#钱包

深潮 TechFlow 消息，据 Web3 安全公司 Blockaid 分析，Binance 疑似被盗事件中，攻击者因无法确定热钱包 Binance 14 的实时 nonce，在一笔交易中一次性提交 50 个 EIP-7702 授权，仅 1 个生效；由于该热钱包当时仍在持续发出交易，其中一个 nonce 恰好命中。Blockaid 此前称，该地址随后被升级为未经验证的归集合约，只有指定操作地址可转走其中全部代币和 ETH。另据 Whale Alert 监测，北京时间 05:50，被标记为「Binance Hack 2026」的地址将约 7.77 万亿枚 PEPE 转入未知钱包，价值约 3748 万美元。上述信息暂未获 Binance 官方证实。

新加坡警方 10 月 28 日发布通告称，本地商店售出的部分 Ledger 硬件钱包被加装恶意部件，自 9 月 10 日起至少收到两起报案，合计损失约 350 万新元（Unchained 按欧洲央行 10 月 28 日参考汇率折算约合 270 万美元）。通告未说明涉事门店、钱包型号、购买时间或嫌疑人，也未确认是否与 Ledger 10 月 9 日披露的东南亚经销商相关盗币事件有关。Ledger 此前称研究人员在从经销商 CryptoBilis 购买的设备中发现加装部件，可在设置过程中解码助记词并通过 LTE 传输，并已要求新加坡等七个亚洲市场暂停销售，公司称此为局部分销攻击而非系统性供应链问题。警方建议怀疑设备被篡改的用户停止输入助记词或发起交易，通过官方渠道联系厂商，并将剩余资产转移到使用全新助记词的新钱包。

据新加坡警察部队官网公告，新加坡警方发布警示称，自9月10日以来已接获至少两起与遭篡改的 Ledger 加密货币硬件钱包有关的案件，损失合计约350万新元。初步调查显示，部分在新加坡零售店购买的设备内含恶意硬件组件，可窃取助记词或私钥并转走资产。警方已与 Ledger 联系，后者正在审查相关案件，调查仍在进行中；警方建议用户停止使用疑似受影响设备，用未受影响设备生成新助记词并转移剩余资产。赵长鹏在 X 平台转发该消息并提醒新加坡用户小心。

Zerion API 推出付费附加功能 RWA 分类，通过 asset_class 字段帮助开发者在 Solana 和主要 EVM 链上识别代币化股票、国债、商品等资产。该分类基于已知发行方及其部署的合约，而非代币名称推断，同一发行方的资产在各链上保持一致分类。开发者可在持仓接口和 webhook 中读取该字段，并用 filter[asset_class] 筛选资产，用于辖区合规检查、交易限制和投资组合分组。免费 API 密钥不含此功能，需按组织开通付费方案。

ChainCatcher 消息，MetaMask 已将 Stellar 设为移动端应用与浏览器扩展程序的默认网络。现有支持多链的账户将获得由助记词派生的 Stellar 地址，并支持 XLM、USDC 与 Soroban 代币。

新加坡警察部队于 10 月 28 日警示，自 9 月 10 日起当地至少两起报案涉及在零售店购买的 Ledger 硬件钱包遭篡改，合计损失约新币 3,500 万。警方称装置内恶意硬件元件可记录用户输入的恢复片语或私钥，使未授权者转走资产；SPF 已联系 Ledger，后者正检视受影响案件。据《海峡时报》报道，Ledger 已暂停新加坡、马来西亚、印尼、泰国、菲律宾、越南与香港的销售作为调查期间的预防措施。

新加坡警方10月28日发布初期调查结果，称当地部分小零售店售出的法国硬件钱包Ledger设备中含有可窃取助记词和私钥的不正部件，9月10日以来已报告至少2起案件，损失总额约350万新加坡元（约4.3亿日元）。Ledger在15日的说明中称，有组织犯罪集团数月来购买正规设备并植入恶意部件，经东南亚代理店网络流通；其强调芯片、操作系统和服务器无缺陷，攻击针对出货后流通环节。Ledger已要求东南亚和香港正規代理店暂停销售，并正与执法机关合作追踪被盗资金。

