#安全事件

Qubic 在遭弱种子漏洞攻击、1,404 个钱包被窃约 140 万美元 QU token 后，已于周日晚间 8 点重启区块链，并上线赔偿平台，受影响钱包持有者可在 2027 年 5 月 1 日前通过官方页面提交申请。漏洞出在 Qubic web wallet 的随机数生成器，在特定 Apple 装置与浏览器上会生成可被预测的钱包种子；官方警告 10 月 19 日 4.26.4 版发布前创建的钱包应视为不安全，需升级版本并把资金转入新建钱包。

据慢雾报道，PHP于10月20日发布安全公告，确认存在两个可能导致远程代码执行的严重漏洞CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2，官方补丁尚未发布。PHP安全团队预计10月21日22:00（UTC+8）发布安全更新，若漏洞细节提前公开或发现被实际利用的迹象则提前发布；第三方报告称PHP 5及之后的版本可能受影响，技术细节和受影响版本尚未正式确认。慢雾建议排查PHP版本，优先修补面向公网的服务，暂时无法修补的应限制或隔离对外暴露的PHP服务。

1inch Card 项目将逐步停止运营，新用户注册已关闭，建议持卡用户最晚于 12 月 18 日前提取或消费卡内余额。Asymmetric Research 披露 Solana 链上治理程序 svmgov 此前存在漏洞，验证者未参与投票时其委托人提前提交的独立投票可能无法计入结果；漏洞 7 月 10 日报告给 Solana 基金会，8 月 3 日完成主网修复，早于 8 月 24 日的治理投票。该机构测算若漏洞未修复，SGP-0002 提案赞成率可能从 67.00% 降至 66.65%，低于 66.67% 的通过门槛，实际未改变提案结果。

深潮 TechFlow 早报汇总多条消息：黑客组织 FULCRUMSEC 称攻击了 PingCAP 旗下 TiDB Cloud，近两个月内窃取 10.6 TB 数据并公开首阶段超 200 GB 数据包，涉及 Bitget、Pionex 等企业及 Booking.com、Shopee 等公司，涵盖 18 万个租户组织、超 40 万个邮箱地址、11.5 万个明文 API 密钥（4.2 万个活跃）等；材料注明该数据真实性及影响范围尚未获独立证实，亦无证据表明交易所用户资产受损。Bitget 大中华区负责人谢家印称 Bitget 仅存放过部分公开成交日志数据，且已于两个多月前停止使用该服务，未涉及用户敏感数据。另据《独立报》报道，Revolut 于 10 月 20 日发生大规模服务中断，应用及线下刷卡支付受影响，英国、法国、西班牙等地用户反映无法支付或转账。此外，慢雾称 Qubic 钱包通过 6 次连续网络观测或可恢复私钥；DeepSeek 宣布开源内部推理框架 DeepInfer 及 deepseek-recipe；Liquid Network 将逐步重启 BTC 与 LBTC 兑换；1inch Card 将停止运营，用户需在 12 月 18 日前转移余额；彭博社称 Polymarket CEO 曾挪用公司资金支付个人开支。

安全公司Blockaid发布报告称，今年1月5日至8月5日其追踪的60起加密攻击共损失11.8亿美元，仅980万美元返还受害者，占0.8%，另有8140万美元被冻结，10.4亿美元仍未追回。稳定币发行方黑名单和交易所拦截没有追回任何资金；16起事件中发行方黑名单可用但一次都未启用。已追回或冻结的9120万美元中99%来自协议或链层面的治理及验证者措施，例如Arbitrum安全委员会在KelpDAO事件后冻结7100万美元；被盗资金在攻击后开始转移的时间中位数为17分钟。

