安全事件

ChainCatcher 消息，据 PeckShield 监测，被标记为 X100 漏洞利用者的地址已向 Tornado Cash 存入 821.2 枚 ETH，价值约 189 万美元。X100 ($X) 于 2026 年 10 月 24 日遭受闪电贷治理攻击，损失约 475 万美元，$X 代币价格在 24 小时内下跌 96%。

深潮 TechFlow 消息，据链上分析师 PeckShield 监测，被标记为 X100 漏洞利用者的地址已向 Tornado Cash 存入 821.2 枚 ETH，价值约 189 万美元。X100（$X）于 10 月 24 日遭受闪电贷治理攻击，损失约 475 万美元，$X 代币价格在 24 小时内下跌 96%。

ChainCatcher 消息，漏洞赏金平台 Immunefi CEO Mitchell Amador 警告，PHP 漏洞印证了 AI 使发现漏洞成本降低而修复成本依然高昂的漏洞末日正按计划到来，建议用户未来几周避免重复使用密码、谨慎连接加密钱包并撤销无法识别的代币授权。Cloudflare CEO Matthew Prince 称漏洞公开披露后 24 小时内网络记录数百万次利用尝试；W3Techs 估计 PHP 支持约 69% 拥有已知服务器端编程语言的网站。

Keystone Hardware Wallet 声明其官网于 10 月 20 日遭攻击者利用第三方监控工具漏洞入侵，约 25,964 条含个人信息的购买记录、12,873 条未付款结账记录及设备 WebAuth 认证密钥被获取，助记词、私钥及支付信息未受影响。Keystone 将销毁库存中 18,835 台含旧密钥的设备，暂停官网发货并改为预售，同时提醒用户无需转移资产，并警惕以召回为名的诈骗。

Immunefi CEO Mitchell Amador 表示，PHP 关键漏洞印证了 AI 使漏洞发现变便宜、修复仍昂贵的“漏洞末日”，未来数周内用户应假定登录的网站可能已被攻破，避免重复使用密码、谨慎连接加密钱包并撤销不认识的代币授权。此前 PHP 基金会承认因资源不足推迟修复该 2024 年首次发现的漏洞，并于同日发布两个关键漏洞的紧急补丁，但各网站仍需自行升级。Cloudflare CEO Matthew Prince 称漏洞公开后 24 小时内出现数百万次利用尝试；W3Techs 估计 PHP 驱动约 69% 已知服务端编程语言的网站，FBI 网络部门警告该漏洞可能被用于远程执行代码。

硬件钱包公司 Keystone 于 10 月 24 日在 X 发文称，入侵者进入其官网并窃取了客户数据：公司 10 月 20 日发现入侵，经与电商平台 Shopify 核查 API 活动后于 10 月 23 日确认数据被取走。泄露内容包括姓名、联系方式、收货地址及订单详情（所购商品与支付价格），Keystone 称支付卡与银行信息、助记词、私钥和钱包密码不在泄露范围内；公司已切断访问、修补漏洞、启动调查并开始邮件通知受影响客户，但未说明受影响人数、入侵方式或涉及的订单日期范围。文章还对比了 Keystone 历年对收货数据保留的说法：2021 年 5 月更新的隐私政策称 180 天未下单即清除订单信息，2023 年 2 月更新的帮助中心文章则称删除需客户申请且城市与国家记录不会删除，其隐私承诺页面称订单 180 天后自动删除收货信息。Keystone 同时提醒用户警惕冒充其名义的退款或换新骗局，切勿分享助记词，并称详细报告即将发布。

ChainCatcher 消息，Consensys 与数字签名方案提供商 eMudhra 联合发布安全警告，指出以太坊运营者使用 eMudhra 签名方案时存在风险：部分 Java 信任存储存在漏洞，部分配置会带来暴露风险。团队称默认设置不受影响，但部分 Web3Signer 部署需要立即更改访问控制。Web3Signer 是 Consensys 开发的开源远程签名工具，常用于以太坊等网络的密钥管理。

