#安全事件

深潮 TechFlow 消息，据链上分析师 PeckShield 监测，被标记为 X100 漏洞利用者的地址已向 Tornado Cash 存入 821.2 枚 ETH，价值约 189 万美元。X100（$X）于 10 月 24 日遭受闪电贷治理攻击，损失约 475 万美元，$X 代币价格在 24 小时内下跌 96%。

ChainCatcher 消息，漏洞赏金平台 Immunefi CEO Mitchell Amador 警告，PHP 漏洞印证了 AI 使发现漏洞成本降低而修复成本依然高昂的漏洞末日正按计划到来，建议用户未来几周避免重复使用密码、谨慎连接加密钱包并撤销无法识别的代币授权。Cloudflare CEO Matthew Prince 称漏洞公开披露后 24 小时内网络记录数百万次利用尝试；W3Techs 估计 PHP 支持约 69% 拥有已知服务器端编程语言的网站。

Keystone Hardware Wallet 声明其官网于 10 月 20 日遭攻击者利用第三方监控工具漏洞入侵，约 25,964 条含个人信息的购买记录、12,873 条未付款结账记录及设备 WebAuth 认证密钥被获取，助记词、私钥及支付信息未受影响。Keystone 将销毁库存中 18,835 台含旧密钥的设备，暂停官网发货并改为预售，同时提醒用户无需转移资产，并警惕以召回为名的诈骗。

Immunefi CEO Mitchell Amador 表示，PHP 关键漏洞印证了 AI 使漏洞发现变便宜、修复仍昂贵的“漏洞末日”，未来数周内用户应假定登录的网站可能已被攻破，避免重复使用密码、谨慎连接加密钱包并撤销不认识的代币授权。此前 PHP 基金会承认因资源不足推迟修复该 2024 年首次发现的漏洞，并于同日发布两个关键漏洞的紧急补丁，但各网站仍需自行升级。Cloudflare CEO Matthew Prince 称漏洞公开后 24 小时内出现数百万次利用尝试；W3Techs 估计 PHP 驱动约 69% 已知服务端编程语言的网站，FBI 网络部门警告该漏洞可能被用于远程执行代码。

硬件钱包公司 Keystone 于 10 月 24 日在 X 发文称，入侵者进入其官网并窃取了客户数据：公司 10 月 20 日发现入侵，经与电商平台 Shopify 核查 API 活动后于 10 月 23 日确认数据被取走。泄露内容包括姓名、联系方式、收货地址及订单详情（所购商品与支付价格），Keystone 称支付卡与银行信息、助记词、私钥和钱包密码不在泄露范围内；公司已切断访问、修补漏洞、启动调查并开始邮件通知受影响客户，但未说明受影响人数、入侵方式或涉及的订单日期范围。文章还对比了 Keystone 历年对收货数据保留的说法：2021 年 5 月更新的隐私政策称 180 天未下单即清除订单信息，2023 年 2 月更新的帮助中心文章则称删除需客户申请且城市与国家记录不会删除，其隐私承诺页面称订单 180 天后自动删除收货信息。Keystone 同时提醒用户警惕冒充其名义的退款或换新骗局，切勿分享助记词，并称详细报告即将发布。

ChainCatcher 消息，Consensys 与数字签名方案提供商 eMudhra 联合发布安全警告，指出以太坊运营者使用 eMudhra 签名方案时存在风险：部分 Java 信任存储存在漏洞，部分配置会带来暴露风险。团队称默认设置不受影响，但部分 Web3Signer 部署需要立即更改访问控制。Web3Signer 是 Consensys 开发的开源远程签名工具，常用于以太坊等网络的密钥管理。

Passport 比特币硬件钱包开发商 Foundation 称攻击者利用其官方域名发送钓鱼邮件，诱导用户提交助记词，公司称客户资金与设备安全。官方称事件源于 Cloudflare 上一个或多个 API 密钥被攻破，已撤销全部密钥并下线恶意域名；CEO Zach Herbert 称部分后端基础设施因自托管应用漏洞被入侵，客户支持邮箱可能失陷，团队在收到用户报告 10 分钟内切断攻击者发信能力。部分邮件含客户真实姓名、地址或电话，公司称这些信息可能来自支持邮箱、其他近期加密数据泄露或其新 Shopify 店铺订单。公司未说明收件客户数量，Herbert 表示将在细节齐备后发布正式报告。

