#安全事件

Odaily 星球日报讯，据链上侦探 Specter 监测，ZachXBT 披露 Bitget 攻击者通过 Zcash（ZEC）掩盖被盗资金后，其他被盗资金也开始流入 ZEC，包括 Cryptobills Ledger 事件资金及价值 1200 万美元的 Triple-A 黑客攻击资金。链上侦探称威胁行为者正利用 ZEC 转移被盗资金。

据港媒 HK01 报道，香港 BBB Group（好好好集团）声称在马来西亚投资沉香产业并售场外股票、数字资产，疑似骗局，公司称会在 2027 年 2 月或之前将 OTC 股票转为数字资产。香港警方已接获 21 人报案，涉款 1400 万港元，商业罪案调查科正以串谋诈骗调查，暂有四人被捕；香港证监会已将马来西亚沉香种植园投资、沉香树计划、Agarwood Potted Trees、APT4 列为可疑投资产品。

据港媒 HK01 报道，香港“BBB Group（好好好集团）”声称在马来西亚投资沉香产业并售场外股票、数字资产，疑似骗局，该公司称会在 2027 年 2 月或之前将 OTC 股票转为“数字资产”加密货币。香港警方已接获 21 人报案，涉款 1400 万元，商业罪案调查科正以“串谋诈骗”调查，暂有四人被捕。另据香港证监会官网，“马来西亚沉香种植园投资 / 沉香树计划 / Agarwood Potted Trees / APT4.0”已被列为可疑投资产品。

深潮 TechFlow 消息，NEAR Intents 负责人 Alex Shevchenko 发布 10 月 1 日漏洞事件复盘：攻击者利用存款通知功能漏洞，通过 23 笔失败存款交易凭空生成约 380 万美元幽灵资金并经 Omni 基础设施提取至外链，漏洞属于 NEAR Intents 合约而非 Omni。复盘显示攻击发生于 9 月 29 日至 10 月 1 日，团队 10 月 1 日发现异常并在 29 分钟内暂停合约，攻击者于 10 月 2 日全额归还资金。团队已移除存款通知功能并新增余额不变量监控，破坏即自动暂停；10 月 7 日白帽研究员 @rohanganapa 经 HackenProof 报告同一功能的另一严重漏洞，获 30 万美元奖励。

PANews 10月17日消息，NEAR Intents 发布 10 月 1 日安全事件报告，其智能合约存在一个与第三方合约交互相关的漏洞，攻击者利用调用失败后的退款机制使资金退回但存款仍被记录，通过 23 笔失败的存款交易产生约 380 万美元虚假余额，随后经 Omni 跨链基础设施提取资金。报告称漏洞存在于 NEAR Intents 合约本身而非 Omni 基础设施，发现后 36 小时内资金已全部追回。团队已移除相关存款通知功能，引入余额异常监控及自动暂停机制，并向 10 月 7 日报告同一功能另一项严重漏洞的研究员支付 30 万美元赏金，目前系统已恢复正常。

Karpelès Lab CEO Mark Karpelès 在 Unchained 10 月 15 日直播中称，此前在东南亚经销商 CryptoBilis 销售的 Ledger 硬件钱包中发现的间谍植入物，又出现在另外两家授权经销商的设备中，且新版已为量产设计。其中一台是他在新加坡樟宜机场门店 Metapod 购买的 Ledger Flex，植入物含读屏芯片、蜂窝调制解调器和发送数据的 eSIM 三颗芯片；另一台是 X 用户 Johannes 在德国 MediaMarkt 购买的 Nano X，寄给 Karpelès 的那台内也发现植入物。Ledger 称 10 月 9 日一波确认的资金盗取均涉及 CryptoBilis 设备，并表示其团队检查了德国零售和经销商库存的设备，未发现篡改痕迹，但尚未检查网上展示的设备。MediaMarkt Saturn 已于 10 月 13 日停售 Ledger，Ledger 也要求新加坡等七个亚洲市场的卖家暂停销售。Karpelès 认为取消授权经销商计划过于激进，建议改用防拆包装。