Passport 比特币硬件钱包开发商 Foundation 称攻击者利用其官方域名发送钓鱼邮件，诱导用户提交助记词，公司称客户资金与设备安全。官方称事件源于 Cloudflare 上一个或多个 API 密钥被攻破，已撤销全部密钥并下线恶意域名；CEO Zach Herbert 称部分后端基础设施因自托管应用漏洞被入侵，客户支持邮箱可能失陷，团队在收到用户报告 10 分钟内切断攻击者发信能力。部分邮件含客户真实姓名、地址或电话，公司称这些信息可能来自支持邮箱、其他近期加密数据泄露或其新 Shopify 店铺订单。公司未说明收件客户数量，Herbert 表示将在细节齐备后发布正式报告。

说唱歌手 Playboi Carti 拥有 360 万粉丝的 X 账号在 10 月 25 日更新简介并标注 @pumpfun，随后出现的 CARTI 代币市值一度升至约 120 万美元后被砸盘归零。Dexscreener 显示 Solana 上最活跃的 CARTI 交易对 24 小时成交额约 409 万美元，价格同期下跌约 64%。截至发稿，Carti 本人及其团队未发表声明，代币与其关联未获确认；Solana、Robinhood Chain 和 Arc 上已出现 20 多个同名仿盘。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费（RBF）的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。攻击中恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成与合法收款地址末四位相同的攻击者地址；该替换交易当时签名无效，但轻客户端展示未确认交易前未核对签名，用户手动加费并签名后攻击者收款生效。补丁对应提交 90fe308，在写入本地历史前核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证；公告建议未升级用户每次签名时核对输出地址与金额，连接自有或可信服务器的客户端不受影响。公告未公布被盗金额、交易标识或攻击者地址。

印度加密交易平台 CoinSwitch 于 10 月 26 日推出 SafeSwitch 反诈骗计划，据 Tech in Asia 报道，该计划包含 10 道题的诈骗识别测验、印度网络诈骗举报热线 1930 的相关信息及辅助检查网站的工具。CoinSwitch 强调，网站检查工具仅提供额外的安全参考，并不能保证网站绝对安全。

据 Teh Block 报道，开源比特币硬件钱包厂商 Foundation 称发现有垃圾邮件通过其官方域名发出，追踪显示问题源于一个或多个遭到入侵的 Cloudflare API 密钥，目前这些密钥已被撤销，邮件中使用的恶意域名也已下架。Foundation 强调，存储在 Passport 设备中的资金依然安全，硬件本身未受到入侵。

据 Onchain Lens 监测，跨链交易自动化平台 Bloom Trading 用户报告钱包资产被盗，黑客从 49 名受害者处窃取 9,408 枚 SOL（约 95.4 万美元），单笔最高 1,636 枚 SOL（约 16.6 万美元）。Bloom Trading 回应称将全额赔偿受影响的 9 个钱包，款项打入钱包所有者指定的新地址，团队仍在调查根本原因，包括第三方服务提供商是否被入侵。当前材料中赔偿钱包数量与监测到的受害者数量存在差异。

深潮 TechFlow 消息，据 Bloom Trading 发文，针对近期钱包资产被盗事件，平台将全额赔偿 9 名受影响用户（共 49 个钱包）的资金损失，赔偿款直接转入用户指定的新安全钱包，无需设立专项赔偿基金。此前链上监测显示，这 49 个钱包共计被盗约 9,408 枚 SOL，价值约 95.4 万美元。Bloom Trading 表示仍在调查事件根因，包括第三方服务提供商是否遭到入侵。

以太坊基金会通过 CoW Swap 出售 2,785 枚 ETH。据 Odaily 星球日报 10 月 26 日午讯，持有超 12.9 亿美元空头仓位的 Abraxas Capital 两个账户累计盈利超 3.53 亿美元；Bloom Trading 用户疑遭钱包盗币攻击，49 个地址累计损失约 95.4 万美元；某以太坊 ICO 远古巨鲸沉寂 11 年后转出 5,000 枚 ETH，其中 1,500 枚流入 CEX。

