安全事件

ChainCatcher 消息，Cysic 发文向未经授权增发1000万枚 CYS 的攻击者提出和解方案，要求对方在链上公告发布后72小时内向 Cysic 基金会指定地址归还275.872枚ETH（约占已确认ETH收益的90%），作为交换攻击者可保留剩余约30.652枚ETH作为漏洞赏金。Cysic 表示已还原攻击关键环节并保留技术及链上证据，若对方未在期限内归还资金，将升级处理并寻求执法部门介入、推动刑事调查。

PANews 10月22日消息，Cysic 发文向未经授权增发1000万枚 CYS 的攻击者提出和解方案，要求对方在链上公告发布后72小时内，向 Cysic 基金会指定地址归还275.872枚 ETH，约占已确认 ETH 收益的90%。作为交换，攻击者可保留剩余约30.652枚 ETH 作为漏洞赏金。Cysic 表示已还原攻击关键环节并保留技术及链上证据，若对方未在期限内归还资金，将升级处理并寻求执法部门介入，推动全面刑事调查。

慢雾发布安全预警称，NEM 代币合约 NemTokenV2 遭到攻击，损失约 821,920 美元。攻击者利用合约未验证兑换结算结果的漏洞，将代币转入 PancakeSwap USDT/NEM 流动性池后反复执行 skim() 和 flushLpSellRecycle()，共重复 42 次压低池储备，再以被抬高的价格卖出剩余 NEM 套取 USDT。SlowMist 已公布攻击者、攻击合约及存在漏洞的 NemTokenV2 合约地址。

SlowMist 发布安全警报称，NEM 代币合约遭遇攻击，损失约 821,920 美元。根本原因在于 NemTokenV2 将转入流动性池的代币记入卖出量，却未验证兑换结算；攻击者利用该漏洞重复执行转账、调用 skim() 和 flushLpSellRecycle() 共 42 次，销毁流动性池原有储备并压低 NEM 储备余额，随后以被抬高的价格卖出剩余 NEM 提取 USDT。

PANews 10月22日消息，印度加密货币交易平台 CoinDCX 发文澄清，近期在 X 平台流传的部分钱包地址及交易信息具有误导性，用户资金安全，平台交易与投资业务照常进行。CoinDCX 表示，相关交易涉及一批于 2025 年 1 月创建的旧钱包地址，这些地址于 2025 年 7 月遭到入侵，此后平台便未再使用，此次被报道的链上活动涉及上述旧地址，与平台当前业务无关，并提醒用户以官方渠道公告为准。

特朗普10月21日在白宫网络犯罪圆桌会上称，政府已冻结与外国诈骗者相关的近10亿美元加密资产，并阻止今年至少16亿美元损失、关闭500余个诈骗网站，联邦探员已警告逾1万名潜在受害者。据路透社报道，FBI局长Kash Patel称该局已捣毁全球20个诈骗园区。司法部长Todd Blanche表示司法部不再交由各检察官办公室单独处理，其刑事司新设的网络诈骗专项计划已在全部94个检察官办公室部署数十名检察官。白宫帖子未说明近10亿美元数字来源；司法部Scam Center Strike Force页面（10月15日更新）列出被冻结加密资产938,460,156.82美元，该数字指被当局扣留的资产，并非已退还受害者的款项。

Cloudflare 首席执行官 Matthew Prince 称，在 PHP 漏洞公开披露前，其网络已观测到数千次利用尝试。Prince 警告称，该漏洞已吸引数百万次利用尝试。

据Bloomberg报道，DeepSeek在最新一轮融资中筹得约1000亿元人民币（约150亿美元），宁德时代和腾讯是本轮最大的投资方之一，融资目标在谈判期间从500亿元两次上调至最终金额。工信部网络安全威胁和漏洞信息共享平台（NVDB）发布关于防范PHP远程代码执行超危漏洞的风险提示，称PHP存在两个超危远程代码执行漏洞，未经身份验证的攻击者可利用漏洞远程执行任意代码，PHP安全团队已修复漏洞并发布安全公告。Aerodrome与Velodrome宣布合并推出链上现货交易所Aero，上线以太坊主网、Base等七条网络，AERO、VELO将迁移至新AERO代币。

据马来西亚《诗华日报》报道，马来西亚高等法院裁定政府须向Bitkingdom加密货币投资诈骗案的9名受害者归还约176.18枚BTC。法官指出，受害者已证明相关比特币系通过诈骗手段骗取，后续经多个数字钱包转移及混合不影响其合法所有权。案件涉及当局从两名涉案人员钱包中充公的497.82枚BTC，其中约321.64枚将充公归政府所有。该投资计划曾承诺每日约1%利息，相关诈骗案共收到207宗警方投报，涉及约1,023枚BTC损失。