PANews 10月21日消息，硬件钱包厂商 NGRAVE 发布 10 月 17 日 LIQUID 应用虚假安全警报事件的调查报告，攻击者劫持了为 LIQUID 发送推送通知的第三方服务商的访问权限，向用户推送钓鱼链接。NGRAVE 称第一枚通知服务密钥通过一台发送通知服务器的报错信息泄露，10 月 11 日发现异常后数分钟内禁用该密钥，但攻击者已用其获取第二枚密钥；ZERO 硬件钱包未被攻破、LIQUID 代码未泄露，未在钓鱼网站输入助记词或 Perfect Key 的用户资金没有风险。NGRAVE 正在追踪被盗资金，并将限制 LIQUID 只打开 NGRAVE 自有来源的链接，同时加入密钥异常使用警报和短期密钥机制。

据 The Defiant 报道，Blockaid 数据显示，2026 年 1 月至 8 月其追踪的 60 起加密货币攻击事件涉及资金约 11.8 亿美元，受害者共追回约 980 万美元，占比不足 1%。报告指出，所有被冻结或返还的资金均通过链上治理或验证者行动实现，稳定币发行方的黑名单机制在这 60 起事件中未追回任何资金。

比利时硬件钱包厂商 Ngrave 于 10 月 19 日披露，攻击者劫持其 LIQUID 应用的第三方通知服务商，于 10 月 17 日向用户发送伪造安全警报，诱导其在假冒网站输入 24 词助记词或 Perfect Key，从四条链上 70 个钱包地址盗走约 256 万美元，其中比特币 177 万美元、XRP 45.4 万美元、以太坊系资产 31.6 万美元、Stellar 1.8 万美元。Ngrave 称其 ZERO 硬件与私钥未被攻破，未经授权访问可能始于 10 月 11 日；CEO 承认公司“彻底未能”履行安全职责，并已更换受损密钥、加强通知审批控制。Bitquery 报告称被盗资金约 81% 已转至 Hyperliquid 上的 Monero 代币。

据 Qubic 最新更新，Layer-1 区块链 Qubic 因钱包助记词漏洞被攻击者从 1,404 个账户转走约 140 万美元 QU 代币，现已重启网络并启动索赔流程。区块链浏览器显示网络于 10 月 19 日晚 8 点恢复出块，验证者（Computors）已批准恢复计划，受影响用户可在 Qubic 的 reclaim 平台提交索赔，截止日期为 2027 年 5 月 1 日。Qubic 称漏洞源于其网页钱包在部分 Apple 设备和浏览器上使用不安全的随机数生成器，导致助记词可被预测，该缺陷已在 10 月 19 日发布的网页钱包 4.26.4 版本中修复；团队建议此前用旧版网页钱包创建的用户升级至 4.26.4 或更高版本、新建钱包并尽快转移资金，不再使用旧钱包。

与 4 月 1 日 Drift 攻击相关的钱包在周二约两小时内向 Tornado Cash 存入 25,700 枚 ETH，价值约 6156 万美元，此前已静默约两个月。Arkham 数据显示，其追踪的 71 个关联地址在本轮存入后仍持有 81,454 ETH（约 1.9858 亿美元），此前 7 月 23 至 24 日已有一轮约 23,095 ETH 转入同一混币器。Drift 称 4 月攻击造成 2.957 亿美元损失，其 DFX 恢复代币于 10 月 1 日开放申领，恢复池启动时约含 310 万 USDT，早期赎回每美元损失约可获 0.0104 USDT。

Infobae 10 月 19 日援引 Kaspersky 报道称，多个网站在 GTA 6 定于 11 月 19 日发布前，以加密货币支付兜售虚假的预购、测试版访问和下载，均非合法早期访问。其中一个名为 CyberLeak 的网站以 1,000 美元出售完整游戏副本、100 美元出售 24 小时试玩，并通过众筹活动募集加密货币捐款，目标金额从 50,000 美元改为 500,000 美元，且声明付款不可退款。报道还警告，下载未知启动器或文件可能导致设备感染恶意软件、窃取密码和个人信息。

ChainCatcher 消息，加密交易所 OKX 在美国推出 OKX Shield。OKX 表示，若客户账户被盗，该机制最高可提供 50 万美元保障。OKX 董事会成员、纽约州前州长 Andrew Cuomo 表示：这就是我们对自身系统的信任程度，所谓把钱放在嘴边，对吧，我们正在做的就是这件事。