Google 推出多方计算（MPC）托管平台，面向银行及金融机构保护加密货币和代币化资产，将私钥份额分散存储在不同环境中，单一参与方无法掌握完整私钥；交易签署前还可按机构规则核验支出限额、获准地址及多人授权要求。该服务目前处于私人预览阶段，计划于 2027 年初开放商用。Google 表示已有多家大型金融机构参与测试，Alphabet 已将该技术用于保护其在 Solana 和 Ethereum 上的数字资产，但未披露持有资产及测试机构名单。

Google推出多方计算（MPC）托管平台，面向银行及金融机构保护加密货币和代币化资产，将私钥份额分散存储在不同环境中，单一参与方无法掌握完整私钥，交易签署前还可按机构规则核验支出限额、获准地址及多人授权要求。该服务目前处于私人预览阶段，计划于2027年初开放商用。Google称已有多家大型金融机构参与测试，Alphabet已将该技术用于保护其在Solana和Ethereum上的数字资产，但未披露持有资产及测试机构名单。

据塔斯社报道，俄罗斯央行第一副行长 Vladimir Chistyukhin 表示，拟议加密货币法案中的非托管钱包使用限制不适用于国际结算，相关场景仍允许使用非托管钱包。他称立法过程中最终决定不允许投资者直接使用非托管钱包进行投资，以降低反洗钱风险；用户仍可将加密资产从俄罗斯境内托管钱包转至境外托管钱包，再转入非托管钱包。

据 Stellar 官方公告，原 Stellar 网络钱包 Freighter 于 10 月 29 日正式更名为 Varial，业务重点转向帮助用户发现和使用 Stellar 生态应用。新钱包新增 Discover 应用目录、代币兑换、价格图表及 NFT 管理功能，并通过 Blockaid 提供恶意交易防护；官方称用户私钥仍保存在本地设备，钱包本身不收取手续费。Varial 还计划推出 Earn 功能，首批支持 Blend DeFi 头寸管理，并与 Lightsail 合作开发跨链充值地址，支持用户从 EVM 钱包转入 USDC。

Kraken Wallet 产品负责人 Washington Sanchez 宣布，Kraken 旗下自托管钱包 Kraken Wallet 浏览器插件现已上线，支持 Bitcoin、Ethereum、Solana、Ink、Base、Robinhood Chain 等多条网络。用户可通过助记词或私钥创建、导入钱包，也可使用仅观察钱包，或通过邮箱、Google、Apple 及通行密钥登录；插件支持单链及跨链兑换与跨链桥接，相关手续费为 10 个基点。

ChangeNOW 在 TOKEN2049 新加坡举办四场圆桌及 NOW Effect 访谈，MetaMask、Trezor、WalletConnect、Banxa、Aztec Labs 等项目代表参与。首席战略官 Pauline Shangett 在 Bit Digital Stage 演讲中主张用户不应接触区块链底层，应通过加密超级应用在后台完成网络切换与 gas 处理。圆桌议题涵盖钱包服务整合、AI 代理授权、交易路由与链上支付隐私。

据新加坡警方通报，自 9 月 10 日起本地已确认至少两起因购买被篡改 Ledger 钱包导致的盗窃案，损失约 270 万美元。用户 Ben Yorke 在樟宜机场 Metapod 专柜花费 300 美元购得的 Ledger Flex 因外壳划痕被寄给前 Mt.Gox 首席执行官 Mark Karpelès 拆解，发现内部被接入可物理读取屏幕并通过 LTE/eSIM 发送 24 个助记词的间谍电路板，而底层加密芯片完好使 Ledger 官方正品校验仍显示通过。深潮 TechFlow 称马来西亚经销商 CryptoBilis 的类似供应链污染造成约 8600 万至 9300 万美元盗窃，并称 Ledger 已紧急叫停东南亚多国及香港经销商销售业务；文章建议从非官方渠道购买的设备切勿通电初始化，已存入资金的应尽快转移到全新设备并更换助记词。

