安全事件

据CoinDesk报道，Solana的Firedancer团队要求研究人员每提交一份漏洞报告永久销毁1枚SOL（约100美元），费用不可退还，即使报告无效、超出范围或重复；未销毁SOL的报告无资格获得奖励。4月9日至5月9日的100万美元审计竞赛吸引162名研究人员提交809份报告，产生127个独特安全发现，近半数有效提交为重复，Jump Crypto认为几乎所有提交都有AI代理参与，待处理报告一度积压到299份。Jump同时提高奖励，符合条件的发现在11月20日前获得标准赏金两倍，Alpenglow特定漏洞为三倍，关键发现最高30万美元。

比特币原生流动性协议 On Nexus（原 DotSwap）10 月 27 日发布安全通报，证实早期部署的 DotSwap V1 因遗留的服务端签名验证漏洞遭攻击，黑客在约 4 小时内从流动性池转走约 8.5 枚 BTC（价值约 $68.5 万）。由于 V1 资金池采用托管式多签架构，未撤回的 LP 存款全数受损，普通用户自托管钱包资产未受影响。官方已永久下线 V1，并联合慢雾科技等机构追踪黑客 UTXO、联动交易所封堵变现通道，后续将发布复盘报告及赔偿方案。

据 CoinDesk 报道，以太坊开发者已修复 Glamsterdam 升级中的一项漏洞，该漏洞可能导致质押服务为新验证者存入的 ETH 被错误计入区块构建者账户，使运营者有机会提取相关资金。该修复于 10 月 26 日合并至以太坊共识规范，此前曾于 10 月 19 日因客户端团队支持不足被拒绝。研究人员称相关发现属于有条件的代码风险，并非已确认的实际攻击，目前尚无损失报告；修复仍需客户端团队集成，Glamsterdam 在 Hoodi 测试网的启动已延期。

据CoinDesk报道，以太坊开发者已修复Glamsterdam升级中的一个漏洞，该漏洞可能让运营者取走质押服务本用于新验证者的ETH，修复已于周一合并，而开发者一周前曾拒绝该修改。研究员avsetsin发现，运营者若先以特定公钥注册为构建者，质押服务随后用同一密钥存入ETH启动验证者，草案规则会将两笔存款都记给构建者；avsetsin称这是条件性代码发现，并非已确认的实时漏洞利用，现有检查可阻止攻击，目前没有损失报告。新规则按提款凭证对待处理存款排序，使验证者存款仍归属验证者。Glamsterdam已在Sepolia测试网运行，但10月26日在Hoodi测试网的启动被推迟，主网启动前需确定新日期。

PANews 10月27日消息，比特币原生资产交易协议DotSwap（现转型为On Nexus）发布公告称，10月25日其2024年推出的原始兑换平台DotSwap V1遭攻击，攻击者利用V1遗留的服务器端签名路径，在约四小时内从V1流动性池和V1账户盗走约8.5枚BTC，价值约68.5万美元。V1将池流动性存放在托管多签中，损失由流动性提供者存入V1池的BTC承担，所有V1存款均受影响，交易用户自托管钱包未受影响。V1现已离线，DotSwap表示正在追踪资金并与交易所和分析伙伴合作，将发布完整事后分析。

深潮 TechFlow 消息，10 月 27 日，比特币原生去中心化流动性层 On Nexus 发推称，其旧版交易平台 DotSwap V1 遭到攻击，攻击者利用遗留的服务端签名机制，在约 4 小时内从 V1 流动性池及账户转走约 8.5 枚 BTC，价值约 68.5 万美元。由于 V1 流动性采用托管式多签机制，损失涉及流动性提供者存入的 BTC，所有 V1 存款均受影响，但交易用户的自托管钱包未受影响。平台现已关闭 V1，正在追踪资金、联系交易所及链上分析合作方，后续将公布完整调查报告及用户处理方案。

据余烬监测，去年盗取 UXLINK 约 4,000 万美元资产的疑似黑客，近期在 Hyperliquid 上以 2,134 美元价格做多 30,282 枚 ETH，仓位价值约 7,025 万美元，浮盈约 562 万美元。余烬称该交易资金来源地址与已知 UXLINK 黑客地址存在链上资金关联，双方曾同日将剩余 ETH 转至同一钱包；该地址自 8 月初归集约 1,154 万 USDC 后开始在 Hyperliquid 交易 ETH，累计开仓 6 次、5 次盈利，总盈利约 571 万美元。

据链上分析师余烬监测，去年从UXLINK盗走约4000万美元资产的黑客目前在Hyperliquid以2134美元开多3.0282万枚ETH（7025万美元），浮盈562万美元，其资金来源地址与已知UXLINK黑客地址存在直接资金交集。该黑客8月初归集1154万枚USDC后开始在Hyperliquid交易ETH，6次开单赢5次，总盈利571万美元。

据链上分析师余烬监测，一名去年从 UXLINK 盗走约 4000 万美元资产的黑客，在 Hyperliquid 以 2134 美元价格做多 3.03 万枚 ETH，仓位价值 7025 万美元，目前浮盈 562 万美元。开仓资金来源地址与已知 UXLINK 黑客地址存在直接资金交集：一个月前两地址在同一天将剩余 ETH Gas 归集至同一钱包；8 月初该黑客归集 1154 万枚 USDC 后开始在 Hyperliquid 交易 ETH，共开仓 6 次、5 次获利，总盈利 571 万美元。

