#安全事件

据 Onchain Lens 报道，Railway 发生安全漏洞事件后，一个疑似攻击者钱包已向 HitBTC 交易所及其他地址转移至少 36.93 万美元。该钱包还曾从一个与 CryptoBillis Ledger Drainer 盗币程序有关联的地址接收资金，但 Onchain Lens 表示该钱包与 Railway 安全事件的关联尚未得到证实。

据 Onchain Lens 监测，Railway 发生安全漏洞后，疑似攻击者钱包已向 HitBTC 及其他地址转移至少 36.93 万美元。该钱包还曾收到一个与 CryptoBillis Ledger Drainer 相关地址转入的资金，但其与 Railway 安全漏洞的关联尚未确认。

Dragonfly 管理合伙人 Haseeb Qureshi 在 X 平台发文称，加密领域黑客攻击数量急剧上升，但被盗资金年化规模与 2025 年大致相当，即攻击次数增加而单笔金额下降。他指出小型、维护不足的协议大量被攻破，大型协议已使用 AI 工具加强防护，并预计类似情况也将出现在传统网络安全领域。

据安全研究员 Spreek 披露，Swell DAO 旗下 swETH 和 rswETH 的管理密钥疑似遭泄露，攻击者正以每小时最多 1% 的幅度抬高无资产支撑的 NAV，目前已部署 4 个恶意升级合约，尚未通过多签排队执行，若执行可能盗取约 2,500 枚 ETH。Spreek 称该事件是否与 Railway 平台有关尚属推测，暂无确凿证据，其事件报告由 Claude 生成，部分内容尚未核实。

PANews 10月22日消息，据匿名安全分析师 Spreek 称，Swell DAO 旗下 swETH 与 rswETH 的管理员密钥疑似遭攻破。攻击者在没有资产支撑的情况下以每小时最高 1% 的幅度抬升代币净资产价值（NAV），并部署了四个恶意升级合约，若执行可能窃取约 2500 ETH，目前这些合约尚未通过多签进入执行队列。Spreek 推测此事或与云部署平台 Railway 有关，但表示这只是时间点吻合，没有确凿证据。

PHP 两个漏洞合称 PHP2Shell，PHP 官方评为重大，CVSS v4.0 评分 9.2，属远端代码执行，据 W3Techs 约七成网站使用 PHP；修补版发布前细节已外泄，荷兰、德国、日本等多国政府与大型服务预防性下线，官方多称未发现入侵。作者建议读者这几周注意：不点邮件里的紧急更新或重设密码链接、常用网站打不开先等官方公告、看到要求下载浏览器更新或贴指令的页面立即关闭、在不熟的小网店结账优先用有即时交易通知的信用卡或第三方支付、重要账号开两步验证并使用不同强密码。目前查无交易所或钱包因 PHP2Shell 遭入侵的报告，作者建议从书签进入交易所、API 金钥设 IP 白名单并关闭提领功能。

Odaily星球日报讯，据Dragonfly管理合伙人Haseeb Qureshi监测，网络安全领域正出现攻击浪潮，加密行业首当其冲。他表示链上黑客事件是网络安全领域的金丝雀，因为链上是网络攻击最容易变现的场所。他援引数据称，链上被黑事件数量上升，但被盗金额年化规模与2025年大致相当，单起事件损失下降；小型协议大多已被攻破，大型协议则借助AI工具加强防护。他预计更广泛的互联网领域也将出现类似情况。

PANews 10月22日消息，Dragonfly 管理合伙人 Haseeb Qureshi 发文称，网络安全领域正出现类似新冠疫情的攻击浪潮，加密行业首当其冲。他援引 DefiLlama Research 数据称，链上被黑事件数量急剧上升，但被盗金额的年化规模与 2025 年大致相当，每起事件的损失下降；他认为链上是网络攻击最容易变现的场所，因此链上黑客事件是网络安全的金丝雀。他预计更广泛的互联网领域也将出现类似情况。

Upbit 发布公告称，有不法分子冒充 GIWA 区块链项目散布主网上线及数字资产发行的虚假信息，诱导用户转移资产。Upbit 表示 GIWA 是其母公司 Dunamu 正在开发的以太坊 Layer 2 网络，目前仅运行测试网，主网仍在开发和筹备阶段，尚未公布正式上线时间。