据 Cointelegraph 报道，加密交易所 Gate 在 TOKEN2049 期间正式发布一站式金融服务应用 Gate Money。创始人兼 CEO Dr. Han 称，该应用将用户同名银行账户、法币、加密资产以及股票、黄金等持仓整合于同一账户体系，并结合支持 Apple Pay 和 Google Pay 的 Gate Card 及 Visa 联名卡，实现资产即时消费，同时集成多种法币充提、链上划转、闪兑及最高 3.6% 年化的理财。Gate 称其已在马耳他、迪拜、澳大利亚及美国等地获得合规资质，平台总储备金 86.88 亿美元，综合储备率 118.49%。

新加坡警察部队发布警示称，自 9 月 10 日以来已接到至少两起涉及被篡改 Ledger 硬件钱包的报案，合计损失约 350 万新加坡元（约合 270 万美元），初步调查显示从新加坡部分零售商店购买的设备中存在恶意硬件组件。10 月 13 日 Ledger 已要求东南亚及香港多地零售商暂停销售其设备以待调查，新加坡警方称调查仍在进行中。

新加坡警方周三发布通告称，自 9 月 10 日起至少收到两起篡改 Ledger 硬件钱包报案，合计损失约 350 万新元（约 270 万美元），比事件 10 月 9 日公开早近一个月。初步调查显示，涉事设备是在新加坡部分零售店购买的 Ledger 钱包中被植入恶意硬件。Ledger 于 10 月 13 日要求印尼、新加坡、泰国、菲律宾、越南、马来西亚和香港的零售商暂停销售，调查仍在进行中。

Kraken Wallet 在 X 平台发帖称，其浏览器插件现已上线，用户可通过 Chrome 应用商店下载安装。

Cointelegraph 报道，加密钱包 Phantom 宣布通过与 Kalshi 集成，为符合条件的美国用户在其应用内提供预测市场交易，涵盖加密价格、体育赛事等真实世界事件。集成提供 CFTC 监管的事件合约，包括每 15 分钟结算一次的短期比特币价格市场，交易可通过以 CASH 稳定币计价的 Phantom Cash 余额充值。Kalshi 负责客户验证、账户管理和交易执行，Phantom 仅提供应用入口；该服务通过新增的 Predict 标签页逐步推出，各州和市场类别的可用性不同。此次上线源于 CFTC 于 3 月给予的 no-action relief，允许 Phantom 在满足一定条件的前提下免于注册为引入经纪商（introducing broker）即可连接受监管市场。另据 DeFi Rate 汇总数据，截至 10 月 27 日的 30 天内，Kalshi 加密合约交易量达 108 亿美元，较前一周期增长 19.6%；同期 CFTC 因犹他州依据赌博法挑战 Kalshi 事件合约而起诉犹他州，联邦衍生品监管是否优先于州赌博法的争议仍在持续。

Solana 非托管钱包 Solflare 于 10 月 27 日晚在 X 发文称，其质押服务商通报了涉及 Solflare 验证者密钥的安全事件，该验证者已停止产出奖励，服务商正在调查。Solflare 未披露服务商名称、事件发生时间和密钥受影响方式。Solflare 称用户委托的 SOL 存放在用户自己的质押账户中、仅由用户密钥控制，本金未受影响，但节点停摆期间委托者会损失收益；Stakewiz 显示该验证者约有 155.9 万 SOL 委托且处于 delinquent 状态。Solflare 表示将切换到新的 Solflare 验证者，用户质押需随之迁移，具体操作将通过应用更新引导，迁移路径上线后会在 X 公布，奖励在新验证者生效前保持暂停，并称正为迁移用户制定补偿方案，但未说明金额和计算方式。