安全专家 Taylor Monahan 在 Uneasy Money 10 月 14 日节目中称，她近几日处理的 Ledger 相关损失报告并非来自转销商 CryptoBilis 手机植入件导致的盗取，而是用户恐慌后落入骗局，包括恶意 Google 广告、假应用、钓鱼网站、恐吓邮件和直接来电。Ledger 10 月 13 日称被植入组件会从屏幕读取助记词并通过蜂窝连接外发，确认损失均涉及经 CryptoBilis 售出的设备，尚未确认总数；Bitquery 统计 324 个钱包被盗 1.02 亿美元。SlowMist 10 月 16 日警告有冒充 Ledger 固件更新的钓鱼活动，Zscaler 9 月也报告过假广告骗取助记词的活动，两者均未与 Monahan 所述案件关联。

跨链兑换协议 NEAR Intents 发布漏洞事后报告，称价值 380 万美元资产被提取源于存款通知功能缺陷：攻击者创建故意使通知失败的智能合约，代币被退回但协议内部账本仍记录余额。攻击者通过 23 笔失败存款交易累计生成 380 万美元无资产支撑的虚假余额，于 9 月 29 日至 10 月 1 日提取真实代币并经 Omni 基础设施转移至其他区块链。NEAR Intents 总经理 Alex Shevchenko 称漏洞在 NEAR Intents 合约而非 Omni 基础设施。团队称攻击者在漏洞被发现后 36 小时内归还全部资金，受影响用户已获全额补偿，存在漏洞的功能已于 10 月 7 日移除，另一名安全研究员因发现相关严重漏洞获 30 万美元奖励。

ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取 380 万美元，并在检测后 36 小时内归还全部资金，受影响用户已获全额补偿。报告称，攻击者创建了故意让通知失败的合约，使代币合约退还存款而 NEAR Intents 仍保留账本信用，在 23 笔失败存款交易中累积 380 万美元无支撑余额（ghost funds）后提取真实代币并经 Omni 基础设施转移至其他链；Shevchenko 表示这是 NEAR Intents 合约的漏洞而非 Omni 的漏洞。提款发生在 9 月 29 日至 10 月 1 日，结算合约 10 月 1 日暂停后重新开放，合约侧存款 10 月 2 日恢复。报告称漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有代币，团队已补充该检查并在余额不一致时自动暂停合约；10 月漏洞修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。

Chainalysis 称三个被归因于任务诈骗的地址合计损失 60 BTC（490 万美元），其 Ledger 钱包在针对被篡改硬件钱包的供应链攻击中被清空。9 月 22 日诈骗所得被转入三个独立 Ledger 地址，10 月 9 日三个地址各一笔转出至同一钱包。Ledger 称攻击由一个高度有组织的犯罪集团实施，据称为此花费数百万美元，并称正与执法部门合作追踪资金；截至 10 月 15 日公司自查大量样本未发现被篡改设备，但用户侧约 9300 万美元损失的报道尚未证实。

链上侦探 Specter 监测到 Ledger 用户钱包被盗报告，Ledger 确认已核实案例均指向东南亚经销商 CryptoBilis 销售的设备，受影响设备中发现未经授权的硬件植入物，累计损失在 8600 万至 9300 万美元以上。Mt.Gox 前 CEO Mark Karpelès 在一台设备屏幕衬垫下发现接在屏幕 SPI 数据线上的微控制器、带 eSIM 的 LTE 模块和天线，可在助记词显示于屏幕时截取并通过 LTE 外发，而设备仍能通过 Ledger 正品校验。据 Bitquery 追踪，被盗资金约 9320 万美元分布在 6 条链的 315 个钱包中，Tether 已冻结约 1000 万美元涉案 USDT。Ledger 建议过去 90 天内从 CryptoBilis 购买设备的用户未初始化的不要设置，已设置的将资产迁移到使用全新助记词的新签名器；截至 10 月 12 日，CryptoBilis 销售和发货均已暂停。

