Polygon 发布 Bor v2.10.3 修复并行执行两项中危漏洞
内容摘要
PANews 10月15日消息，Polygon Labs 宣布 Bor v2.10.3 正式发布，修复 BlockSTM V2 并行区块执行中的两项中危拒绝服务漏洞：一项是未设置容量上限的共享 Keccak-256 缓存，另一项是并行执行期间重复计算智能合约代码哈希。官方称漏洞影响默认启用 BlockSTM V2 的 Bor v2.10.1 和 v2.10.2 版本，目前尚未发现其在主网或 Amoy 测试网上遭到利用。
来源：PANews · panewslab.com
打开原文所属事件
Polygon 发布 Bor v2.10.3，修复两项 DoS 漏洞
Polygon Labs 于 10 月 15 日正式发布 Bor v2.10.3，修复 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞：无界 keccak256 缓存可被特定交易填充数百 MiB 致节点内存耗尽，以及并行执行中重复代码哈希计算可致单笔交易耗时约 11 秒。两项漏洞由安全研究人员通过 Immunefi 提交，影响 Bor v2.10.1 和 v2.10.2；该版本非硬分叉，节点可逐个升级，主网及 Amoy 测试网均未发现被利用记录。
影响怎么看
AI 根据来源整理，含条件性分析
可能降低 Polygon 节点被恶意交易耗尽内存或拖慢并行执行的风险，取决于验证者与基础设施提供商是否完成升级；对代币供需无直接影响。
- 成立条件：
- 成立前提是节点实际升级到 v2.10.3；材料未提供当前升级覆盖率，且官方仅称未发现漏洞被利用。
- 接着看：
- 验证者与主要基础设施提供商的升级完成情况，以及是否有漏洞被利用的新记录。
查看依据 · 2 篇报道
- Polygon 发布 Bor v2.10.3 修复并行执行两项中危漏洞
PANews
官方表示，上述漏洞影响默认启用 BlockSTM V2 的 Bor v2.10.1 和 v2.10.2 版本，目前尚未发现其在主网或 Amoy 测试网上遭到利用。
- Polygon Bor v2.10.3 发布，修复两项 DoS 安全漏洞
深潮 TechFlow · Web3 资讯
此前已于 10 月 5 日以私有版本形式向验证者及主要基础设施提供商分发。
整理于
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
Polygon PoS 的最终确认与检查点是什么？
链内确认与向另一条链提交检查点服务于不同步骤。判断转账与退出是否完成，需要按相应流程看状态，而不是使用一个确认数覆盖全部场景。
阅读完整说明 →治理提案通过就是生效了吗？从投票追到执行交易
提案、投票通过、排队等待与执行完成是不同状态。判断协议参数是否已改变，应确认实际治理流程、执行交易和目标网络，不能只读“通过”标题。
阅读完整说明 →相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息深潮 TechFlow · Web3 资讯
Polygon Bor v2.10.3 发布，修复两项 DoS 安全漏洞
查看摘要与出处
深潮 TechFlow 消息，10 月 15 日，Polygon Labs 官方公告 Bor v2.10.3 正式发布，此前已于 10 月 5 日以私有版本形式向验证者及主要基础设施提供商分发。该版本修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，均由安全研究人员通过 Immunefi 漏洞赏金计划提交：一是无界 keccak256 缓存问题，攻击者可构造特定交易在投机执行阶段填充数百 MiB 缓存导致节点内存耗尽，修复方案为对共享缓存设置容量上限；二是并行执行中重复代码哈希计算问题，单笔交易可致并行处理器耗时约 11 秒，修复方案为对代码哈希结果逐交易缓存。此外还包含交易池对 EIP-7702 SetCode 授权的拦截、RPC 批量执行池并发限制修复、并行执行跨自毁边界余额读取一致性修复，以及滞留待处理交易自动清理机制（默认 3 小时）。受影响版本为 Bor v2.10.1 和 v2.10.2；v2.10.3 非硬分叉，节点可逐个升级无需协调，两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料Bitcoin.com News · 海外资讯
加密赌场 Gamdom 遭热钱包攻击后停运，创始人称损失超 300 万美元
查看摘要与出处
