安全事件

Initia 因安全事件暂停整条链，The Block 报道称攻击者可能增发了代币，具体损失尚未披露。比特币现货 ETF 单日净流出 1.379 亿美元，其中贝莱德 IBIT 流出 1.103 亿美元，10 月累计净流出 3.135 亿美元。苹果 iPhone Duo 开售首日即被加州团队越狱，同时出现首批用户反馈开箱裂屏。

ChainCatcher 消息，Succinct 旗下零知识证明系统 SP1 曝出高严重性可靠性漏洞，通过 GitHub 公告 GHSA-p7v2-jjv3-8p8f 披露，影响 SP1 原生 Rust 验证器 6.0 至 6.8.0 版本，使主网 Prover Network 可能接受无效证明。漏洞原因是验证器仅读取数据标签（声明维度），未校验实际存储元素数量是否等于维度乘积，攻击者可伪造标签使无效证明通过；采用固定形状 wrap 证明的 Groth16 与 Plonk 检查不受影响，链上 Solidity 检查器亦安全。Succinct 于 9 月 24 日发布修复版本 6.8.1 并已部署至主网，新增反序列化长度校验。漏洞由 Vitalis Salis 发现并经 Immunefi 漏洞赏金计划上报，自行运行原生 Rust 验证器且接受不可信证明者的用户需升级至 6.8.1。

据Salus监测，一个在2025年相关报道中被指与针对Coinbase用户诈骗活动有关的钱包出现资金异动：向新钱包转出300万枚sUSDS，兑换后分36笔存入Tornado Cash，合计1,389.6枚ETH。

深潮 TechFlow 消息，Initia 官方 10 月 24 日在 X 平台披露，10 月 23 日北京时间 22:59，攻击者利用 Initia MoveVM 脚本缓存机制漏洞绕过安全检查，伪造虚拟机状态，在未改变代币总供应量的情况下生成缺乏实际资产支持的 WETH、iUSD 和 USDC，未增发原生 INIT 代币。网络暂停前，攻击者通过 LayerZero、Noble 及 CCTP 等跨链渠道转出约 270 万美元资产，含 105 枚 WETH、约 140 万枚 AUSD0 和 108 万枚 USDC，后兑换为 1,135.52 枚 ETH，存放于以太坊主网地址 0x358ef0130f7a5aa516dcd81bdc80b18cde41cac8。Initia 称正修复漏洞，预计未来数日内完成修复及安全审计，并与安全合作伙伴推进资产追回；L1 及 Rollups 网络仍处暂停状态，恢复时间尚未公布。

PANews 10月24日消息，Initia在X平台发帖称，攻击者于10月23日22:59（UTC+8）利用Initia MoveVM脚本缓存漏洞绕过安全检查、伪造MoveVM状态，为自己记入无实际支撑的WETH、iUSD和USDC，相关代币总供应量未变，INIT未被增发。网络暂停前，攻击者已转出约270万美元资产，包括通过LayerZero转出的105枚WETH和约140万枚AUSD0，以及通过Noble和CCTP转出的约108万枚USDC，随后兑换为1135.52枚ETH，目前存放于以太坊地址0x358ef0130f7a5aa516dcd81bdc80b18cde41cac8。Initia表示安全修复预计数天内完成并通过审计，资产追回工作正与安全合作伙伴推进，L1及Rollup仍处于暂停状态，后续将发布完整事后复盘报告。

据 Unchained 报道，以太坊流动性质押协议 Swell 已暂停 swETH 和 rswETH 的充值及提现，待修正两种代币的净资产价值（NAV）及兑换汇率后再恢复，项目方称用户资金安全但未公布恢复时间。数据显示，两者合约报告兑换汇率约为 1.203 ETH 和 1.138 ETH，较此前正常水平高出约 6% 和 5%，而 DEX 实际成交价仅约 1.089 WETH 和 1.029 WETH。链上分析师 Spreek 此前怀疑相关代币管理密钥泄露，并发现可能影响约 2500 枚 ETH 的恶意升级合约，但尚未发现该升级被正式执行；Swell 称充值及提现合约中的 ETH 未被转出，事件原因仍在调查。