区块链分析公司 Chainalysis 在周四的推文中披露，Ledger 钱包被盗事件的最大受害者之一是一名骗子，其损失超过 60 枚比特币，约 480 万美元，资金来自任务诈骗。该骗子于 9 月 22 日将资金转入三个独立 Ledger 地址，10 月 9 日三个地址被清空，每个地址约 164 万美元转入同一钱包。Ledger 称已确认损失均涉及经销商 CryptoBilis 销售的设备，但 Chainalysis 未说明该骗子的设备购买渠道；链上调查人 Specter 追踪到超 8600 万美元疑似被盗资金，Ledger 表示尚未核实该数字，其调查仍在进行。

Chainalysis 周四在 X 上披露，一名通过"任务骗局"获利的加密骗子将非法所得转入三个 Ledger 硬件钱包地址后，这些地址被攻击者清空，共损失 60 枚 BTC，价值超 490 万美元。据 CoinDesk 报道，该受害者是此次 Ledger 设备被入侵事件中损失最大的受害者之一。

硬件钱包是将私钥离线保存、在设备内部签名交易的物理设备，可避免私钥接触联网设备。但其并非绝对安全：据 TRM Labs，2026 年 7 月攻击者利用 Coldcard 一个存在五年的固件漏洞，从 5,200 多个地址盗走约 1,816 BTC（约 1.16 亿美元）；2026 年 10 月 Ledger 披露，东南亚经销商 CryptoBilis 销售的设备被植入未授权芯片，可读取助记词，相关报道称约 8,600 万美元被转移。

韩国绰号「존버킴」的朴姓男子被控发行葡萄币与아튜브两种诈骗币、诈得约3400亿韩元，首尔南部地方法院10月15日一审判他无罪，检方原求刑20年并请求追徵约188亿韩元。法院承认被告对项目实况有欺骗行为，但认为无法证明投资人因此受骗买币，且诈骗币在法令与判例上没有具体要件，不能只因被归为诈骗币就认定欺骗。同案仅葡萄币发行商 Enterblock 的两人因向交易所 Coinone 提交假资料、妨碍上架审查被判有罪并获缓刑。

据香港01报道，香港过去两周共接获超150宗WhatsApp账户劫持诈骗案，涉案金额超1,500万港元。其中一名虚拟货币兑换公司职员的WhatsApp账户遭劫持后，骗子复制真实工作群组的名称、头像及成员信息建立虚假群组，冒充客户提出兑换请求，诱使受害者向指定钱包转入加密货币，最终导致该公司损失超400万港元。

某本轮牛顶建仓ETH的巨鲸已向交易所充值1.54万枚ETH，预计亏损1345万美元。Osmosis称bOSMO赎回合约存在漏洞，1037个账户将获赔约4.05万枚OSMO。Capital B上半年净亏损约7790万美元，其比特币储备增至3538枚。

Bitget大中华区负责人谢家印在TOKEN2049期间回应9月底成立8年来唯一一次安全事件，称已放开用户提币，次日起资产陆续回来，并披露9月底资产储备金证明为131%。他介绍，去年9月上线美股交易（初期接入Ondo），12月底研发代币化美股协议Reality对接纳斯达克和纽交所流动性，美股业务单日交易额最高达100亿美元，美股衍生品占比19.5%；今年1月5日上线接入MT5的黄金、外汇、白银业务，约两个月前统计显示今年新注册用户中每四人有一人交易美股或外汇。

