安全事件

PANews 10月30日消息，Polymarket交易员Car在X平台发帖称其账户资产被盗约80万美元、所有持仓被卖出，其朋友账户被盗约60万美元，并提醒用户锁定账户、暂勿与网站交互。另有多名用户在X平台及Polymarket Discord社区反映网站前端疑似遭攻击，资产在未经授权情况下被转出，有用户称被盗约20万美元，也有用户称在官网收到未经授权的提现签名请求。截至发稿，Polymarket官方尚未回应。今年6月，Polymarket曾因第三方供应商被入侵遭前端钓鱼攻击，约294万美元用户资产被盗。

Axis Robotics就10月28日至29日$AXIS遭抛售发布声明，称团队或投资人的代币并未被出售，核心团队及投资人等锁定份额占总供应量83.5%，仍存放在与币安共同管理的归属合约中。此次被售代币来自初始流通供应中的生态系统分配份额，通过单一OTC对手方交付，协议含锁定期条款。Axis Robotics称，代币在交付后数小时内经由数百个新创建地址抛售，极可能是该OTC对手方所为，若属实则已违反协议；团队已暂停与该对手方的后续合作，并正与法律顾问审阅协议、寻求补救措施。此前据链上侦探ZachXBT披露，Axis Robotics内幕地址抛售致代币暴跌约40%。

BNB Chain 官方公告显示，由 BNB Chain 与 Binance Wallet 联合举办的 BNB Hack: Tokenized Edition 黑客松已公布获奖名单，共 5 个项目获奖，奖金池总额 2 万美元。Moi 获第一名，4lpha、Redeye、TARE 和 Firstshare 分列第二至第五名；其中 4lpha 另获最佳 Agentic Wallet / Wallet Skills 应用奖，Firstshare 获最佳 BNB Agent Studio 应用奖。

BNB Chain 公布 BNB Hack 代币化股票主题黑客松获奖名单，Moi、4lpha、Redeye、TARE 和 Firstshare 分获前五名，主赛道奖金分别为 6000、4000、3000、2000 和 1000 美元。4lpha 获 Agentic Wallet / Wallet Skills 最佳应用奖，Firstshare 获 BNB Agent Studio 最佳应用奖，各获 2000 美元，总奖金为 2 万美元。

PANews 10月29日消息，zkLink 称 zkLink Nova 在 Ethereum 和 Optimism 上的 Arbitrator 合约正遭持续攻击，团队已暂停出块、紧急修复受影响合约并暂时关闭提款通道，待确认所有风险消除后再恢复服务。zkLink 向攻击者提出，归还资金可获 20% 白帽赏金且不再追究进一步责任。此前消息显示，以太坊上 zkLink 跨链桥正遭攻击，已损失约 78.6 万美元。

Indodax 负责人 William Sutanto 发文称，因检测到网络攻击尝试增加，印尼加密货币交易所 Indodax 已暂时暂停用户充值与提现，以开展安全评估和风险缓解。平台表示用户资产安全，尚未发现未经授权的提现或数据泄露，待确认系统安全后将恢复充提服务。

zkLink 官方在 X 平台发文称，针对以太坊及 Optimism 网络上 zkLink Nova Arbitrator 合约的攻击仍在持续，技术团队正紧急采取措施控制事态。官方呼吁攻击者立即停止攻击并归还受影响资金，表示愿向配合归还资金的攻击者提供 20% 的白帽赏金，且资金归还后不再进一步追究。

zkLink 官方表示，zkLink Nova 部署在以太坊和 Optimism 上的 Arbitrator 合约正遭遇持续攻击，技术团队正紧急采取措施控制事态并防止进一步损失。团队呼吁攻击者停止利用漏洞并归还受影响资金，承诺若归还将提供 20% 白帽赏金且不再追究后续责任。目前官方尚未披露具体损失金额。

ChainCatcher 消息，zkLink 发文称已确认针对其聚合 Layer 3 网络 zkLink Nova 在以太坊和 Optimism 上 Arbitrator 合约的持续攻击，技术团队正紧急控制事态并防止进一步损失。zkLink 呼吁相关方停止利用并归还资金，称若配合归还将提供 20% 白帽赏金且不再追究。安全机构 Blockaid 此前监测称，攻击者通过公开中继器在以太坊注入伪造批次根，再从 zkLink Nova 的 L1 托管合约提取 ETH 与 ERC-20，当时 L1 ETH 托管与 ERC-20 桥合计损失约 78.6 万美元，攻击仍在进行。

Bithumb 表示，10 月 27 日其内部移动协作系统 DaouOffice 遭外部未授权访问，涉及 6444 名客户，其中 5600 人数据处于加密状态无法读取，844 名客户确认发生个人信息泄露，另有 715 名员工及合作方人员信息受影响。泄露信息可能包括姓名、手机号码、邮箱地址、居民登记号码、驾驶证号码、银行账户号码及身份证件副本等。Bithumb 称被入侵系统与交易平台及客户数据库相互独立，目前未发现交易所服务系统被直接入侵，也未发现客户虚拟资产因此遭访问；公司已向韩国互联网振兴院及个人信息保护委员会报告，并将对确认受损客户提供支持和补偿。