说唱歌手 Playboi Carti 拥有 360 万粉丝的 X 账号在 10 月 25 日更新简介并标注 @pumpfun，随后出现的 CARTI 代币市值一度升至约 120 万美元后被砸盘归零。Dexscreener 显示 Solana 上最活跃的 CARTI 交易对 24 小时成交额约 409 万美元，价格同期下跌约 64%。截至发稿，Carti 本人及其团队未发表声明，代币与其关联未获确认；Solana、Robinhood Chain 和 Arc 上已出现 20 多个同名仿盘。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。

印度加密交易平台 CoinSwitch 于 10 月 26 日推出 SafeSwitch 反诈骗计划，据 Tech in Asia 报道，该计划包含 10 道题的诈骗识别测验、印度网络诈骗举报热线 1930 的相关信息及辅助检查网站的工具。CoinSwitch 强调，网站检查工具仅提供额外的安全参考，并不能保证网站绝对安全。

据 Teh Block 报道，开源比特币硬件钱包厂商 Foundation 称发现有垃圾邮件通过其官方域名发出，追踪显示问题源于一个或多个遭到入侵的 Cloudflare API 密钥，目前这些密钥已被撤销，邮件中使用的恶意域名也已下架。Foundation 强调，存储在 Passport 设备中的资金依然安全，硬件本身未受到入侵。

据 Onchain Lens 监测，跨链交易自动化平台 Bloom Trading 用户报告钱包资产被盗，黑客从 49 名受害者处窃取 9,408 枚 SOL（约 95.4 万美元），单笔最高 1,636 枚 SOL（约 16.6 万美元）。Bloom Trading 回应称将全额赔偿受影响的 9 个钱包，款项打入钱包所有者指定的新地址，团队仍在调查根本原因，包括第三方服务提供商是否被入侵。当前材料中赔偿钱包数量与监测到的受害者数量存在差异。

深潮 TechFlow 消息，据 Bloom Trading 发文，针对近期钱包资产被盗事件，平台将全额赔偿 9 名受影响用户（共 49 个钱包）的资金损失，赔偿款直接转入用户指定的新安全钱包，无需设立专项赔偿基金。此前链上监测显示，这 49 个钱包共计被盗约 9,408 枚 SOL，价值约 95.4 万美元。Bloom Trading 表示仍在调查事件根因，包括第三方服务提供商是否遭到入侵。

以太坊基金会通过 CoW Swap 出售 2,785 枚 ETH。据 Odaily 星球日报 10 月 26 日午讯，持有超 12.9 亿美元空头仓位的 Abraxas Capital 两个账户累计盈利超 3.53 亿美元；Bloom Trading 用户疑遭钱包盗币攻击，49 个地址累计损失约 95.4 万美元；某以太坊 ICO 远古巨鲸沉寂 11 年后转出 5,000 枚 ETH，其中 1,500 枚流入 CEX。

据纽约西区联邦检察官办公室公告，35岁纽约居民 Timothy Wadsworth 因串谋实施电信诈骗和洗钱被判处51个月联邦监禁，并需支付81.1万美元赔偿金。2020年3月至5月，他使用同谋提供的未授权信用卡账号通过 Stripe 尝试处理310笔共计约167万美元的支付，其中116笔成功、金额达73万美元，资金转入其控制的银行账户后转至 Coinbase 购买比特币并转给同谋。该案还涉及疫情期间虚假申请 PPP 贷款、EIDL 贷款、失业救济及爱情骗局，总损失约206万美元；该男子已就共谋电汇欺诈和洗钱罪认罪。

深潮 TechFlow 编译 Blockworks 研究员 Jake Koch-Gallup 的看空分析，认为 PEARL 的「有用功工作量证明」（PoUW）基本面难以支撑其数十亿美元估值。作者列出四大隐患：未来一年年供应增速约 85%，按 $2.17 币价日均新增约 $220 万代币抛压，占全网日均约 $850 万交易量的约 30%，一年累计新增产出约 $6.54 亿美元而当前总市值仅约 $7.68 亿美元；AI 客户以美元结算、Together AI 的 25% 推理折扣实为抛售代币补贴，代币无原生需求；网络使用通用数据中心 GPU，可租算力远超全网算力，面临类似 ETC 的 51% 攻击风险，且矿工日收入约 $220 万远低于比特币的约 $3660 万；并对比 ZEC 从 $2328 跌至 $29.80 的早期高通胀历史。作者同时承认看多逻辑，包括公平发射、21 亿枚硬顶、团队背景及 Coinbase 已于 10 月 19 日将 PEARL 列入上币路线图。