Osmosis 表示，Backbone Labs 发行的流动性质押代币 bOSMO 赎回合约存在漏洞，自 2026 年 4 月以来每次赎回重复计算 Backbone 自有验证者质押的 OSMO，使赎回用户多得约 50%，差额由其他持有者承担。相关方面已于 10 月 10 日单笔赎回约 77.6 万枚 bOSMO、提取约 129.97 万枚 OSMO，预计 10 月 24 日解绑完成后，按赎回前每枚 bOSMO 兑换 1.1174 枚 OSMO 的比例，向快照时持有的 1037 个账户自动赔偿约 4.05 万枚 OSMO。Osmosis 称漏洞尚未修复，目前经 Backbone 赎回每枚 bOSMO 仅约得 0.06 枚 OSMO，铸造成本约 0.039 枚 OSMO，建议用户不要购买 bOSMO 或提供流动性，现有流动性提供者撤出资金。

Ledger于15日说明，犯罪集团投入数百万美元，数月间购买正品设备并加装可窃取助记词的伪劣部件，经东南亚代理商网络流通后盗取用户资产，同时自建服务器收集助记词并洗钱。Ledger强调其产品芯片、操作系统和服务器无缺陷、系统未被入侵，攻击针对设备离开其管控后的流通渠道；公司正与执法机构合作追踪资金，并已要求东南亚及香港正规代理暂停销售，规定退回设备一律不得再售、禁止门店陈列。区块链分析公司Bitquery估算截至11日约9320万美元（约147亿日元）流出，Ledger称该数字未经充分验证。此外Ledger于15日发布新产品Ledger Atom，计划2027年出货。

Chainalysis 披露，Ledger 安全事件中损失最惨重的受害地址之一实为一个网络“刷单任务”电信诈骗团伙，被黑客盗走逾 60 枚比特币（按当时市价约合 480 万美元）。链上记录显示，该团伙 9 月 22 日将非法所得分散转入 3 个 Ledger 硬件钱包地址，10 月 9 日外部黑客利用供应链漏洞通过单笔签名指令将 60.3 枚 BTC 清空至黑客主控制地址，仅耗时 1 个区块确认。

深潮 TechFlow 消息，10 月 16 日，据 PeckShield 监测，此前盗取 Bofur Capital 关联地址 200 万美元 DAI 的网络钓鱼攻击者，已将全部被盗资金兑换为 825.5 枚以太坊（ETH）。

PeckShieldAlert 监测显示，从 Bofur Capital 一个地址窃取价值 200 万美元 DAI 的钓鱼攻击者，已将被盗资金兑换成 825.5 枚 ETH。

深潮 TechFlow 消息，据官方消息，隐私区块链项目 Pirate Chain 披露遭遇交易验证漏洞攻击，约 3980 万枚 ARRR 被未授权铸造，代币总供应量增加约 20%。攻击者将新铸造资金转入 Sapling 屏蔽池，部分资金流入交易所 NonKYC，相关充值账户已被限制提现；官方称攻击利用了代币发行检查绕过及输出脚本解析错误两个验证缺陷，底层加密算法和公证人密钥未受损。目前 dPoW 节点已暂停公证，因网络无法单方面冻结或回滚历史记录，仍在运行，团队呼吁用户暂停转账并正协作制定恢复方案。

PANews 10月16日消息，Pirate Chain发布漏洞利用事件调查更新：10月14日源代码中发现交易验证漏洞，导致约3980万枚ARRR被未经授权创建，代币总供应量增加约20%，新生成代币随即被转入Sapling隐私池。NonKYC平台发现可疑存款后限制相关账户并阻止提现。作为预防措施，dPoW运营商已共识暂时停止公证服务，团队已请求各交易所和矿池在恢复计划制定期间自愿暂停相关业务运营，目前网络仍可运行，团队正调查并与其他社区协作制定解决方案。

区块链分析公司 Chainalysis 披露，此前硬件钱包 Ledger 安全事件的最大受害者之一是网络诈骗团伙，该团伙通过刷单任务诈骗非法获取逾 60 枚比特币（约合 480 万美元）。链上数据显示，诈骗人员于 9 月 22 日将涉案资金分散转入 3 个 Ledger 钱包地址，10 月 9 日黑客通过单笔转账将 3 个地址内资金全部转入同一个已被标记为被盗资金的钱包地址，致其资金全数被盗。