深潮 TechFlow 消息，据 Scam Sniffer 监测，一名用户疑似因私钥泄露导致以太坊及 Base 网络资产被盗，损失约 158 万美元。攻击者在不到 2 小时内转走 682 枚 ETH，其中约 281 枚 ETH 随后被转入 Tornado Cash。

Scam Sniffer监测显示，某用户疑似因私钥泄露在以太坊和Base上损失约158万美元。

硬件钱包制造商 Keystone 表示，攻击者上周入侵其网站时，除窃取客户数据外，还盗走了一把用于验证设备真伪的密钥，可能被用于制造能通过真伪检查的假冒钱包。Keystone 称攻击者利用其网站所用第三方监控工具的漏洞提权，计划销毁库存中含该密钥的 18,835 台设备，并暂停相关出货，待启用新密钥后恢复；公司称 10 月 27 日事件之前制造和交付的设备仍属安全，之后交付的设备无法保证真伪。Keystone 还披露 Shopify 商店共生成 51,083 条买家记录，其中 25,964 条 2024 至 2026 年的记录因批量删除工具故障未被清除而遭窃，另有 12,873 条未完成购买的结账记录被 Shopify 保留并泄露。

硬件钱包 Passport 开发商 Foundation 发布安全事件调查更新称，已在邮件系统中识别出超过 23000 次钓鱼邮件尝试，其中 19057 封通过 Mailgun 发送、1503 封通过 Google Workspace 发送，部分尝试在送达前失败或被拦截；Foundation 强调这些数字不代表个人信息泄露人数，仍在确认并将后续公布。调查显示其旧 WooCommerce 商店数据清理不彻底，数据库迁移后旧表仍留有客户个人信息副本，退款记录和废弃购物车中也有类似数据，且这些记录位于攻击者可访问的系统中；今年 5 月迁移至 Shopify 后的订单客户信息也可能已泄露。Foundation 已撤销受影响邮件凭证、清除排队钓鱼邮件并下线相关旧服务，目前没有证据表明 Passport 设备或其私钥受到影响。

Keystone 披露攻击者窃入其设备 WebAuth 认证密钥，因该密钥在制造时永久嵌入且无法改写，公司将销毁库存中全部 18,835 台设备，新生产钱包换用替代密钥，并暂停网站订单发货转为预售。Keystone 称入侵源于第三方数据监控工具漏洞，10 月 20 日发现异常；调查还发现 51,083 条 Shopify 买家记录中 25,964 条仍保留姓名、地址等个人信息，自动删除系统故障导致数据超出 180 天留存政策，公司已将留存期缩短至 90 天。Keystone 称助记词、私钥和支付信息未泄露，10 月 20 日前交付且通过认证的设备可继续使用，之后收到的需联系客服额外核验。

印度交易所 CoinDCX 于 10 月 25 日确认损失 1599 万 USDT，此前其 CEO Sumit Gupta 于 10 月 22 日将相关链上异动称为“虚惊一场”。CoinDCX 称部分客户仍向已弃用的充值地址转账，自动归集系统故障导致资金累积；调查者 ZachXBT 和 Bitquery 则质疑这些地址早已停用的说法。公司表示已自行吸收损失，客户资金安全，2025 年与 2026 年两次事件合计损失约 6000 万美元。

比特币钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，修复一个高危漏洞：恶意服务器可压制真实交易并注入伪造的冲突交易，显示攻击者地址和零手续费，使支付看似卡住；用户对看似停滞的交易提高手续费时，实际签名并广播的是支付给攻击者的新交易。开发者 SomberNight 的安全公告称已有服务器在野外实施该攻击，用户 Raju-K12 于 10 月 18 日确认在提高手续费后损失资金。4.8.3 在将未确认交易加入本地记录前验证钱包自有输入的签名，但来自外部发送方、输入均不属于用户钱包的转入交易仍未验签，公告承认该缺口需额外工作才能关闭。仅连接自建服务器的用户不受影响。

StonkFun 称目前已拦截 170 余个针对其社区的诈骗威胁，并正与 @ChainPatrol 合作下架虚假账号、钓鱼网站和诈骗链接。

印度加密交易所 CoinDCX 在博客中确认其钱包基础设施被盗走 15.99 万... 15.99 million USDT（约 1600 万美元），称损失由公司自行承担、用户资金不受影响。资金于 Oct. 21 在 Tron 网络转移，原因是内部自动归集流程未能将客户存款从 2025 年黑客事件后已停用的钱包中转出。此前 CEO Sumit Gupta 曾在 X 上称相关报告是“false alarm”，链上调查者 ZachXBT 对此提出异议并呼吁用户提币。加上 2025 年 7 月约 4400 万美元的黑客事件，该交易所两次事件损失合计接近 6000 万美元。

PANews 10月26日消息，据PeckShieldAlert报道，被标记为X100攻击者的地址已向混币器Tornado Cash存入821.2枚ETH（约189万美元）。X100于10月24日遭闪电贷治理攻击，损失约475万美元，其代币X在24小时内下跌96%。

据 Cointelegraph 报道，Immunefi 首席执行官 Mitchell Amador 表示，小型网站升级补丁较慢，可能需数周才能完成更新，他建议未来数周避免重复使用密码、谨慎连接加密钱包并撤销未识别的代币授权。Cloudflare 首席执行官 Matthew Prince 称漏洞公开后 24 小时内已记录数百万次利用尝试；FBI 警告该漏洞可能允许在 PHP 核心中远程执行代码。