OKX 宣布把 Shield 计划从欧洲扩展到美国：开启指定安全设置的合格用户账户被盗后可获赔，无订阅或激活费，普通用户上限 10 万美元，VIP 1-3 上限 25 万美元，VIP 4 及以上上限 50 万美元。条款称 Shield 为自愿酌情的善意计划而非保险，终身仅一次获批赔付，须在最后一次未授权转账后 72 小时内申报，以稳定币支付；用户自行批准的转账、交易亏损及 OKX Wallet 或外部平台资金不在赔付范围，OKX 逐案审核决定是否赔付。

動區援引鏈上分析師 Ember 指出，今年 4 月初被駭的 Solana 永續合約平台 Drift Protocol 駭客於台北時間 10/20 下午透過 Tornado Cash 分批轉出 25,710 枚 ETH，按當晚 ETH 報價 2,390.93 美元計約 6,147 萬美元（動區推算），係 7 月後第二波大規模洗幣。依 Etherscan 紀錄，標記為 Drift Exploiter 5 的地址自下午 3 時 08 分起以每筆 100 枚為主存入，至 5 時 21 分送出最後一筆 10 枚，該地址 4 月累計收進約 25,714 枚 ETH，餘額僅剩約 4 枚。Drift 官方稱攻擊者利用 durable nonce 騙取多簽批准，損失總值約 2.96 億美元，Mandiant 將攻擊歸因於北韓駭客組織 UNC6862。Ember 稱駭客 4 月以均價約 2,154 美元換成 131,564 枚 ETH，7 月已洗出 24,400 枚，Arkham 標記的 71 個地址仍持有約 81,454 枚，剩餘部位約值 1.95 億美元（動區推算）；Ember 7 月貼文的換匯總量為 129,066 枚，與本次數字不一致。

据链上分析师余烬监测，4 月初从 Drift Protocol 盗走 2.85 亿美元资产的黑客，于 3 小时前通过 Tornado 转移 25710 枚 ETH，价值 6124 万美元。该黑客 4 月初曾以 2154 美元均价将被盗资产兑换为 131564 枚 ETH，7 月已通过 Tornado 转移 24400 枚 ETH；目前地址仍持有 81454 枚 ETH，价值 1.94 亿美元。

据链上分析师余烬监测，4 月初从 Drift Protocol 盗走 2.85 亿美元资产的黑客，于 3 小时前通过 Tornado 转移 25710 枚 ETH，价值 6124 万美元。该黑客 4 月初曾以 2154 美元均价将被盗资产兑换为 131564 枚 ETH，7 月通过 Tornado 转移 24400 枚 ETH；目前地址仍持有 81454 枚 ETH，价值 1.94 亿美元。

Cointelegraph 报道，Drift 攻击者已将价值 6100 万美元的 ETH 转入 Tornado Cash，并仍持有 1.94 亿美元资产。报道称，今年 4 月的这起黑客事件造成约 2.95 亿美元损失，Mandiant 后续调查将其归因于一个朝鲜威胁组织。

勒索组织 Fulcrumsec 在外洩网站将 TiDB 开发商 PingCAP 列为受害者，声称窃取 TiDB Cloud 数据并取得云端基础设施访问权，情报账号 Hackmanac 转述其宣称窃得 10.6 TB 数据，均未经验证。截至台北时间 10 月 20 日晚 8 时，TiDB Cloud 状态页显示系统正常，PingCAP 官方未回应。Bitget 大中华区负责人谢家印称，Bitget 仅曾在 TiDB 存放部分公开成交日志，且两个多月前已停止使用，无用户资料或密码外泄。

Bitget 大中华区负责人谢家印 10 月 20 日发文称，经排查确认黑客入侵并获取了 PingCAP 旗下 TiDB Cloud 云数据库中的数据，Bitget 与百度等公司曾与该公司合作。他澄清 Bitget 仅在该数据库存放过部分公开成交日志数据，即成交频道中所有用户均可见的数据，且已于两个多月前停止使用相关服务，事件未涉及任何用户数据或密码等敏感信息。此前有报道称 PingCAP 数据库及客户资料疑遭黑客窃取，涉及 Bitget、Pionex 等企业。

