安全事件

10月27日，有提案人在 Ethereum Magicians 论坛发布 ERC 草案 STVA（Secure Transaction Verification and Authorization），拟通过标准化 Verification Payload、独立模拟接口与受限能力，让交易签名可独立验证、所见即所签，以应对 2025 年 Bybit Safe 事件等高价值签名与供应链攻击。提案人就 VerificationPayload 结构、多签合规严格度、是否设 Basic/Standard/Strict 合规等级，以及与 EIP-7702、ERC-7579/6900 的集成征求意见，尚处讨论阶段。

硬件钱包厂商 Keystone 称攻击者获取了写入每台设备、用于官网验证真伪的出厂 WebAuth 密钥，该密钥不可擦除或改写，公司决定销毁 18,835 台库存设备并暂停官网发货，改为预售。Keystone 表示 10 月 20 日前交付的设备不受影响，助记词和私钥未涉及；此次事件还波及其 Shopify 商店 25,964 条 2024 至 2026 年的买家记录，含姓名、联系方式和收货地址，公司承认自动删除工具失效导致数据超期留存，已将保留期从 180 天缩短至 90 天，并向欧盟、英国等地监管机构报案。

据 The Defiant 报道，美国检方已对 6 名涉嫌参与一起马达加斯加 NFT 钱包盗取诈骗的人员提起指控。根据 FBI 宣誓书估算，该案涉及 74 个与受害者相关的钱包，损失金额至少为 516,695 美元；宣誓书还描述了该团伙诱导受害者授予无限额 USDT 支出权限、进而转走资产的作案手法。

勒索团体 WhiteArmor 在泄漏站点名加密赌场 Gamdom，声称取得完整用户数据库，索要 1,500 万美元等值比特币。攻击方称握有 15,420,003 笔账号、每笔约 146 栏位，并放出约 437KB、约 100 笔账号的 JSON 样本作证，部分博弈媒体抽样核对至少有一笔与真实用户相符；其宣称账号合计获利逾 10 亿美元，但未说明算法与口径。Gamdom 创办人 Felix Römer 否认全库被抽走，认为若样本属实影响可能只有数百笔，并称用户名、email 与博弈活动「有可能」曝光，但身分验证文件未受影响。此前 10 月 13 日 Gamdom 热钱包遭骇，Römer 承认损失逾 300 万美元，链上分析估约 420 万美元，平台约于 10 月 16 日恢复；目前尚未见公开赎金支付纪录。

据 Bitcoin.com News 报道，网络勒索组织 Whitearmor 于 10 月 26 日声称窃取加密赌场 Gamdom 的 15,420,003 个账户记录，要求支付 1500 万美元比特币，否则公开客户敏感信息，并发布约 437KB、含约 100 条记录的 JSON 样本作为所谓证据。该组织称这些账户累计利润价值超过 10 亿美元但未说明计算方式，据称攻击利用了长期未轮换凭据、仍保留管理员权限的内部机器账户。Gamdom 对 1540 万账户规模提出异议，但承认用户名、电子邮箱及赌博活动信息可能已暴露，身份验证文件未受影响；此前 10 月 13 日的热钱包攻击中，创始人 Felix Römer 承认损失超 300 万美元，研究员 vxdb 估算约 420 万美元，平台已于 10 月 16 日恢复运营。

加密赌场 Gamdom 面临勒索组织 Whitearmor 提出的 1500 万美元比特币赎金要求，对方声称掌握 15,420,003 个账户、每账户 146 个数据字段，并发布约 437KB、约 100 条记录的 JSON 样本作为证据。Gamdom 否认该数据库规模，完整声明未经独立核验，也无公开的赎金支付确认。此前 10 月 13 日 Gamdom 热钱包遭攻击，创始人 Felix Römer 承认损失超 300 万美元，区块链研究者 vxdb 估计约 420 万美元；平台 10 月 16 日恢复运营，称客户余额受保护，身份验证文件未受影响。

深潮 TechFlow 援引 Predict.fun 官方在 X 平台的声明，10 月 27 日该平台少数用户钱包出现未经授权的资金转出，损失总计约 40 万 USDT。初步调查显示，由第三方服务商托管的 API 文档网站可能遭入侵，该网站已被下线并在调查完成前保持关闭。Predict.fun 承诺全额赔偿直接遭受损失的用户，将在调查结束后发布完整复盘报告及后续防范措施。Predict.fun 是基于 BNB Chain 的预测市场平台。