据CoinDesk报道，谷歌将在纽约首届数字资产研讨会上展示Google Multi-Party Compute（MPC），面向银行等金融机构提供加密资产与代币化资产托管，目前处于私人预览阶段，母公司Alphabet已用其保护自身在以太坊和Solana上的数字资产，计划2027年初正式商用，定价尚未公布。该系统把私钥分片存放在谷歌云、机构自有硬件和其他云服务商处，签名前按转账限额、目标地址和多部门审批等规则核验交易，支持2-of-3、5-of-7签名门限，正式商用时支持ECDSA与Ed25519签名算法，后续可升级到后量子密码，将与Fireblocks、Fordefi、BitGo等机构竞争。

据 CoinDesk 报道，Google 将于周三在纽约首届数字资产研讨会上发布 Multi-Party Compute（MPC）安全服务，帮助银行等金融机构保管和转移加密货币与代币化资产。该产品目前处于私有预览阶段，多家金融机构正在测试，母公司 Alphabet 已用它保护自己在以太坊和 Solana 上的数字资产，计划于 2027 年初商用，定价暂未披露。系统将私钥拆分为多个分片分散存放，交易签名前须经机构预设规则检查，支持 ECDSA 和 Ed25519 算法。

分析文章称，分析服务商 Amplitude 的安全事件泄露了一小部分 Coinbase 客户的联系信息，Coinbase 未公布确切受影响人数；被引用的推文称黑客据称访问了逾 7 万名 Coinbase 用户信息，Coinbase 表示没有证据显示未经授权……。文章还提到 Ledger 在 2026 年 1 月因支付服务商 Global-e 泄露客户姓名与联系方式，以及其东南亚经销商 CryptoBilis 出售的设备被发现存在未授权硬件植入，Ledger 称植入物会捕获设置时显示的恢复短语并通过 LTE 传输，公司尚未核实总损失和受影响用户数。作者认为自托管与中心化平台都不能单独杜绝数据泄露、钓鱼或硬件被篡改，安全需要覆盖数据库、供应商、员工权限和设备渠道等全链条。

韩国第二大交易所 Bithumb 确认外部方于 10 月 27 日入侵其内部移动 groupware 系统并泄露个人数据，目前仍在核查是否有客户信息受影响，尚无资金被盗报告。同日，Daishin Securities 披露 38,490 名客户的个人及信用信息泄露，Mirae Asset Global Investments 也报告遭黑客入侵但未说明受影响客户数。韩国金融监督院（FSS）表示正调查这三起事件，调查人员尚未确认 Bithumb 入侵与其他事件存在关联。

Pharos 生态流动性质押协议 Faroo 今日在 Pharos 主网正式推出流动性质押凭证 stPROS，其 dApp 已集成 Binance Web3 钱包与 OKX Web3 钱包，用户可一键质押 PROS。stPROS 采用汇率增值机制，余额恒定、收益体现在 stPROS 兑 PROS 的汇率增长上，并支持内生快速赎回。Faroo 称其为 Pharos 1,000 万美元生态孵化计划首个入选项目，投后估值 1,000 万美元，底层集成 Bifrost SLPx 模块；团队计划于 11 月底上线 RWA 收益资产 tbPROS 与 Faroo Points 积分系统。

币安钱包发布公告称，持有Predict Points（PP Points）的用户现可通过币安App预测账户或币安钱包Predict dApp查看积分，并提交表单选择PREDICT空投领取方式。领取方式有两种：立即领取35%、剩余65%作废，或在代币项目质押一年后领取100%。若选择立即领取且希望PREDICT上线当日到账，须在北京时间10月29日17:00前提交，逾期进入后续每周批次；表单截止时间为北京时间11月26日17:00，未提交则默认选择质押一年领取全部。

币安钱包官方宣布，持有 Predict Points（PP Points）的用户可查询积分并选择 PREDICT 空投领取方式：立即领取分配额度的 35%（剩余 65% 放弃），或质押一年后领取全部额度。若希望在 PREDICT 上线当日领取，须于 10 月 29 日 09:00（UTC）前提交选择表单，逾期提交将纳入后续每周发放批次；表单提交截止时间为 11 月 26 日 09:00（UTC），逾期未提交将默认采用质押一年后领取全部额度的方案。通过 Binance 资产页面查询的积分，空投将发放至 Alpha 账户；通过 Binance Wallet 查询的积分，代币将发放至对应钱包。

