#教程/实践

FinTax 撰文梳理欧盟 DAC8 与 CARF 客户交易信息报告的数据处理流程。文章指出，链上流水需与客户资料、平台内成交及账户记录关联才能申报，涉及数据接入、主体关联、交易分类、估值、核验和报表生成六个环节。以英国 HMRC 指引为例，币币交易需分别反映处置和取得资产的公允市场价值，覆盖 2026 年的首份报告应在 2027 年 5 月 31 日前提交，采用 XML 格式并遵循 OECD Schema 和 HMRC 文件要求。

作者@xKseilas数据截至2026年11月8日，核查646张加密卡，其中适合普通人申请使用的活跃卡只有256张，109张有足够数据按真实成本、返现、安全、覆盖打分。S级仅4张，为ether.fi Cash（78.5分）、Solid Card（78.0分）、Ethena Pay（77.8分）和Jupiter Card（73.0分）。文章指出高返现多附条件，如ether.fi返现以自家代币ETHFI支付并锁定7天，OKX 10%返现需500万美元资产的VIP等级；并归纳出发卡方高度集中、共享服务商出事多卡同倒（如Rain在Solana的合约漏洞同日波及Avici、Tria等项目）、免KYC卡是高风险重灾区三个模式。

Biteye 撰文介绍 Crypto 合约「考试号」玩法，并对比 Kraken、Breakout、Crypto Fund Trader、HyroTrader、FTMO、Topstep 六家交易员考核平台的规则与费用。考试号即花钱购买模拟交易账户完成考核，如 5K 账户需盈利 10% 且最大亏损 6%，通过后需在新出金账户继续交易、满足提款条件才能按比例分成，例如八二分成下 1,000 美元合格利润可得 800 美元。所有交易均为模拟盘，奖励由平台支付，平台收入来自报名费、重置费等。文中举例 Kraken Funded 最低 20 美元起、HyroTrader Core 最低 9 美元，并提醒反复重购的累计成本可能达数百甚至上千美元。

作者江恒分析加密资产持有者收到税务自查提醒后如何梳理历史交易。文章指出最终盈亏与按年度实现的应税所得是两个概念，并以假设例子说明2021年以30万元卖出赚20万元的交易，按财产转让所得和20%税率示范计算为4万元税额，后一年亏损22万元不能直接抵销。文章提出三层底稿还原法，强调税务居民身份逐年判断、历史成本需凭证支撑、偷税逃税追征不受期限限制，以及主动补税不等于自首，补齐税款、滞纳金和罚款可依法不追刑责有前提条件。

肖飒律师团队撰文分析离婚诉讼中加密货币的定性、查明与执行，以英伟达 CEO 黄仁勋婚外情风波引出。文章指出监管禁交易不等于否定财产属性，内地司法实践已认可加密货币属夫妻共同财产，非持有方可借助外围证据和财产申报义务施压，持有方拒不申报可被少分或不分。上海市高级人民法院近日发布网络虚拟财产执行工作指引（试行），明确虚拟货币属可执行财产，法院可在 7 日内（紧急 3 日内）反馈调查结果。文中还援引 Triple-A 基于 Chainalysis 数据对中国持有人数的估算。

澳大利亚2027年7月1日起取消50%资本利得税折扣，按个税全额征税，收益超19万澳元部分税率47%，低收入者最低30%，仅保留通胀指数化抵扣。Foresight News编译的文章列出七种应对方案：寄望税改前牛市、支持承诺废除税改的政党、转入自助管理养老基金SMSF、比特币质押借贷（多平台未获税务裁定）、移居零资本利得税国家但面临离境税、设立公司按25%企业税率交易、或继续持有。文中业内人士提示清算、流动性锁定等风险。

FATF 于 2026 年 11 月 5 日发布打击诈骗园区端到端非法资金流动报告，SlowMist 对其进行翻译和解读。报告将诈骗园区视为犯罪网络中的运营节点，估计相关损失每年达数百亿美元，并用七个阶段描述资金从收款、分层转移到变现、再投资的链条，指出现金和地下钱庄仍是常见通道，虚拟资产只是渠道之一。报告中泰国案例显示资金可在 3 至 5 分钟内流出金融体系，而受害人平均约 20 小时才意识到被骗；配套文件提出六项应对原则，并指上游打击的长期效果仍需更多评估。

Corundum 撰文建议，币安安全事件后提币暂停及分阶段恢复期间，用户应先自行整理账户快照、资金进出记录和沟通材料，以备查账、沟通或请律师评估。文章建议保存账户编号、具体币种余额、充提币与交易记录的原始导出文件，并按时间串联银行流水、平台入账与链上交易哈希，注明网络。文中援引最高人民法院《关于民事诉讼证据的若干规定》第14、15、93条说明电子数据的证据要求，并以币安2026年5月7日版全球条款为例，提示核对服务实体、投诉与仲裁条款。

