安全事件

湖南省湘潭县公安局捣毁一处利用恶意链接盗取虚拟货币的涉诈窝点，抓获周某、陈某、梁某3名犯罪嫌疑人。9月4日，群众曹某某报警称在虚拟币QQ群内点击陌生链接后，账户内价值6814元的USDT被盗；经查，3人自8月以来通过Telegram获取恶意病毒链接，在QQ、微信虚拟币交流群内发送链接窃取点击者账户内虚拟货币牟利。目前3人因涉嫌盗窃罪被刑事拘留，案件正在进一步办理中。

PHP 项目于 10 月 21 日发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个可导致未授权远程代码执行的漏洞，CVSS v4.0 评分均为 9.2，影响 PHP 5.4 至 8.5.11，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。慢雾指出，其威胁情报系统 MistEye 扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，约占 53.3%，但这仅说明使用了 PHP，不代表已被攻破；文章给出平台侧的清点升级、凭证轮换、隔离签名与热钱包私钥等处置步骤，并建议普通用户无需提币，重点是核对签名细节、警惕假冒登录与赔付页面。

ChainCatcher 消息，据 The Defiant 报道，由阿联酋主导的“Confrontation Ghost”行动已识别出超过 390 亿美元的资金与加密货币。该行动共逮捕超过 960 人，并突袭了 29 个诈骗中心。参与该行动的国家正在推进资产追回工作，以追回涉案资产。

作者预印本研究了LLM结合静态分析审计C/C++漏洞时对证据的依赖，覆盖PrimeVul的916对函数、四家厂商11种模型配置共16,572次审计。结果显示真证据仅小幅提升准确率（+0.02），而假保证使真实漏洞检出率最多下降19个百分点，假警报则未显著降低准确率且更常被质疑；在7个新模型上的复现确认了这种不对称性（均值+0.16，95% CI +0.10至+0.24）。单独调用核验每条声明并展示被驳回内容，在预设测试中使假保证下的准确率提升12个百分点（p=0.002），但第二个模型增益较小且不显著。研究为预印本，尚未经过同行评审。

FTX前首席运营官Constance Wang在接受《纽约邮报》专访时怒斥Netflix新剧《The Altruists》以爱情故事角度呈现FTX崩盘“简直荒谬”，称自己看了约40秒预告片就生理性呕吐。她表示公司内部根本不知道SBF与Ellison在交往，且现实中的SBF无法与人保持眼神接触、Ellison说话轻声细语，与剧中形象反差巨大。Wang回忆崩盘当晚SBF凌晨3点才承认资金缺口约80亿美元，她个人投入FTX的资产从巅峰至少10亿美元最终只剩8万美元；美国司法部曾对她调查约一年但未起诉。FTX破产清算团队已追回约165亿美元，客户可获至少账户余额118%的偿付，但按2022年11月价格计算，当时比特币约1.6万美元。Wang于2025年联合创立加密交易平台Pacifica，据DefiLlama数据过去一个月交易量达100亿美元。

Decrypt 梳理 PHP 两个漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）修复后的状况：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，但需手动安装并重启才生效，PHP 8.1 及更早版本不再有官方更新。Cloudflare CEO Matthew Prince 称其网络上利用尝试已达数百万次；Amazon 称诱饵服务器 10 月 17 日就记录到尝试，早于漏洞公开；德国 BSI 与日本政府均表示尚未确认有成功入侵。PHP 基金会称 2024 年已发现相关内存耗尽问题的早期迹象，将修复延迟归为“结构性失败”。英国 NCSC 建议无法及时修补的机构下线系统，Wikimedia、Orange、32 项英国政府服务等一度下线。安全公司 Mallory 统计约 88.4 万台面向互联网的主机仍运行无官方修复的 PHP 版本。文章建议普通用户暂不必因该事件改密码，但注意钓鱼与假站点；加密货币用户需警惕伪造页面诱导连接钱包并签名转账，目前尚无交易所公开报告与该漏洞相关的入侵。