PANews 10月27日消息，预测市场 Predict Fun 发布安全事件说明，确认少数用户钱包发生未授权资金转移，总额约40万USDT，并承诺全额赔偿受影响用户的直接损失。初步调查显示，由第三方服务商托管的API文档网站可能遭到入侵，平台已预防性下线该网站，之后将公布完整事件复盘及防范措施。此前链上监测机构曾报告该平台疑似发生攻击，约30万美元转入Tornado Cash。

区块链安全公司 SlowMist 称，嵌入网页的客服聊天组件 Udesk 相关 JavaScript 携带恶意代码，在至少三个交易站点收集访客登录数据并替换加密货币充值地址。被篡改文件 udeskApi.2026-10-16.cached.js 在正常代码后隐藏加载器，以十六进制写入目标，解码后从 udeskqlobal[.]com 拉取第二段脚本 deeps.js，读取 cookie 与浏览器存储、复制表单输入及含 login、signup、password 等词的请求内容。第二模块仅对 MGBX、Biking Exchange 和 BitxEX 生效，每 200 毫秒检查充值页，将显示地址换成六个替代钱包之一，覆盖 Bitcoin、EVM 链、Tron、Solana、Litecoin 和 Dogecoin，并通过三条路径改写复制文本。SlowMist 未说明代码如何进入 Udesk 脚本、有多少站点加载或是否有资金转入替代地址，并建议停止分发脚本、核对充值目的地，且删除 script 标签不会撤销已安装的钩子和定时器。

链上监测账号 Onchain Lens 于 10 月 27 日晚约 7 时 50 分在 X 发出警报，BNB Chain 预测市场 Predict Fun 疑似遭利用，约 30 万美元可疑资金以 USDT 为主，经中继钱包、Relay 跨链后被转入以太坊侧的 Tornado Cash。链上观察者 Naeven 称已识别至少 19 名相关受害者，合计约 105 ETH（约 26 万美元）；用户 dethective 自述损失约 5,000 美元。截至发稿，Predict.fun 官方账号尚未发布声明，PeckShield、SlowMist、CertiK 等安全公司也未见独立确认，是否为协议被骇或用户钱包被掏空的根因尚未证实。

据链上分析师 Onchain Lens 监测，10 月 27 日 BSC 链上的预测市场平台 Predict Fun 疑似遭到漏洞攻击，约 30 万美元疑似被盗资金从多个合约经中间钱包转移至 Relay，据报在跨链后被转入 Tornado Cash。

据Onchain Lens报道，BNB Chain上的预测市场Predict Fun疑似遭到攻击，约30万美元的疑似被盗资金从多个合约转出，经中间钱包转入Relay，据称跨链后被转入Tornado Cash。

据彭博社报道，日本 IT 巨头 GMO Internet 遭遇网络攻击后，黑客声称因未收到 5000 万美元赎金而公开客户信息；其旗下外汇交易服务已暂停并不再接受新订阅，域名及云服务 Onamae 所有服务器均遭入侵，可能影响用户。GMO Internet 运营虚拟货币交易所 Z.com EX，该交易所已获泰国证券交易委员会和泰国财政部许可，上周披露已被收购，涉及 GMO Internet 及相关子公司等股东所持目标公司全部股份。

慢雾（SlowMist）10 月 27 日披露，Udesk 客服系统脚本 udeskApi.2026-10-16.cached.js 被植入恶意加载器，异步加载来自 udeskqlobal[.]com 的 deeps.js，读取 Cookie、localStorage 和 sessionStorage 并拦截登录认证请求外传数据。该脚本还针对 mgbx[.]com、bikingex[.] 和 bitxex[.]io 每 200 毫秒扫描充值页面，将充值地址替换为攻击者预设的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址，并篡改剪贴板使用户复制到被替换的地址。慢雾建议停止分发受影响脚本、撤销会话并轮换令牌密码，相关 IOC 已纳入 MistEye 威胁检测引擎。