Memento Research 安全研究员 Ash 撰写的 Macbook 安全自检指南，由深潮 TechFlow 编译。指南以币安遭 63 亿美元黑客攻击、黑客仅控制一名运维工程师电脑便取得提现签名系统为背景，介绍约 15 分钟的排查流程：在系统设置中检查辅助功能、屏幕录制、完全磁盘访问、输入监控等权限，确认屏幕共享与远程登录关闭、设备管理列表为空、清理登录项与浏览器扩展；并用只读终端命令检查设备注册状态、FileVault、防火墙、系统完整性保护、LaunchAgents 自启动项及 CPU 占用前 15 的进程。作者强调所有命令仅读取系统信息、不改配置，且应先把命令交给 AI 助手弄清含义再执行；该检查无法覆盖所有 APT 威胁。

澳大利亚研究员 Jake Pahor 撰文复盘币安被盗约 63 亿美元事件（深潮 TechFlow 编译），援引 TRM Labs 研判称攻击者无需私钥、通过控制提现签名系统在约 20 分钟内洗走资金，Tether 和 Circle 冻结约 18 亿美元，FBI 点名朝鲜组织 TraderTraitor 所为。文章比较全自托管、协作多签、中心化交易所与比特币现货 ETF 四种路径的风险与风控措施。作者自述大部分资产仍存于受监管的本土交易所。

10 月 31 日，十余个 DeFi 项目网站被劫持，代码未改动，被改的是域名指向，Kintsu 称其通过 Vercel 购买的域名在注册商层面被劫持。作者 Yajin 查询 11 个受影响项目域名，注册商全部是 Name.com，其中 7 个在当天登记有修改；截至北京时间 31 日下午 6 点仍有 5 个域名指向攻击者控制的地址 31.56.52.52，该地址登记在荷兰公司 Snowcore 名下。攻击入口尚未定论，Vercel 和 Name.com 截至查询时未公开说明。

杨荭律师撰文说明收到境外所得税务提醒后涉虚拟货币的处理顺序，应先回应核实，再分类计算，不宜直接按银行流水补税。文章解释虚拟货币交易中链上记录反映资产转移、银行流水反映法币结算，直接把入账金额当作应纳税所得额可能出现所得性质认定错误、财产原值未考虑或同一利益重复计算。作者建议还原资产取得方式、钱包归属、财产原值凭证及合同流、资产流、资金流、税务流四条证据线，并按六步处理，同时依据银发〔2026〕42号通知提示纳税不等于相关交易获得监管认可，需另行评估外汇、反洗钱及刑事风险。

Decrypt 解读以太坊升级 EIP-7702，该升级随 2025 年 5 月 7 日 Pectra 上线，允许普通 EOA 钱包临时借用智能合约代码，实现交易批量、代付 gas 和受限子密钥。2026 年 10 月 29 日，攻击者从币安 10 条链的钱包转出约 64 亿美元，多数在约 20 分钟内完成，TRM Labs 和 Chainalysis 将事件归因于朝鲜黑客组织 TraderTraitor。据 TRM Labs，攻击者在以太坊上利用 EIP-7702 委托，用 50 份预签名的授权把币安热钱包变成其控制的 sweeper；因委托需账户私钥有效签名，TRM 认为这指向币安热钱包签名基础设施失守，而非以太坊本身缺陷。币安称调查始于一名工程师笔记本被入侵，其后又发现更多入侵点。

Foresight News 刊发 SoSoValue Research 的科普文章，借 2025 年 2 月 Bybit 被盗约 50 万 ETH 的案例解读黑客洗钱路径。Bybit 案中约 50 万 ETH 在约 10 天内经 THORChain（约 72%）、eXch（约 16%）和 OKX Web3 钱包（约 8%）全部跨成原生 BTC；Bybit CEO 称两个月后 68.6% 仍可追踪，27.6% 消失，仅 3.8% 被冻结。换成 BTC 是因比特币链上没有可拦截的关卡且场外接受度高，之后经地下 OTC 币商对敲出金。就本次币安事件，文章称 Tether 和 Circle 已冻结约 24 亿美元稳定币，无法冻结的 ETH 约 19.5 万枚，并建议关注 THORChain 等跨链协议流量变化。