据Cointelegraph报道，PHP基金会承认一个自2024年就被发现的关键安全漏洞因安全团队决策流程不畅且人手不足而迟迟未修复，称此次延误是“结构性失败”；该漏洞可能让未经身份验证的攻击者在受影响服务器上远程执行代码。8月11日，安全公司Calif与OpenAI先后独立报告同一问题，Calif还演示了无条件远程代码执行，PHP随后发布针对两个相关高危漏洞的紧急补丁。补丁发布前后，荷兰、芬兰、法国、德国和澳大利亚的政府网站或服务被临时下线，荷兰关闭了数字身份服务，维基媒体基金会也下线部分支持服务。SlowMist的MistEye监测显示，1,488个被评估域名中793个带有直接PHP指纹；Cardano治理组织Intersect临时下线会员专区，Coinbase和BitGo称平台未受影响。PHP安全团队称公开披露时尚未发现可用的实际攻击程序，OpenAI已在GitHub发布Codex技能帮助运营者检查存在漏洞的PHP版本。

PHP Foundation 表示，因决策迟疑和资源不足，针对2024年首次发现的关键安全漏洞的修复多次停滞并重启，将延误定性为结构性失误。PHP已发布两项相关关键漏洞的紧急补丁，未经身份验证的攻击者可能借此在受影响服务器上无需登录执行代码；荷兰、芬兰、法国、德国及澳大利亚等地部分政府网站或在线服务一度下线以安装补丁。安全公司 Calif 与 OpenAI 于8月11日分别报告同一底层问题，Calif 还演示了无条件远程代码执行。SlowMist 调查显示，在评估的1488个加密行业域名中793个存在直接PHP指纹；Intersect 已暂时关闭其 Members Area，Coinbase 称未发现受影响的PHP实例，BitGo 称平台未受影响。

Railway 官方博客披露，10 月 22 日在存储客户环境变量的系统中检测到异常活动，初步调查显示未授权第三方可能访问了加密的环境变量，其中部分内容已被解密，可能包含 API 密钥、数据库及镜像仓库凭证。Railway 称此事件可能属于近期针对平台类公司的系列攻击，目标是入侵 AI 推理服务商，已通知上游服务商撤销全部密钥，并建议所有用户轮换环境变量和私有镜像仓库凭证。调查期间 Railway 已暂停所有部署，用户在构建恢复前无法发布新版本，进展将在 status.railway.com 更新。

CZ（@cz_binance）10 月 22 日在 X 平台发文称，PHP 近期披露两个漏洞（CVE-2026-109618 和 CVE-2026-109619），影响运行 WordPress、Magento 等应用的服务器，补丁已于 10 月 21 日发布，但漏洞细节提前泄露且已有在野利用被证实。CZ 提醒部分网站管理员可能未及时更新补丁，被入侵网站可能成为凭证窃取或设备攻击入口，未来几天访问任何网站都需格外谨慎。

云应用部署平台 Railway 发布安全公告称，10 月 21 日检测到存储客户环境变量的系统出现异常活动，未经授权的第三方可能访问部分加密环境变量并获取其中部分解密内容，涉及 API 密钥、数据库凭证及私有镜像仓库凭证。Railway 称事件可能与近期针对平台公司的系列攻击有关，攻击者疑似试图入侵 AI 推理服务提供商，已通知上游服务商撤销密钥；平台已暂停所有部署，新版本发布暂不可用，并建议所有用户立即轮换相关凭证、检查服务日志。

据 CoinDesk 报道，美国总统特朗普计划于周三在白宫网络犯罪活动上介绍其政府打击海外加密诈骗的成果。一名白宫官员称，美国执法部门已截停约 8.33 亿美元与海外诈骗相关的加密资产，在国土安全工作组监督下查封 503 个欺诈性加密网站，并已通知近 9,000 名美国公民其正遭受诈骗。背景方面，美国财政部已于去年 11 月成立多机构联合的“诈骗中心打击小组”，重点打击“杀猪盘”。