据 Onchain Lens 监测，Bloom Trading 多名用户报告钱包资产被盗，疑似盗币地址已收到 9,408 枚 SOL，价值约 95.4 万美元，涉及 49 名受害者，单笔最大被盗 1,636 枚 SOL（约 16.6 万美元），实际损失可能更高。Bloom Trading 官方称团队正在调查，其他钱包仍然安全，将暂时停用部分服务。

美国司法部10月23日宣布，纽约州罗切斯特市35岁男子 Timothy Wadsworth 因串谋实施电信欺诈和洗钱被判51个月监禁，并须支付810,965.19美元赔偿、没收810,956.19美元欺诈所得。他使用他人提供的账号通过 Stripe 尝试310笔支付共计1,673,578美元，其中2020年3月10日至5月15日有116笔成功、金额730,728.22美元，资金转入其控制的 HSBC 和 Evolve Federal Credit Union 账户后，部分经 Coinbase 购买比特币转给同伙。其2020年3月至2021年9月的多起欺诈造成约206万美元实际及预期损失，还包括冒充申请的疫情救助贷款和恋爱诈骗款项。

区块链安全企业 SlowMist 于24日在 X 表示，其威胁监控系统 MistEye 确认了1500个以上与 iOS 攻击工具 DarkSword 相关的钓鱼网站，伪装成电商、交易所、加密钱包和游戏服务诱导用户访问。DarkSword 组合利用 iOS 中6个漏洞，可绕过沙盒窃取钥匙串凭证、钱包私钥和备忘录数据，在 Safari 打开特制页面即可触发；Google GTIG 与 iVerify、Lookout 于3月披露后代码已泄露。SlowMist 10月19日的报告显示，一个活跃攻击服务器30天内记录2万187次页面访问和1187次入侵尝试，成功10次中9次完成数据外传，受影响版本为 iOS 18.6–18.7.2 和 26.0–26.1。苹果已在 iOS 26.3 修复全部相关漏洞，并将 iOS 18.7.7 推送给旧设备；SlowMist 建议用户尽快更新系统，不要在备忘录中保存钱包凭证或助记词，若曾在受影响版本上打开可疑页面，应在另一台设备上新建钱包并转移资产。

硬体钱包厂 Keystone 宣布其 Shopify 驱动的官方商店于 10 月 20 日遭骇客入侵，客户姓名、联络方式、收件地址与订单明细外泄，官方称付款卡号、私钥与复原短语等未受影响，受影响人数与骇客身份未披露。多名客户指出其订单远早于 180 天删除期限仍遭泄露，与 Keystone 长期以「180 天后永久删除出货资料」作为行销卖点的说法不符；其隐私政策与客服条款则写明城市与国家记录不会被删除、最终删除流程由 Shopify 执行。文章并提及 Trezor、SafePal、Ledger 今年也发生过类似个资外泄事件。

印度交易所 CoinDCX 在官方博客承认，因自动扫款服务在特定时段失效，约 1599 万 USDT 滞留在已弃用、存在未知漏洞的旧钱包地址并被骇客转走，损失由公司全额吸收，用户资金不受影响。此前资产救援服务商 FlashRescue 共同创办人 Darcy 和链上分析师 ZachXBT 在 X 上指出资金流出，CEO Sumit Gupta 一度回应称钱包未被入侵、属误报，随后改口称正在调查。ZachXBT 指出相关存款地址在 2025 年 7 月事件后仍被使用，并建议用户提走 CoinDCX 上的资金。CoinDCX 称常规交易、存提功能在事件期间照常运作。

Foresight News 编译 Bankless 文章称，AI 大幅降低漏洞发现门槛，加密行业分化为两条安全路径：一是敏捷修补，Bitcoin Core 于 10 月 22 日合并安全策略变更，加快修复 LLM 简单提示即可发现的漏洞；Starknet 社区投票研究转型为独立后量子 L1。二是极简不可变，以太坊路线图转向「仅哈希」，开发者 Ross 主张把关键代码上链、走向无服务器。DefiLlama 数据显示 2026 年迄今已有 112 起超 100 万美元攻击，2025 年全年为 70 起；Anthropic 与 Theorem 的研究显示，用 Claude 对 123 个开源库的 239 个入口点做形式化验证只需数周，但典型证明约 60 万行，可能消耗数亿 AI token，且只覆盖指定属性。