布鲁克林检察官通报，一场有FBI协助的跨国执法行动关停了112台服务器和241个涉事网站，这些站点服务于针对美国俄语群体的加密货币投资骗局，据信涉案数千万美元。检方称，同一团伙在受害者初次受骗数周后，会冒充资产追回机构再次联系受害者实施二次诈骗；服务器取证数据显示部分受害者被要求缴纳额外手续费、税费才能提现。目前仅扣押约30万美元赃款，未公布涉案人员身份或逮捕消息，多数被盗资金去向不明。

Rekt 复盘了一起针对 Ledger 硬件钱包的供应链攻击：植入板在设置时从屏幕读取助记词并通过 LTE 外传，安全芯片本身未被攻破。Bitquery 链上分析称 324 个钱包在 47 分钟内横跨六条链被清空，疑似损失 1.02 亿美元，Ledger 未核实该数字。Joe Grand 早在 2026 年 3 月就向 Ledger 报告过植入物，Karpelès 后续发现带版本号的量产型植入板；Ledger 的 Genuine Check 无法检测安全芯片旁的附加硬件，已要求多地经销商下架产品。

Beosin据Beosin Alert平台监测数据统计，2026年9月各类安全事件损失金额总计约7.6亿美元，发生重大安全事件共48起。其中Bitget热钱包遭黑客入侵损失超3.875亿美元，Liquid Network因Elements验证缓存漏洞被恶意铸造约4,000枚BTC（价值约3.2亿美元），攻击者随后返还3400枚BTC，剩余598.5枚BTC仍处于是否为漏洞赏金的争议中；其余46起事件总损失约5295万美元。报告分析了三起典型攻击：Neutron遭治理攻击，攻击者用约20199 USDC买入NTRN并质押3160万枚卡在投票快照窗口，以82%赞成率通过提案后转移Astroport和Drop合约管理员权限，共盗取约940万美元；Injective遭二元期权结算漏洞攻击，利用失效预言机触发无价格退款逻辑套取约490万美元；ASI Alliance生态（Fetch.ai、NuNet、SingularityNET）因私钥泄露被同一攻击者提取870万枚FET并大量增发NTX、AGIX等代币。按类型统计，交易所损失金额最多达3.875亿美元，DeFi合约被攻击次数最多达13次；按链统计，Liquid Network损失最多，Ethereum损失约1.46亿美元、共14起事件。Beosin建议项目方为治理提案设置绝对票数门槛、为时间锁配备监护人或取消路径，并对核心业务合约进行多次多方安全审计。

Bitcoin Optech 第 427 期通讯总结了 Eclair v0.14.0 及更早版本中两个拒绝服务漏洞的披露，以及在闪电网络通道内运行复杂多轮合约的 LN-GAP 提案。Eclair 的两个漏洞分别由 Matt Morehouse 和 Erick Cestari 发现，均已在 v0.14.1（7 月发布）中通过 Eclair #3324 修复，官方建议旧版本用户升级。第一个漏洞是 duplicate temporary_channel_id 检查中的竞态条件，攻击者连续发送相同 open_channel 消息可绕过检查，每次攻击每秒泄漏约 1 MB 内存，直至节点内存耗尽或 CPU 全部用于垃圾回收。第二个漏洞可绕过 Eclair 对未确认注资交易的待处理通道数量限制，Cestari 测试中单个无链上成本的连接在约 48 分钟内耗尽节点 4 GB 内存，且节点重启后会反复崩溃，除非提高内存限制或手动删除数据库记录。Morehouse 表示，使用 Eclair 节点作为 LSP 的移动钱包（如 Phoenix）不受影响，因为 ACINQ 数月前已修补其节点。Adam Gibson 向 Bitcoin-Dev 邮件列表提出了名为 LN-GAP 的协议方案，用于在闪电网络通道内运行复杂、多轮、双方参与的合约，并以恒定数量的交易在链上解决争议；为展示该方案，他实现了一个国际象棋游戏。该方案引入一个由成员组成的 venue（仲裁场所），负责证明某条签名消息是否在截止日期前发布，venue 只需证明发布的及时性，无需判断消息内容；venue 从不持有用户资金，且避免依赖 FROST 门限签名，改用通过 OP_CHECKSIGADD 校验的逐成员 one-bit signatures，成员通过 adaptor 原子化地以通道内费用获得激励。该构造依赖诚实多数假设：若 venue 中超过半数成员与其中一方串谋，资金可能被盗。除游戏外，Gibson 认为潜在应用还包括存储证明合约（提供方若未响应挑战则没收保证金）以及类似 BitVMX 链上零知识验证器的链下争议解决。通讯还公布了 Bitcoin Core 32.0rc4 候选版本，并介绍了 Eclair、LDK、LND、Rust Bitcoin、BDK 等项目近期的重要代码与文档变更。

