆的风险且无需重新同步。Blockaid 表示这是计算缺陷而非攻击，尚无已知资金损失。

Strategy 董事长 Michael Saylor 在圣保罗 OranjeBTC 峰会上表示，利用 AI 的黑客可能瞄准未经充分测试、保护不足且仓促上线的软件，而比特币本身稳健。他建议交易所、银行和托管机构每天使用前沿 AI 模型检测自身系统，并称 Ethereum、Solana 或 Cardano 上的每项新功能都可能为攻击者提供新的入口。

据 The Defiant 报道，前 FBI 探员 Patrick Steven Yaroch 于 11 月 5 日对电信欺诈和洗钱罪认罪。检方称，他利用 FBI 调查中收集的钱包凭证、通过与 35 项调查有关的凭证进行约 100 笔欺诈转账，盗取约 247 万美元加密货币，受影响钱包包括调查对象及 FBI 为行动创建的钱包等。Yaroch 定于 2027 年 3 月 4 日接受量刑，面临最高 20 年监禁。

区块链分析公司BitQuery数据显示，巴西大型加密货币交易所Mercado Bitcoin于2日宣布已

据 Decrypt 报道，链上分析机构 Bitquery 称，巴西交易所 Mercado Bitcoin 宣布遏制安全事件后，攻击者仍在近 4 小时内清空其相关客户充值地址。Bitquery 发现 11 月 2 日共 36,042 个以太坊充值地址被清空，约涉 26.6 万美元，并追踪到约 4860 万美元资产跨 11 条区块链被盗。Mercado Bitcoin 最新估计受影响资产约 3630 万美元，Bitquery 推测攻击者可能掌握私钥或能代表地址签署交易的系统。

区块链分析公司 Chainalysis 披露，黑客获取了平台全部用户的密码哈希和有效认证令牌，较其 10 月 30 日首次披露的仅基本客户信息被访问大幅升级。公司已将 KYT 交易监测、地址筛查、Reactor 调查平台、Data Solutions 和 Chain (Beta) 等服务下线，并直接通知 KYT 账户疑似被未授权访问的客户。恢复计划包括强制重置密码、轮换 API 密钥和 IP 白名单。公司称未发现机密调查数据被访问或链上归因数据被篡改，并强调该事件与上周 Binance 约 63 亿美元被盗无关。攻击者据其描述使用了 AI 辅助的攻击手段，调查仍在进行中。

据 The Defiant 报道，以太坊经济区（EEZ）在孟买 Devcon 推出 Rollup X 开发网，展示 Rollup 与以太坊主网合约在单笔交易内相互调用。演示中用户在 Rollup X 签署订单，由 CoW Swap 求解器使用以太坊主网流动性完成兑换，代币在同一笔交易中返回 Rollup X；另两项演示涉及 Safe 账户权限与支出限额，以及经 Rollup 验证抗量子签名后授权主网转账。项目方称 Rollup X 当前通过指定签名者认证重新执行的交易批次，而非零知识有效性证明，开发网运行于以太坊主网，尚不适合存放大量资产，核心协议正在接受独立安全审计。

Binance 和 Deribit 周四表示，出于预防已撤销与加密衍生品交易平台 SignalPlus 相关的 API 密钥，两家交易所称自身系统未受影响。SignalPlus 称，攻击者通过第三方技术供应商联系人被入侵的 Telegram 账号，向其工程师发送伪造 Microsoft Teams 会议邀请并控制其电脑，周三利用其权限入侵内网；公司已检测并遏制入侵，损失低于 8.2 万美元并开始全额赔付受影响用户，服务暂停后预计数日内恢复。SignalPlus 承认此前未要求交易所 API 访问进行 IP 白名单限制，并将收紧访问要求。

据路透援引知情人士报道，约63亿美元Binance被盗后，美联储和OCC官员周一起联系银行询问异常活动或服务中断情况。CertiK的Stefan Muehlbauer称此举不代表监管退出；Binance发言人称已向银行伙伴分享事件报告，未发现影响它们的漏洞。Binance报告称10月29日攻击影响约63.4亿美元资产，其中28.5亿美元已冻结或拦截。

据 Blockaid 11 月 6 日披露，Reth 执行客户端及基于其构建的 op-reth 等客户端存在漏洞，可能导致部分区块的节点计算出错误的状态根。Blockaid 表示这是一项正确性漏洞，并非遭到攻击，目前没有已知资金损失。另据深潮此前报道，Gauntlet 已针对部分 OP Stack 链报告的 op-reth 漏洞限制 V1 金库存款并暂停资产配置。

据 The Defiant 报道，11 月 6 日风险管理机构 Gauntlet 针对部分 OP Stack 链报告的 op-reth 漏洞，关闭其 V1 金库的供应队列、暂停资产配置，并减少对 LayerZero 桥接资产的敞口。Gauntlet 表示据其所知尚无漏洞被利用的报告。清空供应队列将阻止新的金库存款，但不关闭提款或底层借贷市场，提款仍取决于底层市场的可用流动性。相关措施将持续至问题解决，未给出恢复日期。

据 The Defiant 报道，Floki 已下线其 Telegram 交易机器人，正在调查发现的漏洞并确认受影响用户，计划将其迁移至新钱包并转移剩余资金。Floki 提醒用户停止向机器人钱包存款，已导出私钥且钱包内仍有资金的用户应将资金转入仅由自己控制的钱包，并警惕主动私信提供退款或资产找回服务的人员。

据 The Defiant 报道，SoFi 于 11 月 6 日表示，其加密服务商出现技术问题，导致用户与外部钱包和交易所之间的加密资产存取延迟或处于待处理状态。SoFi 称，转入的加密资产已到账并等待审核，转出的资产将在审核后处理；公司表示用户资金安全，无需采取额外操作，交易将在服务恢复后尽快处理。