印度交易所CoinDCX于25日在官方博客披露，已停用的旧钱包流出1599万USDT（约25亿日元，按1美元=157日元换算），损失由公司全额承担，用户余额不受影响。流出涉及2025年7月19日被盗后停用的旧运营钱包，公司21日检测到异常，22日经链上数据与用户报告确认不审资金移动，调查发现旧基座存在未知漏洞。资金滞留原因是误入金救急的两段式扫款（sweep）处理一度中断，据The Block报道，最大单笔流出为1581万9002 USDT。CEO Sumit Gupta起初在X上否认钱包被侵害，后改口称调查中；ZachXBT等人对公表前的应对提出质疑。公司称交易与充提近72小时未停止或限制出金。

以太坊 Glamsterdam 硬分叉的第二个测试网因 ChainSecurity 在 EIP-8037/8038 中发现漏洞而取消，涉及至少 13 个 DeFi 合约；Eth Labs 的 Derek Chiang 称两名研究者各自用 AI 智能体扫描合约，后通过 GitHub 仓库协调，该做法已扩展到检查 EIP-8198。Solana 首个重大共识升级 Alpenglow 于周三约 13:54 UTC 上线主网，Anza 称交易最终确认时间从约 12.8 秒降至约 150 毫秒。Starknet 社区投票以 93.52% 赞成率支持研究转型为独立的抗量子 Layer 1，但实际转型仍需另行有约束力的投票。美国参议员 Blumenthal 就《华尔街日报》报道的 630 万美元交易致函 Tether CEO Paolo Ardoino，Tether 称外部调查未发现不当行为。JPMorgan 资产管理预计未来十年比特币年化回报 10%，高于美股大盘 7.5% 和黄金 5.5%，但认为其波动性暂不适合作为分散配置工具。

网站 Steal My Bitcoin 悬赏约2000美元（约0.025 BTC）比特币邀请黑客攻击其故意留有漏洞的 PHP 环境，截至10月25日晚上线超17小时仍无人领取。一名独立研究者经 HTTP 响应头比对后怀疑，服务器实际由 nginx 转发至 PHP 内置命令行服务器并仅返回静态 index.html，所宣传的漏洞可能无法通过允许的攻击面触达；该假设未经验证，研究者本人也承认可能有误。挑战针对的 PHP 8.4.26 两个严重度9.2的漏洞（CVE-2026-109618、CVE-2026-109619）真实存在，管理员仍需打补丁。

硬件钱包 Keystone 称10月20日发现官网遭未授权访问，10月23日确认第三方获取客户收货信息，泄露姓名、联系方式、收货地址及订单详情，支付卡、助记词、私钥未泄露。安全机构 Blockaid 监测以太坊上的 X100 遭持续攻击，两笔交易已套取约485万枚USDT；Initia 称攻击者利用 MoveVM 脚本缓存漏洞伪造状态，转出约270万美元资产，L1 及 Rollup 仍暂停。美股下周迎财报高峰与美联储议息，币安将上线 PREDICT USDT 永续合约盘前交易。

慢雾监测显示，Yapeswap遭攻击，损失约2.19万美元。事件源于WorkersUnion治理机制的法定人数要求为零，一项仅获约0.000055%投票权支持的提案即将YapeFactory的feeToSetter权限转移给攻击者。攻击者随后部署恶意Registry合约，使latestVault()返回伪造金库地址而vaults()仍列出真实金库，YapePair将被转移的存款计入农场资产却未发放可赎回份额，涉及YapeFactory、YapePair和YapeWrapper等合约。

PANews 10月25日消息，印度加密交易所 CoinDCX 就 10 月 21 日约 1599 万 USDT 相关转账说明称，涉事地址为 2025 年 1 月生成、同年 7 月安全事件中被攻破后已弃用的旧钱包，因自动归集服务一度失效，用户误充资金在该地址累积，最终造成 1599 万枚 USDT 损失，由 CoinDCX 自行承担。CoinDCX 称受影响用户充值均已正常记入账户，活跃中心钱包与用户钱包未受影响，客户资产仍存于独立冷钱包，交易与提现照常进行。

