按时间查看安全事件，保留原文链接与报道归属。
硬体钱包厂 Keystone 宣布其 Shopify 驱动的官方商店于 10 月 20 日遭骇客入侵，客户姓名、联络方式、收件地址与订单明细外泄，官方称付款卡号、私钥与复原短语等未受影响，受影响人数与骇客身份未披露。多名客户指出其订单远早于 180 天删除期限仍遭泄露，与 Keystone 长期以「180 天后永久删除出货资料」作为行销卖点的说法不符；其隐私政策与客服条款则写明城市与国家记录不会被删除、最终删除流程由 Shopify 执行。文章并提及 Trezor、SafePal、Ledger 今年也发生过类似个资外泄事件。
印度交易所 CoinDCX 在官方博客承认，因自动扫款服务在特定时段失效，约 1599 万 USDT 滞留在已弃用、存在未知漏洞的旧钱包地址并被骇客转走，损失由公司全额吸收，用户资金不受影响。此前资产救援服务商 FlashRescue 共同创办人 Darcy 和链上分析师 ZachXBT 在 X 上指出资金流出，CEO Sumit Gupta 一度回应称钱包未被入侵、属误报，随后改口称正在调查。ZachXBT 指出相关存款地址在 2025 年 7 月事件后仍被使用，并建议用户提走 CoinDCX 上的资金。CoinDCX 称常规交易、存提功能在事件期间照常运作。
Foresight News 编译 Bankless 文章称，AI 大幅降低漏洞发现门槛，加密行业分化为两条安全路径：一是敏捷修补，Bitcoin Core 于 10 月 22 日合并安全策略变更，加快修复 LLM 简单提示即可发现的漏洞；Starknet 社区投票研究转型为独立后量子 L1。二是极简不可变，以太坊路线图转向「仅哈希」，开发者 Ross 主张把关键代码上链、走向无服务器。DefiLlama 数据显示 2026 年迄今已有 112 起超 100 万美元攻击，2025 年全年为 70 起；Anthropic 与 Theorem 的研究显示，用 Claude 对 123 个开源库的 239 个入口点做形式化验证只需数周，但典型证明约 60 万行，可能消耗数亿 AI token，且只覆盖指定属性。
印度交易所CoinDCX于25日在官方博客披露，已停用的旧钱包流出1599万USDT（约25亿日元，按1美元=157日元换算），损失由公司全额承担，用户余额不受影响。流出涉及2025年7月19日被盗后停用的旧运营钱包，公司21日检测到异常，22日经链上数据与用户报告确认不审资金移动，调查发现旧基座存在未知漏洞。资金滞留原因是误入金救急的两段式扫款（sweep）处理一度中断，据The Block报道，最大单笔流出为1581万9002 USDT。CEO Sumit Gupta起初在X上否认钱包被侵害，后改口称调查中；ZachXBT等人对公表前的应对提出质疑。公司称交易与充提近72小时未停止或限制出金。
以太坊 Glamsterdam 硬分叉的第二个测试网因 ChainSecurity 在 EIP-8037/8038 中发现漏洞而取消，涉及至少 13 个 DeFi 合约；Eth Labs 的 Derek Chiang 称两名研究者各自用 AI 智能体扫描合约，后通过 GitHub 仓库协调，该做法已扩展到检查 EIP-8198。Solana 首个重大共识升级 Alpenglow 于周三约 13:54 UTC 上线主网，Anza 称交易最终确认时间从约 12.8 秒降至约 150 毫秒。Starknet 社区投票以 93.52% 赞成率支持研究转型为独立的抗量子 Layer 1，但实际转型仍需另行有约束力的投票。美国参议员 Blumenthal 就《华尔街日报》报道的 630 万美元交易致函 Tether CEO Paolo Ardoino，Tether 称外部调查未发现不当行为。JPMorgan 资产管理预计未来十年比特币年化回报 10%，高于美股大盘 7.5% 和黄金 5.5%，但认为其波动性暂不适合作为分散配置工具。