黑客组织 FULCRUMSEC 于 10 月 20 日公开披露针对 PingCAP 旗下 TiDB Cloud 托管平台的攻击，称近两个月内利用代码库泄露的云凭据累计窃取 10.6 TB 数据，并公开首阶段超 200 GB 数据包，受影响名单含 Bitget、Pionex、DigiPlus、NFTscan、Chainbase 及 Booking.com、Shopee、Capcom 等。泄露内容据称涉及 18 万租户组织、超 40 万个邮箱、11.5 万个明文 API 密钥（4.2 万个活跃）、超 2060 万条客户生产环境 SQL 语句及 413 个私有代码库等；攻击者称 PingCAP 内部早在 2022 年就记录了多租户隔离等漏洞却未彻底修复。目前 PingCAP 尚未官方回应，相关数据真实性及影响范围未获独立证实，亦无证据表明交易所用户资产因此受损。

慢雾（SlowMist）10 月 20 日称，Qubic 钱包在生成账户种子与网络数据包标头中公开的 dejaVu 标识值时共用相同的非加密随机数 Math.random() 数据流，可能导致私钥通过网络观测被恢复。慢雾称攻击者可收集节点通信中的 dejaVu 标识值，通过连续 6 次观测推算 128 位伪随机数生成器状态，重建 55 字符账户种子并恢复私钥、伪造 SchnorrQ 签名转移资产；其概念验证已确认该链条技术可行性，但实际利用取决于网络信任边界与观测连续性，建议改用密码学安全随机数并开展安全审计。

PANews 10月20日消息，据 Lookonchain 监测，Drift Protocol 攻击者在沉寂 2 个月后，开始将所窃取的超过 2.7 亿美元的资金（以 ETH 形式）转移至 Tornado Cash。过去 2 小时内该攻击者已将 25,700 枚 ETH（价值 6,156 万美元）存入 Tornado Cash，目前仍持有 81,864 枚 ETH（价值 1.95 亿美元）。

PANews 10月20日消息，据派盾（PeckShield）监测，被标记为Drift攻击者的地址在沉寂约两个月后正将被盗资金转入Tornado Cash，本轮已累计转入约2.13万枚ETH，价值约5000万美元。此前Onchain Lens监测到该攻击者已向Tornado Cash转入至少1.34万枚ETH，约合3200万美元。

据 Onchain Lens 监测，PANews 10月20日消息，Drift Protocol 攻击者沉寂 2 个月后再次活跃，已向 Tornado Cash 转入至少 13,400 枚 ETH，价值约 3,200 万美元，可能意在混淆资金流向。目前该攻击者在被追踪的钱包中仍持有约 2.2459 亿美元资产，包括 93,965 枚 ETH（约 2.2404 亿美元）、477,375 枚 USDY（约 54.9 万美元）和 1.33 枚 SOL（约 138 美元）。

深潮 TechFlow 消息，据 Onchain Lens 监测，10 月 20 日，Drift 协议攻击者地址在沉寂两个月后重新活跃，已将至少 1.34 万枚 ETH（约合 3200 万美元）转入 Tornado Cash 混币器，疑似用于掩盖资金流向。目前该攻击者被追踪的钱包中仍持有价值约 2.2459 亿美元的资产，包括 9.3965 万枚 ETH、47.7375 万枚 USDY 以及 1.33 枚 SOL。

慢雾安全团队分析 Qubic Wallet 漏洞：账户种子由非加密安全的 Math.random() 生成 55 个小写字母，而同一随机流的截断输出又通过协议头 dejaVu 字段明文发给网络对端。慢雾用 Z3 求解器对 V8 xorshift128+ 状态建模，实验显示 6 个连续 dejaVu 值即可唯一还原 128 位状态并重建种子，配合余额请求暴露的公钥可离线验证候选种子，本地 PoC 已复现私钥匹配。慢雾提醒 Qubic 官方 10 月 18 日公告称攻击者利用部分钱包随机性不足转移约 2.94 万亿 QU、涉及 1404 个钱包；实际攻击成功率取决于桥接与对端的信任边界及调用连续性。