据 BlockSec 监测，X100 Global 在以太坊上的一笔可疑交易造成约 475 万美元损失，攻击源于治理机制设计漏洞。攻击者用闪电贷借入资金买入 X 代币，分配至两个受控合约后存入 Freezer，在同一笔交易中控制 3 个参议员席位中的 2 个，随即通过并执行恶意金库提案：批准将 40 万枚 X 代币兑换至 PancakeSwap V3 的 X-USDT 池且最低输出量设为 0，最终仅获得约 35.68 USDT，随后撤出流动性、在 Uniswap V3 卖出部分代币并偿还闪电贷。

Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。

Keystone 硬件钱包官网遭未授权访问，用户姓名及收货地址泄露；Electrum 披露高危漏洞，提醒用户更新至 4.8.3 版本。早讯同时提到，Arthur Hayes 再次将 1400 万枚 ENA 转入 Cumberland；Strategy、Strive 等通过优先股融资支持购入 135,979 枚比特币，占最大供应量逾 0.5%。

硬件钱包 Keystone 发布公告称，其官网于 10 月 20 日遭未经授权访问，公司于 10 月 23 日核查 Shopify API 活动后确认，第三方获取了客户姓名、联系方式、收货地址及订单详情（含购买商品及价格）。Keystone 表示事件未涉及银行卡、银行账户信息、助记词、私钥或钱包密码，已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响客户，并提醒用户警惕以退款、补发设备或修复订单及地址问题为由的冒充官方诈骗。

PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。

据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。

PANews 10月25日消息，硬件钱包Keystone在X平台发帖称，其于10月20日发现官网遭未授权访问，经与Shopify核实API活动后，于10月23日确认第三方获取了客户收货信息。泄露内容包括姓名、联系方式、收货地址及订单详情，支付卡或银行信息、助记词、私钥及钱包密码未泄露。Keystone表示已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响用户，并提醒用户警惕有人冒充Keystone以退款、更换设备等名义实施诈骗，切勿提供助记词或私钥。

ChainCatcher 消息，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。Keystone 称发现漏洞后已阻止未经授权访问并完成修复，此次事件未波及用户的支付详情、助记词或私钥，公司将继续加强安全防护。

区块链安全公司 Blockaid 在 X 平台发文表示，以太坊上的 X100 项目正遭受持续攻击，已发现三名攻击者通过项目治理及流动性管理机制实施攻击。Blockaid 披露，首名攻击者控制了 X100 的 Senate 治理机制 3 个席位中的 2 个，并将项目国库中 40 万枚 X 代币出售至其自建的空流动性池；第二名攻击者销毁了 Freezer 持有的 Uniswap V3 流动性头寸；第三名攻击者利用相同的 Senate 操作路径提取了剩余约 55 万枚 X 对应的 Uniswap V3 流动性头寸。截至目前，三笔攻击交易已使攻击者获得约 485 万 USDT 及约 55 万枚 X，Freezer 中仍存有约 1220 万枚 X，Blockaid 表示攻击仍在持续。

据安全机构 Blockaid 监测，以太坊上的 X100 遭遇攻击，截至其 22:49 发布警报时攻击仍在持续，两笔交易已套取约 485 万枚 USDT。Blockaid 称，一名攻击者夺取了项目三个 Senate（治理席位）中的两个，并将金库中的 40 万枚 X 代币卖入其自行创建的空池；随后另一名攻击者销毁了 Freezer 合约持有的 Uniswap V3 流动性头寸。Blockaid 已公布相关攻击地址及示例交易。

据安全机构Blockaid监测，以太坊上的X100遭遇攻击，截至其22:49发布警报时攻击仍在持续，两笔交易已套取约485万枚USDT。Blockaid称，一名攻击者夺取了项目三个Senate治理席位中的两个，并将金库中的40万枚X代币卖入其自行创建的空池；随后另一名攻击者销毁了Freezer合约持有的Uniswap V3流动性头寸。Blockaid已公布相关攻击地址及示例交易。

Initia 因安全事件暂停整条链，The Block 报道称攻击者可能增发了代币，具体损失尚未披露。比特币现货 ETF 单日净流出 1.379 亿美元，其中贝莱德 IBIT 流出 1.103 亿美元，10 月累计净流出 3.135 亿美元。苹果 iPhone Duo 开售首日即被加州团队越狱，同时出现首批用户反馈开箱裂屏。