网站 Steal My Bitcoin 悬赏约2000美元（约0.025 BTC）比特币邀请黑客攻击其故意留有漏洞的 PHP 环境，截至10月25日晚上线超17小时仍无人领取。一名独立研究者经 HTTP 响应头比对后怀疑，服务器实际由 nginx 转发至 PHP 内置命令行服务器并仅返回静态 index.html，所宣传的漏洞可能无法通过允许的攻击面触达；该假设未经验证，研究者本人也承认可能有误。挑战针对的 PHP 8.4.26 两个严重度9.2的漏洞（CVE-2026-109618、CVE-2026-109619）真实存在，管理员仍需打补丁。
硬件钱包 Keystone 称10月20日发现官网遭未授权访问，10月23日确认第三方获取客户收货信息，泄露姓名、联系方式、收货地址及订单详情，支付卡、助记词、私钥未泄露。安全机构 Blockaid 监测以太坊上的 X100 遭持续攻击，两笔交易已套取约485万枚USDT；Initia 称攻击者利用 MoveVM 脚本缓存漏洞伪造状态，转出约270万美元资产，L1 及 Rollup 仍暂停。美股下周迎财报高峰与美联储议息，币安将上线 PREDICT USDT 永续合约盘前交易。
慢雾监测显示，Yapeswap遭攻击，损失约2.19万美元。事件源于WorkersUnion治理机制的法定人数要求为零，一项仅获约0.000055%投票权支持的提案即将YapeFactory的feeToSetter权限转移给攻击者。攻击者随后部署恶意Registry合约，使latestVault()返回伪造金库地址而vaults()仍列出真实金库，YapePair将被转移的存款计入农场资产却未发放可赎回份额，涉及YapeFactory、YapePair和YapeWrapper等合约。
PANews 10月25日消息，印度加密交易所 CoinDCX 就 10 月 21 日约 1599 万 USDT 相关转账说明称，涉事地址为 2025 年 1 月生成、同年 7 月安全事件中被攻破后已弃用的旧钱包，因自动归集服务一度失效，用户误充资金在该地址累积，最终造成 1599 万枚 USDT 损失，由 CoinDCX 自行承担。CoinDCX 称受影响用户充值均已正常记入账户，活跃中心钱包与用户钱包未受影响，客户资产仍存于独立冷钱包，交易与提现照常进行。
据 BlockSec 监测，X100 Global 在以太坊上的一笔可疑交易造成约 475 万美元损失，攻击源于治理机制设计漏洞。攻击者用闪电贷借入资金买入 X 代币，分配至两个受控合约后存入 Freezer，在同一笔交易中控制 3 个参议员席位中的 2 个，随即通过并执行恶意金库提案：批准将 40 万枚 X 代币兑换至 PancakeSwap V3 的 X-USDT 池且最低输出量设为 0，最终仅获得约 35.68 USDT，随后撤出流动性、在 Uniswap V3 卖出部分代币并偿还闪电贷。
Electrum 发布 4.8.3 版本，修复高危漏洞：此前版本对未确认交易未验证签名，恶意服务器可拦截合法支付并替换为指向攻击者地址的欺诈交易，用户在通过 RBF 提高手续费时可能误签该替换交易。攻击者还将收款地址末四位伪装成与目标地址一致，一笔欺诈交易甚至设为零手续费以诱导用户发起提费操作。10 月 11 日用户 dannydeezy 报告交易替换，10 月 18 日 Raju-K12 报告提费后资金被盗。补丁（commit 90fe308）要求对花费本钱包代币的未确认交易验证签名，官方建议用户从 electrum.org 下载更新并核验签名；仅连接自建可信服务器的用户不受此攻击影响。
推荐理由：漏洞利用 RBF 提费流程诱导用户签署被替换的交易，仅自建可信服务器的用户不受此攻击影响。
Keystone 硬件钱包官网遭未授权访问，用户姓名及收货地址泄露；Electrum 披露高危漏洞，提醒用户更新至 4.8.3 版本。早讯同时提到，Arthur Hayes 再次将 1400 万枚 ENA 转入 Cumberland；Strategy、Strive 等通过优先股融资支持购入 135,979 枚比特币，占最大供应量逾 0.5%。
硬件钱包 Keystone 发布公告称，其官网于 10 月 20 日遭未经授权访问，公司于 10 月 23 日核查 Shopify API 活动后确认，第三方获取了客户姓名、联系方式、收货地址及订单详情（含购买商品及价格）。Keystone 表示事件未涉及银行卡、银行账户信息、助记词、私钥或钱包密码，已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响客户，并提醒用户警惕以退款、补发设备或修复订单及地址问题为由的冒充官方诈骗。