据纽约西区联邦检察官办公室公告，35岁纽约居民 Timothy Wadsworth 因串谋实施电信诈骗和洗钱被判处51个月联邦监禁，并需支付81.1万美元赔偿金。2020年3月至5月，他使用同谋提供的未授权信用卡账号通过 Stripe 尝试处理310笔共计约167万美元的支付，其中116笔成功、金额达73万美元，资金转入其控制的银行账户后转至 Coinbase 购买比特币并转给同谋。该案还涉及疫情期间虚假申请 PPP 贷款、EIDL 贷款、失业救济及爱情骗局，总损失约206万美元；该男子已就共谋电汇欺诈和洗钱罪认罪。

深潮 TechFlow 编译 Blockworks 研究员 Jake Koch-Gallup 的看空分析，认为 PEARL 的「有用功工作量证明」（PoUW）基本面难以支撑其数十亿美元估值。作者列出四大隐患：未来一年年供应增速约 85%，按 $2.17 币价日均新增约 $220 万代币抛压，占全网日均约 $850 万交易量的约 30%，一年累计新增产出约 $6.54 亿美元而当前总市值仅约 $7.68 亿美元；AI 客户以美元结算、Together AI 的 25% 推理折扣实为抛售代币补贴，代币无原生需求；网络使用通用数据中心 GPU，可租算力远超全网算力，面临类似 ETC 的 51% 攻击风险，且矿工日收入约 $220 万远低于比特币的约 $3660 万；并对比 ZEC 从 $2328 跌至 $29.80 的早期高通胀历史。作者同时承认看多逻辑，包括公平发射、21 亿枚硬顶、团队背景及 Coinbase 已于 10 月 19 日将 PEARL 列入上币路线图。

据 Onchain Lens 监测，Bloom Trading 多名用户报告钱包资产被盗，疑似盗币地址已收到 9,408 枚 SOL，价值约 95.4 万美元，涉及 49 名受害者，单笔最大被盗 1,636 枚 SOL（约 16.6 万美元），实际损失可能更高。Bloom Trading 官方称团队正在调查，其他钱包仍然安全，将暂时停用部分服务。

美国司法部10月23日宣布，纽约州罗切斯特市35岁男子 Timothy Wadsworth 因串谋实施电信欺诈和洗钱被判51个月监禁，并须支付810,965.19美元赔偿、没收810,956.19美元欺诈所得。他使用他人提供的账号通过 Stripe 尝试310笔支付共计1,673,578美元，其中2020年3月10日至5月15日有116笔成功、金额730,728.22美元，资金转入其控制的 HSBC 和 Evolve Federal Credit Union 账户后，部分经 Coinbase 购买比特币转给同伙。其2020年3月至2021年9月的多起欺诈造成约206万美元实际及预期损失，还包括冒充申请的疫情救助贷款和恋爱诈骗款项。

区块链安全企业 SlowMist 于24日在 X 表示，其威胁监控系统 MistEye 确认了1500个以上与 iOS 攻击工具 DarkSword 相关的钓鱼网站，伪装成电商、交易所、加密钱包和游戏服务诱导用户访问。DarkSword 组合利用 iOS 中6个漏洞，可绕过沙盒窃取钥匙串凭证、钱包私钥和备忘录数据，在 Safari 打开特制页面即可触发；Google GTIG 与 iVerify、Lookout 于3月披露后代码已泄露。SlowMist 10月19日的报告显示，一个活跃攻击服务器30天内记录2万187次页面访问和1187次入侵尝试，成功10次中9次完成数据外传，受影响版本为 iOS 18.6–18.7.2 和 26.0–26.1。苹果已在 iOS 26.3 修复全部相关漏洞，并将 iOS 18.7.7 推送给旧设备；SlowMist 建议用户尽快更新系统，不要在备忘录中保存钱包凭证或助记词，若曾在受影响版本上打开可疑页面，应在另一台设备上新建钱包并转移资产。