据慢雾披露，其在威胁情报调查中发现Udesk客服系统相关脚本遭恶意代码注入。分析的JavaScript样本可收集Cookie、浏览器本地及会话存储，以及表单和认证请求中的敏感信息，可能导致用户会话和账户凭证泄露；恶意脚本还会替换特定网站显示的充值地址并篡改剪贴板内容，可能使充值资金被转至攻击者指定地址。慢雾建议相关网站停止加载受污染脚本并恢复可信版本，排查数据外传记录、撤销可能泄露的会话，在干净环境中更换相关凭证；用户应通过可信渠道独立核验充值地址和交易记录。

深潮 TechFlow 消息，10 月 27 日，币安表示其安全团队过去一周成功识别并阻止了多起与朝鲜有关的网络攻击，未造成公司系统受损或资产损失。币安指出，朝鲜相关黑客组织近期持续开展名为 Contagious Interview 的社会工程攻击活动，利用虚假招聘面试、代码测试和软件安装等场景诱导目标运行恶意程序，并提醒用户避免安装未经授权的软件或执行来源不明的代码。

PANews 10月27日消息，Initia 在 X 平台发帖称，针对 10 月 23 日发现的安全漏洞，修复方案已起草完成，正由安全合作伙伴审计。审计完成后 Initia 将公布具体计划，恢复受影响资产的支撑，并有序重启 Initia L1 及 Rollup 网络；官方预计未来几天内完成上述流程，并提醒用户警惕非官方链接、消息或声明。

慢雾安全人员在威胁情报排查中发现 Udesk 客服系统脚本被注入恶意代码，获得 udeskApi.2026-10-16.cached.js 和 deeps.js 两个样本并完成分析。恶意加载器经十六进制解码后异步加载 https://udeskqlobal.com/deeps.js；deeps.js 启动时读取 Cookie、localStorage、sessionStorage 并挂钩表单与登录认证请求，将数据发送至 https://udeskqlobal.com/c.php，XHR 失败时改用图片 GET 请求兜底，该数据收集不受三个站点配置限制。地址模块则按 mgbx[.]com、bikingex[.]、bitxex[.]io 三条主机名规则匹配充值页，每 200 毫秒将识别出的充值地址替换为配置值，并通过包装 Clipboard API、替换复制按钮、拦截 copy 事件三条路径篡改剪贴板内容，配置了 BTC、EVM、TRON、Solana、LTC、DOGE 六种地址。慢雾给出停止分发受影响脚本、吊销会话与轮换凭据、独立核验充值地址等处置建议，并公布相关域名、URL、钱包地址与文件 SHA256 作为 IOC。

据 CoinDesk 报道，Jump Crypto 旗下 Solana 验证者客户端 Firedancer 更新漏洞赏金规则，研究员每提交一份报告须在链上永久销毁 1 枚 SOL（约 100 美元），无论报告是否有效均不退还，且需附销毁交易哈希。此举针对今年 4 月 9 日至 5 月 9 日总奖金 100 万美元审计竞赛中 162 名研究员提交的 809 份报告、仅 127 个独立漏洞且审核队列一度积压 299 份的问题。11 月 20 日前合格漏洞赏金翻倍，针对 Alpenglow 共识架构的严重漏洞最高赏金达 30 万美元。

硬件钱包 Keystone 在 10 月 26 日于 X 发文称，网站入侵者同时拿到了支撑设备真伪校验的 WebAuth 密钥，公司将销毁库存中的 18,835 台设备，工厂改用新密钥生产，未发出的网页订单暂停发货，新设备只接受预售。该密钥在制造时烧入且无法改写，持有副本者可制造能通过官方验证页校验的假冒设备。Keystone 称 10 月 20 日前送达且通过校验的设备可信，之后收到且仍带旧密钥的设备即使通过校验也无法完全排除假冒可能，公司不会要求寄回设备，此类召回请求是骗局。Keystone 还披露 Shopify 商店共 51,083 条买家记录受影响，其中 25,964 条 2024 至 2026 年的记录仍含姓名、联系方式、收货地址和订单信息，另有 12,873 条未付款结账记录；公司称批量删除工具运行不可靠导致数据超期留存，已承担责任，逾期数据删除请求预计在 11 月 3 日 10 天等待期后完成，并将保留期从 180 天缩短至 90 天。入侵被追溯到网站上一个未具名的第三方数据监控工具的缺陷，Keystone 称助记词、私钥、银行支付信息和政府身份证号未受影响，已在欧盟、英国等司法辖区报案。