Bitcoin Core 于 Oct. 28 与补丁发布同日公开三份安全公告，跳过通常的保密期。三个漏洞均由 Spiral 主导的 Project Loupe 自动 LLM 扫描发现：两个 Medium 级别漏洞分别影响非 Linux 节点崩溃和内存持续增长，一个 Low 级别漏洞涉及矿工损坏 undo 文件。Bitcoin Core 于 Oct. 22 将“通过简单 LLM 提示等极小成本即可发现”的漏洞纳入政策例外，修复已包含在 29.5、30.4、31.2 和 32.1 版本中；公告未说明漏洞是否曾被利用。

据彭博社报道，日本 GMO 互联网集团旗下上市公司遭网络攻击后风险蔓延至信贷市场：一笔 2031 年 6 月到期的日元债券利差于 10 月 28 日扩大至约 174 个基点，高于 10 月 20 日公司披露事件前的约 122 个基点。GMO 旗下云服务上市公司于 10 月 21 日披露遭遇未经授权访问并收到约 80 亿日元（约合 5070 万美元）赎金要求，攻击者随后公布了其声称包含客户信息的数据，GMO 拒绝支付赎金并计划赔偿客户损失。GMO Internet 运营加密货币交易所 Z.com EX，已获泰国证券交易委员会和泰国财政部许可，目前尚不清楚泄露数据是否涉及该交易所。

据彭博社报道，日本 IT 巨头 GMO Internet 遭黑客攻击后，风险蔓延至日本信贷市场。其一笔 2031 年 6 月到期的日元债券利差于 10 月 28 日扩大至约 174 个基点，高于 10 月 20 日公司披露安全事件前的约 122 个基点，反映投资者对盈利受损及赔偿成本上升的担忧。GMO Internet 称客户信息数据疑似泄露，已拒绝支付赎金并计划赔偿客户损失；目前尚不清楚泄露数据是否涉及其运营的加密货币交易所 Z.com EX。

新加坡警察部队发布警示称，自 9 月 10 日以来已接到至少两起涉及被篡改 Ledger 硬件钱包的报案，合计损失约 350 万新加坡元（约合 270 万美元），初步调查显示从新加坡部分零售商店购买的设备中存在恶意硬件组件。10 月 13 日 Ledger 已要求东南亚及香港多地零售商暂停销售其设备以待调查，新加坡警方称调查仍在进行中。

据链上安全公司 Blockaid 监测，zkLink 在以太坊上的跨链桥正遭遇攻击，攻击者通过公共中继器注入伪造批次根，从 zkLink Nova 的 L1 托管合约提取 ETH 和 ERC20 代币。截至目前已损失约 78.6 万美元，攻击仍未结束。Blockaid 已公布两个攻击者地址、示例交易及受害合约地址，其中一个地址余额约 1.1 万美元。

据联合新闻报道，韩国虚拟资产交易平台 Prabang 因黑客攻击损失约 1 亿韩元，已宣布暂时中断服务，并称将以公司自有资产全额补偿受损资金。Prabang 于 10 月 24 日发现热钱包异常转出，10 月 26 日确认存在外部未授权访问后报案，继续调查原因与损失规模。联合新闻称此为首例确认发生资产损失的案件；另 10 月 27 日 Bithumb 遭内部系统攻击导致员工个人信息泄露。

Allium 首席执行官兼联合创始人 Ethan Chan 在 X 平台发文称，公司于 10 月 25 日发现部分系统遭到未经授权的访问，已立即限制访问权限并加固系统，同时直接通知受影响客户。公司已聘请独立网络安全机构协助响应与调查，并将加强身份验证和监控等安全控制措施。目前 Allium App、Explorer 及 Explorer API 等核心平台已恢复上线，部分功能仍在恢复中，调查完成后将公布调查结果及应对措施摘要。

韩国加密资产交易所 Prabang 于 10 月 26 日通报发生外部未授权访问入侵事件，已向有关机构报案。该交易所 10 月 24 日发现热钱包异常提现，启动应急响应后排查出安全漏洞，初步估计损失约 1 亿韩元（约合 7 万美元）。为保护客户资产，Prabang 已暂停服务，并承诺在核实损失后以公司资产全额补偿。

PANews 10月29日消息，Allium CEO兼联合创始人Ethan Chan发文称，公司于10月25日发现一起涉及未经授权访问部分系统的安全事件，已立即限制访问、通知受影响客户，并聘请独立网络安全公司协助响应和调查。Allium称其核心平台包括Allium App、Explorer和Explorer APIs已恢复上线，部分功能在恢复期间仍暂时不可用，调查完成后计划分享结果摘要和应对措施。

以太坊开发者修补了 Glamsterdam 升级中的一处漏洞，该漏洞原本可能让操作员把质押服务准备给新验证者的 ETH 领走，目前没有传出资金损失。研究员 Avsetsin 指出，草稿规则会把 builder 注册与质押存款记到同一公钥名下，且验证者未建立、质押服务拿不出追回证据；他强调这是条件式的代码发现，不是已确认的实际攻击。修补提案一度因客户端支持度不足被暂缓，10 月 23 日补上测试后于周一合并，新规则改以提款凭证据排序待处理存款，已纳入以太坊共识规范，但仍需各客户端团队实作。Glamsterdam 已在 Sepolia 测试网跑过一轮，Hoodi 测试网 10 月 26 日的上线被延后，主网排程待定。