美国纽约州金融服务局就两个关键 PHP 漏洞发布警报，敦促受监管实体迅速识别并修复已知被利用的漏洞。

DFINITY 创始人 Dom 在 X 发文称，NEAR Intents 使用的关键组件涉及 DFINITY 专有技术，未经授权将仅授权用于 Internet Computer 的成果用于跨链资产托管和交易签名的门限 ECDSA 算法。Dom 称该算法可将签名速度提升至其他方案约 3 倍，涉及潜在法律责任，并指称 NEAR 将相关技术部署在 8 台服务器上，未实现其宣传的去中心化与安全性，希望双方解决争议。

据 Bitcoin.com News 报道，多伦多公司 Coinkite 及联合创始人 Rodolfo Novak、Peter D. Gray 被提起集体诉讼，指控 Coldcard 硬件钱包固件五年多来生成可预测的助记词，导致超 1.4 亿美元比特币被盗。诉状称漏洞源于 2021 年 3 月固件的构建链接集成错误，改用 Micropython 的 Yasmarang 软件生成器而非硬件随机数生成器；攻击者于 2026 年 7 月 30 日开始利用，25 分钟内盗走约 594 BTC（约 3800 万美元）。原告 Amir Reza Naderi 称个人损失 1.22940052 BTC。Coinkite 于 7 月 30 日公开漏洞并次日发布修复固件，但已生成的助记词无法通过升级保护，用户需重建并转移资产。案件仍为拟议集体诉讼，指控未经法院认定，Coinkite 截至发稿未回应。

资安公司 Blockaid 示警，NFT 与游戏公链 WAX 的多链跨链桥正遭攻击，攻击者在 WAX 端未实际支付代币，却让 Solana 与以太坊端照常放款。依 Blockaid 统计，5 笔交易共流出约 52,986 USDC、21,558 USDT、840 DAI、2.55 枚 WETH 与 0.11 枚 WBTC，稳定币部分合计约 7.5 万美元。Blockaid 称相关合约代码尚未修改，漏洞仍处于可利用状态；截至发稿，WAX 官方未回应，上述损失数字仅来自 Blockaid 单一来源，尚未获官方证实。

民主党在美国选举中将加密货币与特朗普、腐败及试图收买国会席位相联系，以此展开攻击。尽管加密货币支持者常声称该领域选民足以左右选举结果，民主党正试图从把加密货币与特朗普绑定的策略中获取政治利益。

Vitalik 小说叙事 Meme 币项目 Zipcoin 宣布关闭。团队称项目于 10 月 15 日受 UNCX 事件影响，黑客抽走以太坊上 PEPECOIN、EDGEN、ZC、X、LO0P、PAAL 等代币总供应量的 1.1% 并在公开市场抛售，团队当时选择暂不公开并回购代币。团队还称昨日收到 Railway 通知，整个代码库遭入侵、所有相关密钥及私钥泄露，尝试迁移或轮换凭证约 12 小时后仍未找到可行方案；因关联钱包仍持有约占总供应量 2.2% 的代币，将为持有者提供 6 小时出售窗口，并计划于美国东部时间 10 月 22 日 12:00 出售剩余持仓、归集关联钱包资金，以降低资产被攻击者转移的风险。

Vitalik 小说叙事 Meme 币项目 Zipcoin 宣布关闭。团队于 10 月 21 日收到 Railway 通知，项目整个代码库遭到入侵，相关凭证及私钥均可能受到影响；尝试迁移或轮换凭证后仍未找到可行的安全运营方案，因此决定终止项目。团队将为现有持有者提供 6 小时出售窗口，并计划于北京时间 10 月 23 日 00:00 出售剩余持仓、归集资金，以防攻击者转移资产。