10 月 21 日至 22 日，PHP 与 Node.js 先后发布安全更新，云部署平台 Railway 披露客户环境变量可能遭未授权访问，AI 网关 LiteLLM 一个发布版本被植入恶意程序。PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个评分 9.2 的漏洞，受影响范围可追溯至 PHP 5.4；慢雾扫描的 1488 个加密行业相关域名中 793 个具有直接 PHP 指纹，但这仅是技术使用痕迹，不能据此认定存在漏洞或已被攻破。TokenWorks 称其 keeper 已离线并转出运行钱包中的 1.17 ETH，属预防性转移而非披露被盗；PeekPeak 已更换被视为泄露的执行者私钥。文章提醒用户核对链上授权记录，断开网站连接不会取消授权，撤销授权仍需链上交易和手续费；私钥或助记词泄露后应将剩余资产转入使用全新助记词的新钱包。

Qubic 在 10 月 18 日安全事件后重启区块链，约 2.94 万亿 QU 代币在不到两小时内被盗，涉及 1,404 个钱包、约 130 万美元。攻击源于旧版钱包软件使用了不够安全的随机数生成器，影响通过 iPhone、iPad 浏览器、Mac Safari 及旧版 iOS 应用创建的钱包，Qubic 称已在 4.26.4 版本中修复，但旧助记词无法通过升级修复，用户需新建钱包并转移资金。约 87.1% 被盗代币滞留链上并转入受保护托管，MEXC 冻结了其余 12.9% 所在账户；验证者已批准恢复计划并开始向已验证受害者付款，索赔通道开放至 2027 年 5 月 1 日，获批索赔需经 7 天争议期。

川普政府于台北时间10月21日就网络犯罪预防召开白宫活动，聚焦诱骗美国民众投入假加密投资的海外犯罪网络。据CoinDesk与路透引述的白宫官员说明，执法单位已拦阻约8.33亿美元相关加密资金，在国土安全特遣队监督下查扣503个假投资网站，并预警近9,000名美国民众正遭诈骗，预警估计避免约5.62亿美元损失。官员并列出司法部Scam Center Strike Force、OFAC对缅甸DKBA的制裁，以及川普2026年3月6日签署的行政命令《Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens》。路透同时指出，川普家族加密事业为家族增添至少23亿美元财富，相关投资人出现约23亿美元账面亏损，白宫发言人Anna Kelly回应称总统与行政团队作为皆以美国人民最佳利益为依归。

据CoinDesk报道，白宫官员透露，特朗普计划在白宫举行的网络犯罪活动中，重点介绍其政府打击海外犯罪组织利用加密货币实施诈骗的行动。白宫称，美国执法机构已冻结约8.33亿美元与海外诈骗有关的加密资产，查封503个涉诈加密货币网站，并已通知近9,000名美国公民其正遭受诈骗。

据白宫官员透露，美国总统特朗普计划在白宫举行的打击网络犯罪活动中，重点介绍其政府打击海外犯罪组织利用加密货币实施诈骗的行动。据称，美国执法机构已冻结约 8.33 亿美元与海外诈骗有关的加密资产，查封 503 个涉诈加密货币网站，并已通知近 9,000 名美国公民其正遭受诈骗。随着美国国会中期选举临近，特朗普政府与加密行业的联系因利益冲突指控受到关注。（CoinDesk）

特朗普将主持一场白宫网络犯罪活动，重点展示美国当局打击外国犯罪组织实施的加密货币诈骗的行动。

据路透社援引白宫官员消息，美国总统特朗普将于周三在白宫一场网络犯罪防治活动上，强调其政府打击海外加密诈骗的行动，国土安全部长 Markwayne Mullin、FBI 局长 Kash Patel、国防部长 Pete Hegseth 及司法部长 Todd Blanche 预计出席。政府已查封多个虚假加密投资网站，并着手关闭网络冒充诈骗。FBI 数据显示，2025 年美国民众提交超 100 万份网络诈骗投诉，较 2024 年增长 17%，其中加密相关投诉 181,565 起，损失达 113.66 亿美元，加密投资诈骗造成 72 亿美元损失；多数诈骗活动被追溯至柬埔寨、老挝与缅甸的有组织犯罪集团。