币安遭骇后，何一、官方账号及执行长 Richard Teng 均承诺承担全部损失，但官方目前尚未公布任何需要用户填表、登记或连接钱包的赔偿流程，凡收到「领取补偿」「赔偿登记」类讯息或网站应先视为诈骗。文章援引前例指出，Bybit 2025 年 2 月被骇约 15 亿美元后三周内出现 596 个可疑网域；Trust Wallet 2025 年 12 月遭恶意程式窃走约 700 万美元后，官方确认受影响地址 2,596 个却收到约 5,000 份申请，出现大量冒领。建议用户不点任何来路链接，自行打开币安 App 或手动输入 binance.com 查看公告中心，并在安全设定中建立防钓鱼码以核验官方邮件。

律师邵诗巍撰文从业务链条拆解 U 卡 /VCC 虚拟卡平台涉嫌非法经营罪的五个风险点：接受 USDT 充值后的兑换与支付结算、管理用户余额构成储值账户运营、服务中国大陆用户而境外牌照不能替代境内准入、绑定微信支付宝消费时持牌机构完成清算不等于平台无责、平台自行决定汇率赚价差构成换汇业务。文中指出，2021 年十部委通知和 2026 年 2 月 6 日八部门印发的《关于进一步防范和处置虚拟货币等相关风险的通知》（银发〔2026〕42 号）将虚拟货币相关业务活动定性为非法金融活动，但该行政定性不直接等同于非法经营罪；境外注册、持海外牌照或与持牌机构合作均不能当然排除刑事风险，具体仍需结合平台实际经营模式和证据判断。

前 Mt.Gox 执行长 Mark Karpelès 称一台来自马来西亚的 Ledger Nano X 疑似被植入含 LTE、eSIM 的间谍模组。慢雾 23pds 推测，助记词显示于屏幕时，恶意模组可监听屏幕数据线录下单词并经 LTE 发送，但强调目前均为猜测，需等 Ledger 官方调查结果。

文章梳理太子集团关联公司清算与资产追查的三条程序线：2026年1月9日BVI法院为30家公司委任三名联合临时清算人，6月11日美国纽约南区破产法院依《破产法》第15章承认该程序，10月28日清算人向财新表示未来若进入清算且有足够资金，受害者可能申报债权，目前尚未建立申报和分配流程。文章指出，美国民事没收诉状指向的约127,271枚比特币（司法部2025年10月公告时估值约150亿美元）与30家BVI公司清算财产须分开计算；BVI《破产法》第207条规定清算费用和法定优先债权先于普通债权人受偿，同顺位不足时按比例分配。作者建议受害者按日期保存转账回单、链上交易哈希、聊天记录等可核验材料，标注每项证据连接到哪家公司，并警惕以“内部名额”“提前锁定赔偿”为名的付费骗局，切勿交出私钥或恢复短语。

Decrypt 梳理 PHP 两个漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）修复后的状况：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，但需手动安装并重启才生效，PHP 8.1 及更早版本不再有官方更新。Cloudflare CEO Matthew Prince 称其网络上利用尝试已达数百万次；Amazon 称诱饵服务器 10 月 17 日就记录到尝试，早于漏洞公开；德国 BSI 与日本政府均表示尚未确认有成功入侵。PHP 基金会称 2024 年已发现相关内存耗尽问题的早期迹象，将修复延迟归为“结构性失败”。英国 NCSC 建议无法及时修补的机构下线系统，Wikimedia、Orange、32 项英国政府服务等一度下线。安全公司 Mallory 统计约 88.4 万台面向互联网的主机仍运行无官方修复的 PHP 版本。文章建议普通用户暂不必因该事件改密码，但注意钓鱼与假站点；加密货币用户需警惕伪造页面诱导连接钱包并签名转账，目前尚无交易所公开报告与该漏洞相关的入侵。

Discord 宣布 11 月 16 日起为 63,000 多个可探索服务器生成公开网页，12 月中起个别讯息可能进入 Google 等搜索引擎索引，使用者需在 12 月中前于「资料与隐私」页面关闭「在网页上显示可探索频道的讯息内容」开关，该开关对所有已加入的可探索服务器一体适用。官方称功能上线前的旧讯息不会被回溯收录，用户名与头像也不会随讯息曝光；关闭只保护之后发出的讯息，已符合条件的旧讯息需自行逐则删除，搜索引擎可能仍保留快取。服务器管理员可在「网页曝光」设置中关闭单一频道或整个服务器的公开曝光。该功能在澳洲、欧盟、欧洲经济区、英国、加拿大、巴西与南韩默认关闭，青少年账号讯息被排除，台湾不在名单内、默认开启。公开目录中标记「交易」的服务器约 1,400 个、「加密货币」约 800 个、「金融」超过 700 个，合计接近 2,900 个（同一服务器可挂多标签，数字重复计算）。