ChainCatcher 消息，隐私币项目 Pirate Chain 表示其网络遭遇漏洞攻击，导致 3980 万枚 ARRR 代币被凭空生成。Pirate Chain 称网络仍在正常运行，开发团队正在推进恢复工作，并已要求用户在恢复完成前不要转移资金。

ChainCatcher 消息，Backbone Labs 发行的流动性质押代币 bOSMO 在 Osmosis 社区池完成大额赎回后，合约支撑近乎耗尽。Osmosis 论坛 10 月 15 日披露显示，约 40,508 枚 OSMO 被指定用于补偿 1,037 个账户。披露作者 Johnny Wyles 称，该质押合约自至少 2026 年 4 月起对每笔赎回超额支付，实际按约 1.676 OSMO 兑 1 枚 bOSMO 结算，而合约声明的兑换率约为 1.117 OSMO。该漏洞重复计算了质押在 Backbone 自有验证者上的 OSMO，使赎回者多获得约 50% 的资产，代价是剩余持有者的支撑被稀释。缺陷在准备清算社区池头寸时暴露，已通过的治理提案 1049 授权撤回 Margined 管理的金库头寸，并在其结束管理流动性业务时销毁回收的 OSMO。该池的 bOSMO 金库持有约 113.7 万枚 bOSMO，约占该代币总供应量的 97%；10 月 9 日 21:59 ET 执行的赎回交易销毁了 776,000 枚 bOSMO，并开始解绑约 130 万枚 OSMO。补偿以区块 72,237,940 时的合格余额为准，按 1.1174 OSMO 兑 1 枚 bOSMO 计算，快照后买入的 bOSMO 不在补偿范围内，存放在流动性池和其他合约中的底层持有者同样被纳入。

据 Chainalysis 报告，一名运营任务骗局的骗子在新买的三台含记录助记词间谍软件的 Ledger 设备中损失 60 枚比特币（约 480 万美元），资金被转入同一钱包。此前篡改 Ledger 事件已致 530 个地址被盗逾 1.034 亿美元，Ledger 暂停东南亚经销商网络，Trezor 也将自 1 月 1 日起关闭部分偏远地区经销商。

据创始人 Felix Romer 确认，加密赌场 Gamdom 于 10 月 13 日遭热钱包攻击，损失超 300 万美元，公司随即停运并将剩余资产转入冷存储。区块链调查者 vxdb 估算损失约 420 万美元，其中以太坊兼容网络 220 万美元、Solana 96.5 万美元、比特币 66.8 万美元、Tron 37.5 万美元，与创始人数字的差异尚未解释。至 10 月 15 日平台仍未恢复上线，运营方称用户资金安全，但材料未提供独立核实的客户余额损失结论。