Gate 特别策划《大门安全课》第三期邀请 GoPlus 合伙人 Adam 与 Gate 安全团队，讲解为何审计过的项目仍会出事、如何读懂审计报告及用户自查方法。Adam 指出传统合约审计存在快照式检查、无法预判未来、外部依赖失控、旧合约集中暴雷四项结构性失效，建议行业从一次性审计升级为全生命周期持续安全。Gate 安全团队介绍其合约审计分静态分析、业务场景建模、语义化验证三步，并建议用户用安全分达到 80 分开通账户安全保障计划，单次事件补偿额度目前最高 20 万美元。

彭博社报道，布鲁克林地区检察官办公室虚拟货币部门主管 Alona Katz 牵头开展跨国打击行动，目标是瓦解一个运营基地位于东欧、针对布鲁克林居民实施诈骗、涉案赃款达数千万美元的计算机犯罪网络。报道援引 FBI 数据称，2025 年美国上报的加密货币诈骗损失总额达 114 亿美元，约为三年前的三倍；布鲁克林多数案件受害金额在数百至数万美元，达不到联邦机构立案门槛。诈骗分子多通过社交平台用俄语接触布莱顿海滩等地的俄语移民，先允许小额提现营造可信假象，再以高额手续费或失联阻止全额取现。

安全研究机构 Asymmetric Research 披露，Solana 链上治理程序 svmgov 此前存在漏洞：验证者未参与投票时，其委托人提前提交的独立投票可能无法计入最终结果。该漏洞 7 月 10 日报告给 Solana 基金会，8 月 3 日完成主网修复，早于 8 月 24 日的治理投票。Asymmetric Research 依链上数据测算，若漏洞未修复，SGP-0002 提案赞成率可能从实际的 67.00% 降至 66.65%，低于 66.67% 的通过门槛。

深潮 TechFlow 消息，10 月 20 日，据 CertiK Alert 监测，Aztec Rollup 攻击者于 10 月 20 日向 Tornado Cash 存入 1255.8 枚 ETH，价值约 300 万美元。

Odaily 星球日报讯，Papertrade 创始人 Jez 在 X 平台回应 PAPER 代币不可转让争议，称团队在协议上线前已意识到部分未解决的技术问题，包括永续合约市场可能带来的攻击风险，原预计有约 6 个月寻找解决方案，但相关市场推进速度远超预期。Jez 表示为维护协议长期健康发展，PAPER 目前已被设置为不可转让状态，其代表用户对协议收益的权益，长期价值取决于 Papertrade 能否持续吸引交易者；针对社区质疑，他称相关调整是依据协议上线一周以来实际运行数据作出的风险管理选择，未来还将继续调整协议参数。

Papertrade 宣布出于永续合约相关攻击风险考虑，平台代币 PAPER 将继续保持不可转让状态，暂未公布开放转账或二级市场交易的时间表。用户通过已实现交易亏损获得的 PAPER 代币仍可用于质押，以获取协议分配的 USDC 收益。Papertrade 是基于 Hyperliquid 构建的完全链上合成永续合约协议，支持最高 1000 倍杠杆。

Odaily 星球日报讯，万事达卡（Mastercard）推出 Stablecoin Security 工具，面向稳定币支付场景，帮助金融机构及支付服务商在交易处理过程中识别欺诈行为与制裁合规风险。目前万事达卡尚未披露该工具的具体技术参数及上线范围。

据 The Block 报道，万事达卡在 Money20/20 USA 上宣布推出稳定币风险情报服务 Stablecoin Security，在资金上链前追溯来源、排查欺诈、诈骗、制裁违规等关联并生成风险评分，银行可通过 API 接入现有风控与合规系统。Borderless.xyz 和 Keyrails 为首批合作伙伴，服务先在北美推出，预计 2027 年全球商用。万事达卡援引 BIS 研究称，2025 年以太坊 1.41 亿笔交易包含 5.93 亿次稳定币转账事件，近 60% 发生在多步骤交易中。