PANews 10月25日消息，比特币钱包Electrum在X平台公布4.8.3版本修复的高危漏洞详情，影响4.8.3之前所有版本。据其GitHub安全公告，恶意Electrum服务器可拦截用户刚广播的交易，并在钱包历史中替换为向攻击者地址付款的冲突交易，若用户使用RBF提高手续费，钱包将签署并把资金发送给攻击者。Electrum称已有部分服务器在野实施该攻击，目前两名用户报告相关情况，其中一人因提高手续费损失资金，金额未披露。官方建议升级至4.8.3，未升级前签署任何交易须核对收款地址和金额，连接自建服务器的用户不受影响。
推荐理由：攻击依赖恶意服务器替换交易，自建服务器用户不受影响，升级前签名须核对收款地址。
据 Bitcoin News 监测，Electrum 披露一项高危漏洞：恶意服务器可在用户通过 Replace-by-Fee（RBF）提高手续费时，拦截已广播的交易并在钱包历史中替换为转至攻击者地址的伪造交易，Electrum 可能为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金；攻击者还会生成与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前版本，已在 4.8.3 修复，官方提醒用户立即更新并在签名前核对收款地址和金额。
PANews 10月25日消息，硬件钱包Keystone在X平台发帖称，其于10月20日发现官网遭未授权访问，经与Shopify核实API活动后，于10月23日确认第三方获取了客户收货信息。泄露内容包括姓名、联系方式、收货地址及订单详情，支付卡或银行信息、助记词、私钥及钱包密码未泄露。Keystone表示已阻断访问、修复漏洞并展开调查，正通过邮件通知受影响用户，并提醒用户警惕有人冒充Keystone以退款、更换设备等名义实施诈骗，切勿提供助记词或私钥。
ChainCatcher 消息，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。Keystone 称发现漏洞后已阻止未经授权访问并完成修复，此次事件未波及用户的支付详情、助记词或私钥，公司将继续加强安全防护。
区块链安全公司 Blockaid 在 X 平台发文表示，以太坊上的 X100 项目正遭受持续攻击，已发现三名攻击者通过项目治理及流动性管理机制实施攻击。Blockaid 披露，首名攻击者控制了 X100 的 Senate 治理机制 3 个席位中的 2 个，并将项目国库中 40 万枚 X 代币出售至其自建的空流动性池；第二名攻击者销毁了 Freezer 持有的 Uniswap V3 流动性头寸；第三名攻击者利用相同的 Senate 操作路径提取了剩余约 55 万枚 X 对应的 Uniswap V3 流动性头寸。截至目前，三笔攻击交易已使攻击者获得约 485 万 USDT 及约 55 万枚 X，Freezer 中仍存有约 1220 万枚 X，Blockaid 表示攻击仍在持续。
据安全机构 Blockaid 监测，以太坊上的 X100 遭遇攻击，截至其 22:49 发布警报时攻击仍在持续，两笔交易已套取约 485 万枚 USDT。Blockaid 称，一名攻击者夺取了项目三个 Senate（治理席位）中的两个，并将金库中的 40 万枚 X 代币卖入其自行创建的空池；随后另一名攻击者销毁了 Freezer 合约持有的 Uniswap V3 流动性头寸。Blockaid 已公布相关攻击地址及示例交易。
据安全机构Blockaid监测，以太坊上的X100遭遇攻击，截至其22:49发布警报时攻击仍在持续，两笔交易已套取约485万枚USDT。Blockaid称，一名攻击者夺取了项目三个Senate治理席位中的两个，并将金库中的40万枚X代币卖入其自行创建的空池；随后另一名攻击者销毁了Freezer合约持有的Uniswap V3流动性头寸。Blockaid已公布相关攻击地址及示例交易。