Polkadot 社区基金会在 Polkadot 论坛发布安全警告称，第三方钱包 Fearless Wallet 浏览器插件 3.0.1、3.0.3、3.0.4 和 3.0.5 版本含恶意代码，用户解锁钱包时私钥可能被发送至攻击者服务器。相关代码于 2025 年 2 月 19 日随名为 TON ecosystem 的代码变更加入，并在 2025 年 2 月至 2026 年 10 月 10 日期间不定时生效；Chrome 版本已确认受影响，Firefox 使用相同代码，移动端未发现该代码，但曾将同一私钥导入浏览器插件的用户也应视为已泄露。目前已有 8 名用户报告未授权交易，合计涉及 17,286 枚 DOT。基金会建议自 2025 年 2 月起使用过相关插件的用户立即生成新密钥并转移资产，仅修改密码或重装插件无效。

PANews 10月21日消息，Polkadot社区基金会警告第三方钱包 Fearless 的浏览器扩展 3.0.1、3.0.3、3.0.4 和 3.0.5 版本含有恶意代码，用户解锁钱包时私钥可能被发送至攻击者服务器。相关代码曾在2025年2月至2026年10月10日期间的不同时间段生效，目前已有8名用户报告可能与该漏洞有关的未经授权交易，涉及17,286枚DOT。

区块链安全公司 CertiK 警告，尽管 Google、Apple、Microsoft 等科技巨头已于周二封禁印度 eMudhra 签发的 8 张漏洞证书，加密交易机器人和交易所应用仍可能面临风险。CertiK 数字资产安全高级总监 Peiyu Wang 表示，部分不走浏览器生态的应用不强制执行证书透明度或接收同等吊销保护，攻击者可能借此冒充交易所、钱包界面和 API 的 HTTPS 连接，替换充值地址或诱导用户批准恶意交易；但此类攻击还需拦截或重定向用户流量，仅凭被攻破的证书机构密钥不会暴露钱包私钥。Wang 呼吁加密运营方更新软件与证书信任库，确认应用会拒绝受影响证书。

Drift Protocol 攻击者再向 Tornado Cash 存入 24885 枚 ETH，该攻击此前已窃取超 2.7 亿美元。ZachXBT 称 97.3 万枚 MORPHO 被盗，某机构损失约 230 万美元。BNB Standard 将于 10 月 26 日敲响纳斯达克开市钟，Starknet 基金会推出支持 STRK20 屏蔽功能的 Bramble 钱包。

深潮 TechFlow 消息，据 Lookonchain 监测，此前窃取逾 2.7 亿美元资产的 Drift Protocol 攻击者再次向 Tornado Cash 存入 24,885 枚 ETH（约合 6130 万美元），目前该攻击者地址仍持有 56,569 枚 ETH（约合 1.393 亿美元）。

PANews 10月21日消息，据 Lookonchain 监测，Drift Protocol 攻击事件相关地址再次向混币协议 Tornado Cash 存入 24,885 枚 ETH，价值约 6,130 万美元。该攻击者此前从 Drift Protocol 窃取超过 2.7 亿美元资产，转账后相关地址仍持有 56,569 枚 ETH，价值约 1.393 亿美元。

深潮 TechFlow 消息，10 月 21 日，据 PeckShieldAlert 监测，标记为 Drift Exploiter 1 的地址正在将新一批被盗资金存入 Tornado Cash，截至目前已累计转入约 1.88 万枚 ETH，价值约 4600 万美元。

PANews 10月21日消息，据派盾监测，被标记为“Drift Exploiter 1”的地址正将新一批被盗资金转入Tornado Cash，截至监测时已转入约1.88万枚ETH，价值约4600万美元。

Google与Mozilla于10月20日分别发文称，印度证书颁发机构eMudhra的8个中间CA证书因密钥生成流程存在缺陷、随机性不足，私钥已被破解，攻击者理论上可借此伪造任意网站的HTTPS证书实施中间人攻击。两家在10月17日收到报告后数小时内通过CRLSet和OneCRL封禁相关证书，用户无需更新或重启浏览器，Android设备也已通过Google Play服务获得同等更新；Google表示封禁前CT日志中未发现链接至这些CA的TLS证书。Chrome将于太平洋时间10月27日起从根证书库移除emSign ECC Root CA - G3，Mozilla也已移除签发上述中间证书的根证书，使用该证书链的网站需尽快更换证书。

香港警方"守网者"平台称，过去一周接获逾50宗投资骗案，涉及损失超过3000万港元。其中一名六十多岁退休女子在房屋买卖平台结识自称租客的男子，被游说投资加密货币，先后20次购入USDT转入对方钱包"购买ETH"，最终损失逾450万港元。对方在其提现时要求先缴付约700万港元USDT作为"税款"，她才发觉受骗。