Bitcoin Optech 发布第427期新闻通讯回顾播客，Mark Erhardt、Gustavo Flores Echaiz、Mike Schmidt 与 Erick Cestari、Adam Gibson 对谈。Erick Cestari 与 Matt Morehouse 披露 Eclair 旧版两个 DoS 漏洞，攻击者无需通道和资金即可耗尽节点内存，其中之一每秒可泄漏 1 MB 内存直至节点崩溃，另一个会导致重启后持续崩溃，两者均已在 7 月的 Eclair v0.14.1 中修复，据称未被在野利用。Adam Gibson 介绍 LN-GAP 提案，在 Lightning 通道内用 Bitcoin Script、Lamport/WOTS 一次性签名及名为 venue 的多方时间戳证明运行多轮链下合约，例如通道内的国际象棋对局。节目还讨论 Bitcoin Core 32.0rc4，包括 HTTP 服务器重写移除 libevent 依赖、txindex 与 txospenderindex 存储优化可节省约一半空间、默认连接数从 125 提升至 200，并逐条讲解 Eclair、LDK、LND、Rust Bitcoin 和 BDK 的多项代码修复。

Anthropic 公布研究，让 Claude Mythos 5 连续运行 53 小时重画椭圆曲线点加法的量子电路，该环节占量子攻击比特币签名的大部分量子比特和运行成本。新方案比此前最省量子比特的方案多用约 12% 量子比特，但 Toffoli 门降到约十七分之一；同一方法用于另外 7 项任务，最大一项把量子比特与门数量的乘积压低 39 倍。文章指出这只是单个模块的改进，未在任何量子硬件上运行，不能推出破解比特币的时间缩短十七倍；对比特币与银行的后量子迁移进度差异也作了分析。

彭博社报道，布鲁克林地区检察官办公室虚拟货币部门主管 Alona Katz 团队在行动当晚关停 240 余个加密诈骗网站和 112 台服务器，是该办公室规模最大的网络阻断行动之一，本次未实施逮捕。该部门 2023 年成立，诈骗多针对布莱顿海滩等地的俄语移民社群，通过 Facebook 广告引流、展示虚假收益诱导追加投资。团队曾于 2024 年 6 月查封 70 个诈骗域名，截至 10 月初正向受害者返还约 30 万美元；FBI 数据显示 2025 年美国上报加密诈骗损失达 114 亿美元。

据区块链安全机构 Salus 监测，Aztec Connect 黑客于 10 月 19 日分 30 笔交易向 Tornado Cash 存入 1,255.8 枚 ETH（约 301 万美元），批次包括 12 笔 100 ETH、5 笔 10 ETH、5 笔 1 ETH 和 8 笔 0.1 ETH。攻击者 6 月 14 日利用已弃用的 Aztec Connect 合约中的结算验证漏洞盗取约 219 万美元资产，包括 908.987 枚 ETH 及 DAI、wstETH 和 Yearn 金库代币；资金持有约四个月后，攻击者于 10 月 19 日赎回金库代币并换成另外 346.767 枚 ETH，目前被盗的 6 种 ERC-20 代币余额已全部清零。

Mastercard 在拉斯维加斯 Money20/20 会议宣布推出 Stablecoin Security，让金融机构在稳定币支付结算前筛查欺诈、诈骗和制裁风险并生成风险评分。该工具通过平台无关的 API 交付，首批合作方为 Borderless.xyz 和 Keyrails，先在北美上线，预计 2027 年全球可用。Mastercard 援引国际清算银行对 2025 年 5.93 亿笔稳定币转账的研究称，近 60% 为多步骤复杂交易，机构难以评估全程风险。

据 The Block 报道，支付公司 Mastercard 推出 Stablecoin Security 工具，用于筛查稳定币支付中的欺诈与制裁合规风险，帮助相关机构在交易处理过程中识别欺诈行为及制裁合规风险。当前材料未提供该工具的产品参数与上线范围。