纽约布鲁克林地区检察官 Eric Gonzalez 于美东时间 10 月 14 日宣布，其虚拟货币小组（VCU）在 FBI 协助下查封并瘫痪 241 个诈骗网域与 112 台服务器，打击一个锁定美国俄语社群的跨国加密投资诈骗集团，历时 3 年调查。检方称此次直接切断后端基础设施，跨 3 个时区执行搜索令；此前已查封约 400 个诈骗网域但新站点很快复现。检方估计损失达数千万美元，目前仅扣得约 30 万美元赃款，据 CoinDesk 报道此案尚未宣布逮捕任何人。

PANews 10月15日消息，Polygon Labs 宣布 Bor v2.10.3 正式发布，修复 BlockSTM V2 并行区块执行中的两项中危拒绝服务漏洞：一项是未设置容量上限的共享 Keccak-256 缓存，另一项是并行执行期间重复计算智能合约代码哈希。官方称漏洞影响默认启用 BlockSTM V2 的 Bor v2.10.1 和 v2.10.2 版本，目前尚未发现其在主网或 Amoy 测试网上遭到利用。

深潮 TechFlow 消息，10 月 15 日，Polygon Labs 官方公告 Bor v2.10.3 正式发布，此前已于 10 月 5 日以私有版本形式向验证者及主要基础设施提供商分发。该版本修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，均由安全研究人员通过 Immunefi 漏洞赏金计划提交：一是无界 keccak256 缓存问题，攻击者可构造特定交易在投机执行阶段填充数百 MiB 缓存导致节点内存耗尽，修复方案为对共享缓存设置容量上限；二是并行执行中重复代码哈希计算问题，单笔交易可致并行处理器耗时约 11 秒，修复方案为对代码哈希结果逐交易缓存。此外还包含交易池对 EIP-7702 SetCode 授权的拦截、RPC 批量执行池并发限制修复、并行执行跨自毁边界余额读取一致性修复，以及滞留待处理交易自动清理机制（默认 3 小时）。受影响版本为 Bor v2.10.1 和 v2.10.2；v2.10.3 非硬分叉，节点可逐个升级无需协调，两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。

布鲁克林检察官与 FBI 查封或切断了 241 个诈骗网站和 112 台服务器，该网络涉嫌通过俄语 Facebook 广告和假顾问骗取美国俄语受害者数千万美元，受害者尝试提现时被锁账户或被要求缴纳税费，随后又被以追回资金为名二次诈骗。行动在上周完成，源于历时三年的调查，目前尚无逮捕公布，已查封约 30 万美元。据 FBI 年度报告，2025 年投资诈骗损失 86.5 亿美元中约 84% 为加密投资诈骗，全部网络犯罪损失 208.8 亿美元中加密相关损失约 113.7 亿美元、占约 54%。

据韩国媒体《数字资产》报道，首尔南部地方法院第 13 刑事部于 10 月 15 日对涉嫌以 POD、ATT 两个项目实施约 3400 亿韩元加密货币诈骗的朴某作出一审无罪判决。法院认定其在白皮书及 Telegram 发布虚假信息构成欺骗行为，但检方未能逐一证明个别投资者因该欺骗陷入错误认知而购买代币，诈骗罪不成立；涉及 POD 出售的背信罪也因代币所有权归属存疑未获充分证明而判无罪。同案两名被告因向交易所提交虚假上市维持审查材料，业务妨害罪成立，分别被判处有期徒刑 4 个月缓刑 1 年和有期徒刑 6 个月缓刑 2 年。

据韩国媒体 Digital Asset 报道，10月15日首尔南部地方法院一审判决加密货币操盘手“Jonber Kim”（音译，朴某）无罪，其被诉涉及约3400亿韩元（约合2.3亿美元）加密资产诈骗。法院认为，尽管被告在 POD（葡萄币）和 ATT（Atube）项目上可能存在虚假宣传，但检方未能证明该行为与投资者买入代币之间存在因果关系，操纵币价及挪用葡萄币出售所得的指控也证据不足。另两名被告因在 Coinone 上币续审中提交虚假材料、妨碍交易所审查，分别被判处有期徒刑4个月缓刑1年和有期徒刑6个月缓刑2年。