据 AASTOCKS 报道，香港警方守网者账号称过去一周接获超过 50 宗投资诈骗报案，涉及损失逾 3000 万港元。其中一名六旬退休女子经房屋买卖平台认识一名自称有意租房的男子，对方以投资专家身份推荐加密货币投资，发送虚假投资网站链接诱导投入资金。她按指示先后 20 次前往实体加密货币兑换店购买 USDT 并转入指定钱包，名义用于投资 ETH；初期曾成功提取部分资金并持续追加，再次提现时对方要求支付约 700 万港元 USDT 作为税款，她才发觉受骗，最终损失逾 450 万港元。

香港警方"守网者"称，过去一星期接获超过50宗投资骗案，涉及损失逾3000万港元。其中一名六旬退休妇女经房屋买卖平台认识自称租客的男子，被以"投资专家"身份游说投资加密货币，先后20次到实体找换店购入泰达币（USDT）并转入骗徒指定电子钱包购买以太币（ETH）。事主初期成功提取部分资金后持续加码，再次提现时被要求支付约700万港元泰达币作为"税款"，最终损失逾450万港元。

据Salus监测，Drift Protocol攻击者于今日北京时间15:00至15:19，从另一长期休眠钱包分46笔向Tornado Cash转入4,600枚ETH，价值约1,123万美元；该钱包此前约202天没有转出记录，截至监测时仍持有20,285.82枚ETH。Salus表示，此前追踪的另一个钱包在上次披露的19,600枚ETH基础上又存入6,110枚ETH，累计存入量增至25,710枚ETH，两个已追踪钱包累计向Tornado Cash存入30,310枚ETH。

深潮 TechFlow 消息，据链上侦探 ZachXBT 发文，某机构实体在数小时前从两个地址失去约 230 万美元（973K MORPHO），资金已存入 Tornado Cash。ZachXBT 还提到，10 月 9 日其中一个地址曾从旧桥中索回约 350 万美元，该笔资金通过 Near Intents 从以太坊桥接到 Zcash，并已在 Ironwood 池中进行隐匿处理。

据 ZachXBT 监测，某机构数小时前有两个地址合计 97.3 万枚 MORPHO 被盗，价值约 230 万美元，相关资金已存入 Tornado Cash。两个受害地址均涉及 EIP-7702 账户委托交易；其中一个地址所属实体此前于 10 月 9 日也曾被盗约 350 万美元。这批资产来自旧跨链桥的申领，随后经 NEAR Intents 从以太坊跨链至 Zcash 并进入 Ironwood 隐私池。ZachXBT 称该受害地址与一个疑似属于 Nima Capital 的地址存在链上关联。

PANews 10月21日消息，链上侦探ZachXBT发文称，某机构数小时前有两个地址合计97.3万枚MORPHO被盗，价值约230万美元，相关资金已存入Tornado Cash，两个受害地址的被盗均涉及EIP-7702账户委托交易。据其追踪，其中一个地址所属实体此前于10月9日也曾被盗约350万美元，这批资产来自旧跨链桥的申领，随后经NEAR Intents从以太坊跨链至Zcash并进入Ironwood隐私池；ZachXBT还指出该受害地址与一个疑似属于Nima Capital的地址存在链上关联。

据链上侦探 ZachXBT 发文，某机构实体于 10 月 8 日在 BSC 上疑似遭朝鲜（DPRK）关联组织 SquidSquad 盗取约 284 万美元。10 月 20 日，攻击者将 1111.2 枚 ETH 存入 Tornado Cash 并提取至三个地址，随后资金通过 USDT0 从以太坊跨链至 Tron，归集到两个地址，这两个地址与此前已被认定的朝鲜关联地址有关联。

PANews 10月21日消息，链上侦探ZachXBT发文称，某机构疑于10月8日在BNB智能链（BSC）上遭朝鲜关联组织SquidSquad盗取约284万美元。据其追踪，攻击者于10月20日将1,111.2枚ETH存入Tornado Cash，提取后经USDT0跨链至波场（Tron）汇集，归集地址均与此前被归因于朝鲜的地址存在资金关联；资金随后在数分钟内经中间地址流向中国场外交易商（OTC），ZachXBT认为此举可能是为规避Tether潜在的资金冻结。