Odaily 声明其未被 DarkSword 攻击影响，App 也不存在安全风险。Odaily 称，部分用户收到的苹果系统安全提示，是因为 App 因苹果开发者账号相关问题于上周被暂时下架，与 DarkSword 攻击或 App 自身安全问题无关，目前正推进新版本审核及恢复上架，预计下周完成更新并重新上架。

深潮 TechFlow 消息，10 月 24 日，阿根廷总统 Javier Milei 在 X 平台发文回应法院撤销其与妹妹 Karina Milei 涉 LIBRA 代币欺诈案的刑事调查。米莱称过去一年八个月零九天持续遭受诽谤，指责部分反对派及媒体借机发动政治和舆论攻击，点名批评《民族报》集团及多名记者。此前，阿根廷联邦法官应检方请求撤销相关刑事调查，认为现有证据不足以证明构成欺诈等刑事犯罪。

Bitcoin Core 週四合入资安政策修正案，只要一支对 LLM 的简单提示就能重现的漏洞，不再拖上数週至一年以上的保密期，改为尽快修补、回拷到所有支持版本并附带安全公告。提案作者 Chaincode Labs 开发者 Antoine Poinsot 表示，改动是为回应大型语言模型大幅降低了找漏洞门槛；他承认修补到达使用者前的测试时间会减少，并拒绝了资深研究员 Antoine Riard 保留逐案灵活处理的建议。截至发稿，尚无漏洞以新规则正式标记。

PANews 转载 BlockBeats 分析称，2026 年 10 月 20 日，一个三小时寿命的钱包在 pump.fun 上铸造名为 Kimchi 的代币，首笔交易用 87 枚 SOL（约 9,073 美元）买入 7.93 亿枚（占总量 79.3%）；不到一分钟后 pump.fun 官方账号发布纽约街头广告图，联合创始人 Alon 转发并称 Kimchi 为「创意合伙人」，其关联地址被标注为 Kimchi 并获得 75.32% 供应量，创作者费用永久流向该地址。10 月 22 日，Kimchi 发布含二维码的 project kimchi 海报，Alon 转发后该币市值冲至 1,000 万至 1,500 万美元，随后两人删帖，币价跌 98% 至不足 30 万美元；10 月 20 日那枚官方币也跌 49%，市值剩 1,271 万美元。链上分析师发现，被标注为 Kimchi 的地址三小时内从 Binance 和 OKX 热钱包收到 13.5 亿枚 PUMP（约 625 万至 643 万美元），加上创作者收入，三天账面增加 1,000 多万美元；pump.fun 10 月 20 日收入 161 万美元。文章还提到 Fomo 平台的竞争压力：9 月 2 日至 16 日中 13 天收入高于 pump.fun，pump.fun 过去 30 天 launchpad 收入 4,540 万美元，10 月份额从 9 月的五成回到七成半，代价是每天 90 万美元回购销毁代币。

模块化区块链 Initia 于 10 月 23 日因安全事件暂停 L1 及连接的 rollups。联合创始人 Ezaan Mangalji 称，攻击者利用 MoveVM on CosmosSDK 的 Day 0 漏洞在链上铸造并跨出约 270 万美元的 AUSD、ETH 和 USDC，原生 INIT 代币不受影响。Agora 称 AUSD 合约未被攻破、AUSD 并不存在于 Initia 上；Upbit 已暂停 INIT 充提，截至发稿链仍停在区块高度 23365925，恢复时间未公布。

慢雾余弦在 X 平台发文表示，慢雾 MistEye 全网威胁情报狩猎发现，目前全网部署有 1500 多个 DarkSword 钓鱼站点，涉及电商、虚假币安、虚假 OKX、虚假钱包、游戏及加密货币兑换等业务。