据创始人 Felix Romer 确认，加密赌场 Gamdom 于 10 月 13 日遭热钱包攻击，损失超 300 万美元，公司随即停运并将剩余资产转入冷存储。区块链调查者 vxdb 估算损失约 420 万美元，其中以太坊兼容网络 220 万美元、Solana 96.5 万美元、比特币 66.8 万美元、Tron 37.5 万美元，与创始人数字的差异尚未解释。至 10 月 15 日平台仍未恢复上线，运营方称用户资金安全，但材料未提供独立核实的客户余额损失结论。
核对原文 ↗同主题资料动区 BlockTempo · 中文资讯
布鲁克林检方联手 FBI 查封 241 个加密诈骗网域与 112 台服务器
查看摘要与出处
纽约布鲁克林地区检察官 Eric Gonzalez 于美东时间 10 月 14 日宣布，其虚拟货币小组（VCU）在 FBI 协助下查封并瘫痪 241 个诈骗网域与 112 台服务器，打击一个锁定美国俄语社群的跨国加密投资诈骗集团，历时 3 年调查。检方称此次直接切断后端基础设施，跨 3 个时区执行搜索令；此前已查封约 400 个诈骗网域但新站点很快复现。检方估计损失达数千万美元，目前仅扣得约 30 万美元赃款，据 CoinDesk 报道此案尚未宣布逮捕任何人。
核对原文 ↗同主题资料Elliptic · 链上安全与监管研究
Elliptic：AI 代理可经 MCP 调用混币服务，合规需转向行为与证明规则
查看摘要与出处
Elliptic 发文称，比特币混币器 Flash Mixer 现已发布 Model Context Protocol (MCP) 服务器，AI 代理可将其作为工具直接调用以完成混币，是其发现的首个提供 MCP 服务的混币器。文中指出，代理洗钱行为每次运行路径不同、更难监控，且可拆分为大量小额快速混币，交易量可能超出人工审核能力；仅凭“触达混币器”标签的风险规则会同时误伤合法隐私支付。Elliptic 建议按具体混币池与地址行为设定规则，将隐私证明校验纳入支付流程，并事先划定代理可自主决策的范围。文中援引其研究称，Tornado Cash 虽于 2025 年被移出美国制裁名单，但过去六个月其 100 Ether 池的存款中约三分之一有超过一半资金来自非法来源。
核对原文 ↗同主题资料ChainCatcher 链捕手 · 中文资讯
Safe 在以太坊、Gnosis 与 Arbitrum 上线 Safenet Aegis 安全网络
查看摘要与出处
据 The Defiant 报道，Safe 宣布在以太坊、Gnosis Chain 与 Arbitrum 上线 Safenet Aegis 安全网络，这是 Safenet 首个可产生费用、面向生产环境的版本，此前 SafeDAO 已通过 SEP 56 提案批准其资金与启动。该网络将交易检查与交易授权分离，为 Safe 多签钱包等智能账户提供交易安全验证。Safenet 由三类角色构成：Sentinel 检查交易并质押 USDC 债券，获得以 USDC 计价的检查费用；Validator 质押 SAFE 保障证明层，获得 SAFE 奖励；Delegator 可将 SAFE 委托给 Validator 参与质押奖励。当前 Sentinel 集合包括 OpenCover、IntentGuard、BlockSec 与 Candide，Validator 集合包括 Gnosis、Greenfield、Core Contributors 与 Safe Labs。Safenet 后续将把交易检查集成进 Safe Wallet，并支持其他基于 Safe 智能账户构建的钱包接入。
核对原文 ↗同主题资料PANews
imToken 解读 AI 或攻破密码学之争：迁移前先分清公钥暴露与后量子升级
查看摘要与出处
imToken 撰文梳理 Justin Drake 与 Vitalik Buterin 关于 AI 可能加速破解椭圆曲线密码学的讨论，认为两人并非本质对立，只是对风险优先级判断不同。文章解释以太坊 EOA 地址是公钥哈希的截断，交易后公钥会长期暴露，而 Taproot 地址本身即含可见公钥，因此未转账不等于公钥未暴露；把资产转入未暴露公钥的新地址只是过渡性缓解，并非完成抗量子迁移。文中提到以太坊基金会已成立 Post-Quantum Security 团队并探索 leanXMSS、leanVM，EIP-8141 仍在讨论中，NEAR 于 2026 年 7 月宣布主网支持基于 FIPS 204 的 ML-DSA 后量子签名。作者建议普通用户不必因恐慌立即转移资产，警惕借抗量子升级名义的钓鱼工具，大额长期持仓可改善地址管理习惯并分批小额测试。
核对原文 ↗