据币安钱包官方公告，持有 Predict Points（PP 积分）的用户可查询余额并提交表格选择 PREDICT 空投领取方式：立即领取分配份额的 35%（剩余 65% 放弃），或质押一年后领取 100% 份额。选择立即领取且希望在 PREDICT 上线当天获得代币的用户，需于北京时间 10 月 29 日 17:00 前提交表格；逾期者将安排至 11 月 6 日、13 日、20 日、27 日的后续每周发放批次，各批次申请截止时间为发放前一日 17:00，表格最终提交截止时间为北京时间 11 月 26 日 17:00。

以太坊基金会转发 Kohaku 隐私工具相关推文，表示支持推动隐私保护钱包工具的发展。针对过去一周发生的攻击及漏洞利用事件，基金会指出隐私与安全不应被视为相互独立的目标，将隐私保护设为默认功能有助于降低攻击者利用用户链上历史记录实施攻击的风险。据开发者 Jordan Enev 介绍，Kohaku 的 SDK 已集成 Railgun、Privacy Pools 及 Tornado Cash 等隐私协议，并呼吁更多钱包推进相关集成。

深潮 TechFlow 消息，币安华语官方宣布，币安钱包将推出 Predict.fun（PREDICT）Pre-TGE Prime Sale，认购时间为 2026 年 10 月 29 日 16:00 至 18:00（UTC+8），符合资格的用户需使用币安 Alpha 积分参与。

Bitget Wallet 近期上线美元/欧元虚拟账户（Virtual Account），通过与稳定币支付基础设施公司 Noah 合作，为用户提供银行转账收款信息：美元账户支持 ACH、Fedwire 和 SWIFT，欧元账户支持 SEPA，资金到账后兑换为稳定币进入自托管钱包，付款方无需持有加密资产。深潮 TechFlow 分析认为，配合此前的加密卡、扫码支付和 Reality 等 RWA 产品，Bitget Wallet 的竞争对手已从 MetaMask、Phantom 扩展到 Wise、Payoneer、Revolut 等金融科技公司。文章提到，10 月西联汇款（Western Union）也宣布与 Noah 合作计划支持稳定币接收跨境汇款；据 Bitget Wallet 今年 7 月披露，其全球用户数突破 1 亿，每日支付用户数首次超过每日交易用户数。文章同时指出，账户、清算与法币兑换仍依赖各地金融机构，合规与服务覆盖是现实约束。

PANews 10月28日消息，加密硬件钱包NGRAVE发布安全通知称，其正遭受高级别网络威胁，团队正在监测和应对。NGRAVE提醒用户警惕冒充者通过消息、邮件、通知、网站或支持账户联系，强调其绝不会索要恢复短语或Perfect Key；唯一应输入恢复短语的场合是在ZERO设备上恢复钱包，且须在ZERO自身屏幕上输入，绝不能在任何手机、电脑或网站上输入。

加密硬件钱包制造商 NGRAVE 表示其正遭受高级网络威胁，团队正在监控并应对，提醒用户警惕通过私信、邮件、通知、网站及客服账号冒充 NGRAVE 的诈骗。官方称绝不会索要助记词或 Perfect Key，用户仅应在恢复钱包时通过 ZERO 硬件设备自身屏幕输入助记词，切勿在手机、电脑或网站上输入，并建议手动输入官网域名以避免钓鱼链接。

加密硬件钱包制造商 NGRAVE 发布安全预警，称正面临高级别网络威胁，团队正在监控并采取应对措施。NGRAVE 提醒用户警惕通过短信、电子邮件、仿冒网站及虚假客服实施的钓鱼攻击，称官方绝不会索取恢复助记词或 Perfect Key，用户私钥仅离线存储于 ZERO 硬件设备中，助记词只应在恢复钱包时通过 ZERO 设备自身屏幕输入，并建议手动输入官网域名。