深潮 TechFlow 消息，慢雾创始人余弦在 X 平台发文提醒，iPhone、iPad 用户应及时更新系统，警惕 DarkSword 攻击工具。余弦称该攻击主要针对加密货币用户，可能通过遭恶意植入代码的 App 实施定向攻击，可利用 iOS 系统漏洞突破应用沙盒，窃取 Keychain 中保存的密码、加密钱包本地私钥文件及备忘录等数据，建议及时升级 iOS、iPadOS 系统以降低风险。

ChainCatcher 消息，据慢雾余弦监测，DarkSword 主要针对 iPhone 币圈用户进行定点攻击和盗币，利用 iOS 相关漏洞突破沙盒，窃取 Keychain 中的各类密码等隐私数据，以及钱包本地私钥文件、备忘录等数据。慢雾余弦提醒用户及时更新 iPhone 和 iPad 系统，并警惕已安装的部分 App 遭 DarkSword 投毒。

据链上反洗钱监测平台 AMLBot 监测，Tether 已冻结约 220 万美元与加密货币交易所 CoinDCX 黑客攻击事件相关的 USDT，涉及 8 个链上地址。链上数据显示，此前被追踪的两个地址在冻结前各发生一次转移，其中约 72 万美元被拆分转入两个新地址，约 66.5 万美元转入第三个地址，这三个接收地址涉及资金约 138.5 万美元，均已冻结；另有约 80 万美元分布在其他 5 个地址中，同样已被冻结。

阿根廷联邦法官 Marcelo Martínez de Giorgi 裁定终止针对 LIBRA Meme 币事件的刑事调查，认定没有足够证据证明存在欺诈，涉及总统 Javier Milei、其妹妹 Karina Milei 及自称发行顾问的美国商人 Hayden Davis。法官称 Milei 的总统身份或扩大其在 X 平台推广的影响力，但该行为本身不构成欺诈。链上研究人员此前称，与代币创建者关联的 8 个钱包提取约 9,900 万美元加密资产。

据美国司法部公告，44 岁中国籍男子 Zheng Zhao 因涉嫌参与柬埔寨诈骗园区的跨国加密货币投资诈骗，已从荷兰被引渡至美国，并于当地时间 10 月 23 日首次出庭，案件涉及 174 名已确认的美国受害者。法院文件显示，团伙通过虚假加密货币交易网站诱导投资，其中超 3690 万美元受害者资金转入巴哈马 Deltec Bank 账户，兑换为 USDT 后转至柬埔寨钱包；该案已有 8 名共犯认罪，Zheng Zhao 正式提审定于 11 月 30 日，若罪名成立最高面临 20 年联邦监禁。

据美国司法部公告，一名中国公民因涉嫌参与针对美国公民、涉案金额达数百万美元的加密货币投资诈骗案，从荷兰被引渡至美国并首次出庭，已被下令拘留。该诈骗阴谋由位于柬埔寨境内的诈骗窝点实施，受害者包括174名已确认身份的美国公民，正式提审定于11月30日在美国洛杉矶市中心的联邦地区法院进行。

Bitcoin Core 开发团队22日将「容易被发现的脆弱性」纳入官方安全政策，此类漏洞将移植到所有维护中的版本并最快发布修复版，同时附带部分细节的安全公告。提案开发者 Antoine Poinsot 表示，AI 大幅降低了发现和隐蔽修复此类问题的门槛，对易发现漏洞设置长公表猶予意义有限。新政策也承认修复在开发版中的试用期会缩短。

OpenZeppelin 对 0xMiden/protocol 仓库的 miden-standards crate 执行 diff 审计，覆盖约两个月开发、69 个提交，报告 65 个问题：严重 2 个、高危 4 个，审计时 35 个已修复、3 个部分修复。两个严重问题分别是多票据跨 PSWAP 交易中栈深度错位导致做市商资产被记入错误输出票据，以及索引式输入票据资产移除允许低序号票据窃取高序号票据资产。报告附修复建议及对应 pull request 编号。