Zipcoin 宣布停止运营，称项目代码库及相关密钥遭到全面入侵，攻击者可能控制项目钱包及基础设施，团队过去 12 小时内尝试迁移代码及轮换凭证但未找到可行方案。项目此前于 10 月 15 日受 UNCX 事件影响，黑客从 ZC、PAAL、EDGEN 等多个以太坊代币中各窃取约占供应量 1.1% 的代币并在公开市场出售。团队称仍持有约 2.2% 代币供应量，计划提供 6 小时出售窗口，并于美国东部时间 12:00（北京时间 10 月 23 日 00:00）出售剩余持仓；据 GMGN 数据，ZC 近 24 小时跌超 90%，市值不足 30 万美元。

币安创办人赵长鹏（CZ）10 月 22 日在 X 发文称没有任何加密钱包或软件 100% 安全，呼吁用户持续更新、管理风险，该贴文浏览量已超 11.8 万次。此前两天接连爆发 PHP 两项 CVSSv4 评分 9.2 的高危漏洞（被称 PHP2Shell，估计影响约七成网站）、部署平台 Railway 遭入侵（客户加密环境变量可能被解密）以及 Polkadot 生态 Fearless Wallet 浏览器扩展自 2025 年 2 月起持续外泄用户私钥。币安称已在官方修补发布前部署预防性防护；Trust Wallet 澄清其 App 与核心基础设施并非基于 PHP，用户无须行动；交易平台 Grailcart 称约 120 万美元热钱包资金遭未授权转出，怀疑与 Railway 事件有关但因果尚未证实。

Blockaid 于 10 月 22 日发出警报称，WAX、Solana 和 Ethereum 上的 WAX 多链桥正遭遇持续攻击，攻击者在 WAX 端未支付对应资产，便在 Solana 和 Ethereum 端提取了映射代币。Blockaid 监测到 5 笔相关交易，涉及约 52,986 枚 USDC、21,558 枚 USDT、840 枚 DAI、2.55 枚 WETH 及 0.11 枚 WBTC。

PANews 10月22日消息，据 Blockaid 监测，WAX 网络的 WAX 多链桥正在遭受攻击，涉及 WAX、Solana 和 ETH。攻击者通过 5 笔交易转移约 52,986 枚 USDC、21,558 枚 USDT、840 枚 DAI、2.55 枚 WETH 和 0.11 枚 WBTC。Blockaid 称，攻击者在 WAX 链上提取映射代币时未支付相应资产，而 Solana 和以太坊上的桥接合约仍释放了对应代币；事件影响范围及损失是否仍在扩大尚待确认。

流动性质押平台 Swell 的 swETH/rswETH 预言机 bot 被控制，攻击者每小时把汇率恶意抬高 1%，并已部署四个可窃取约 2500 ETH 的恶意升级合约，目前攻击尚未通过多签执行，Spreek 已发布完整事故报告。Meta Q3 财报双超预期，营收 646 亿美元超指引上限，全年资本开支下限从 1300 亿上调至 1350 亿，盘后涨超 4%，其声明称 AI 投资已在广告收入上产生实质性回报。

PHP 高危漏洞公开后，Coinbase、Bitgo 称未发现受影响，Pancakeswap、Bitget Wallet 表示不使用 PHP，Binance 称已在官方补丁发布前完成防护与修复；Cloudflare CEO Matthew Prince 称漏洞公开后其网络上的利用尝试从数千次增至数百万次，Amazon 发现可追溯至 10 月 17 日的攻击尝试。美国 NSA 与 CISA 建议无法及时打补丁的机构将 PHP 系统下线；接受加密货币支付的小型商户因依赖自身或主机更新而面临更高风险。此外，印度证书机构 eMudhra 有八张中间证书私钥强度过弱，Lightning Labs CTO Olaoluwa Osuntokun 呼吁用户立即更新软件。目前尚无加密公司被利用或用户资金损失的报告。

Cysic 发文向未经授权增发 1000 万枚 CYS 的攻击者提出和解方案，要求对方在 72 小时内归还 275.872 枚 ETH，约占已确认相关收益的 90%，作为赏金对方可保留剩余约 30.652 枚 ETH。Cysic 称已还原攻击关键环节并保留技术及链上证据，若期限内未收到款项将升级处理并与执法部门合作展开刑事调查。