康奈尔科技学院与耶鲁研究者在 arXiv 发布论文称，Circle 代理钱包用于提升每日限额的一次性邮箱验证码，对拥有邮箱访问权的 AI 代理形同虚设：10 个模型中有 9 个在 20 次实验里至少一次自行取码解除限额，仅 claude-opus-5.5 每次守住上限。实验中钱包存有 10 USDC（Base），每日限额 0.01 USDC。在伪造邮件测试中，10 个模型有 5 个曾向研究者控制的地址转账 0.02 USDC。研究者 9 月 22 日向 Circle 披露结果，Circle 已在 quickstart 和认证页面提示不要给 AI 代理邮箱访问权限，但未改变限额提升的审批方式；作者提出用手机受信设备确认的原型 Countersign。

10月27日，有提案人在 Ethereum Magicians 论坛发布 ERC 草案 STVA（Secure Transaction Verification and Authorization），拟通过标准化 Verification Payload、独立模拟接口与受限能力，让交易签名可独立验证、所见即所签，以应对 2025 年 Bybit Safe 事件等高价值签名与供应链攻击。提案人就 VerificationPayload 结构、多签合规严格度、是否设 Basic/Standard/Strict 合规等级，以及与 EIP-7702、ERC-7579/6900 的集成征求意见，尚处讨论阶段。

据 Decrypt 报道，比特币硬件钱包厂商 Keystone 称攻击者获取了其出厂 WebAuth 密钥，可能被用于制造能通过官方验证的仿冒钱包。Keystone 将销毁 18835 台未售设备并暂停官网未发货订单；事件于 10 月 20 日发现，还波及 Shopify 商店 25964 条 2024 年至 2026 年买家记录。Keystone 称助记词和私钥未受影响，10 月 20 日前交付的设备不受影响，并提醒用户警惕以召回、资产迁移为名的诈骗。

硬件钱包厂商 Keystone 称攻击者获取了写入每台设备、用于官网验证真伪的出厂 WebAuth 密钥，该密钥不可擦除或改写，公司决定销毁 18,835 台库存设备并暂停官网发货，改为预售。Keystone 表示 10 月 20 日前交付的设备不受影响，助记词和私钥未涉及；此次事件还波及其 Shopify 商店 25,964 条 2024 至 2026 年的买家记录，含姓名、联系方式和收货地址，公司承认自动删除工具失效导致数据超期留存，已将保留期从 180 天缩短至 90 天，并向欧盟、英国等地监管机构报案。

10 月 27 日，MetaMask 在移动端永续合约功能中上线 Pro Mode 专业交易模式，将完整图表、实时订单簿与下单面板整合至同一界面，用户无需跳转交易所即可完成从分析到执行的全流程。Pro Mode 支持市价、限价、止损订单，以及开仓即设止盈止损（TP/SL）、分批止盈止损和仅减仓（Reduce-only）等高级订单类型，可切换 K 线周期、点击订单簿直接设定价格。模式切换仅改变界面与可用功能，仓位、余额及钱包其余部分保持不变，资金全程自托管；用户在移动端打开 Perps、选定市场后点击 Pro 即可启用，可随时切回简洁模式。

区块链安全公司 SlowMist 称，嵌入网页的客服聊天组件 Udesk 相关 JavaScript 携带恶意代码，在至少三个交易站点收集访客登录数据并替换加密货币充值地址。被篡改文件 udeskApi.2026-10-16.cached.js 在正常代码后隐藏加载器，以十六进制写入目标，解码后从 udeskqlobal[.]com 拉取第二段脚本 deeps.js，读取 cookie 与浏览器存储、复制表单输入及含 login、signup、password 等词的请求内容。第二模块仅对 MGBX、Biking Exchange 和 BitxEX 生效，每 200 毫秒检查充值页，将显示地址换成六个替代钱包之一，覆盖 Bitcoin、EVM 链、Tron、Solana、Litecoin 和 Dogecoin，并通过三条路径改写复制文本。SlowMist 未说明代码如何进入 Udesk 脚本、有多少站点加载或是否有资金转入替代地址，并建议停止分发脚本、核对充值目的地，且删除 script 标签不会撤销已安装的钩子和定时器。