据 CoinDesk 报道，XRP Ledger 因验证节点支持数量一度降至 26/35，漏洞修复的两周倒计时被重新触发，补丁激活时间推迟至 11 月。目前验证节点支持数已回升至 31 个，但由于重置机制，该修复已错过原定的最终激活窗口。

PANews 据 CoinDesk 报道，XRP Ledger 的漏洞修复补丁因验证者支持数一度降至 26 个（共 35 个），生效倒计时被重置，补丁推迟到 11 月生效。目前支持数已回升到 31 个，但由于两周的倒计时需要重新计算，这次修复错过了原本即将生效的时间窗口。

FBI、NSA 和 CISA 警告称 PHP2Shell 两个漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4.0 均为 9.2）可让攻击者免认证在服务器执行代码，PHP 基金会已于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版本，Cloudflare 称已部署 WAF 防护。文章指出漏洞本身不等于任何交易所已被入侵，也不构成卖出比特币或以太坊的依据；建议先确认服务商是否发布相关警告、检查账户异常与凭据是否泄露，再决定是否提币，并通过官方渠道更新应用、核查交易与代币授权、绝不向网站输入助记词。文中还提到 Ledger 硬件钱包植入物事件（估计涉 311 个钱包、5 条网络、9300 万美元，仍为估计值），与 PHP2Shell 属不同问题。

Polkadot 发布安全警告称，第三方钱包 Fearless Wallet 的浏览器扩展程序遭入侵，自 2025 年 2 月起间歇性在用户解锁钱包时将私钥发送至攻击者控制的服务器。根据 Polkadot 社区基金会公告，目前已有 8 名用户报告疑似相关的未经授权交易，涉及 17,286 枚 DOT。Polkadot 敦促曾使用该扩展的用户立即通过其他钱包创建全新密钥对并转移资产，仅修改密码或更换钱包软件无法消除风险。Fearless Wallet 由独立团队开发，并非 Polkadot 官方钱包。

深潮 TechFlow 消息，Pirate Chain 官方 X 账号 10 月 22 日公告，团队发布强制更新 v6.0.14。10 月 14 日攻击者利用两个验证漏洞在透明 coinbase 池中铸造约 3982 万枚伪造 ARRR，使供应量临时膨胀约 20%；经社区、节点运营者、矿池、交易所和 dPoW 公证人共识，链已回滚至区块高度 4,176,944（10 月 14 日 19:55:14 UTC，即攻击发生前）。v6.0.14 会自动拒绝漏洞区块及其后所有区块，伪造币已被清除，ARRR 最大供应量仍为 2 亿枚；dPoW 公证人同意继续公证修正后的链，团队要求用户、节点运营者、矿工、矿池、交易所和服务商立即升级并停用旧版本。

PANews 10月22日消息，隐私币项目 Pirate Chain 发布强制更新 v6.0.14，要求所有节点、矿池及交易所停用旧版本并立即升级。10月14日，攻击者利用两个验证漏洞在透明 coinbase 池增发约3982万枚伪造 ARRR，供应量一度增加约20%，两个漏洞均已修复。经社区、矿池、交易所及 dPoW 公证节点达成共识，链已回滚至攻击前的区块 4,176,944，伪造代币全部移除，余额恢复至攻击前状态，最大供应量仍为2亿枚；新版本首次启动时会自动重新索引全链，完整技术复盘报告将在之后发布。

中国检方寻求没收与 57 亿美元欺诈案相关的逾 61,800 枚比特币。此前数日，英国法院裁定中国法律适用于受害者对这些比特币的索赔主张。

据Salus CMO Darcy称，印度交易所CoinDCX疑似被盗约1599万USDT和5783.81 TRX。10月21日23:35（UTC+8），CoinDCX热钱包及多个充值地址向TRON地址TAg6SZ1HhgVVjUaKY1paQoFBUS2JFrg5bT转入上述资金，最大一笔为15819002 USDT，随后资金经多次拆分转入币安、OKX、Gate等交易所充值地址。CoinDCX联创Sumit Gupta回应称，这些地址生成于2025年1月，并在2025年7月的黑客攻击中被盗用，黑客似乎在重复使用旧钱包地址；CoinDCX已检查当前集中地址和用户地址，均未向这些旧地址发送资金。

据加拿大安大略省高等法院公开的起诉书，Coldcard 硬件钱包制造商 Coinkite 及联合创始人 Rodolfo Novak、Peter D. Gray 遭集体诉讼。起诉书称，自 2021 年 3 月起的固件因构建错误改用 MicroPython 的 Yasmarang 伪随机数生成器，导致助记词可被复现；攻击者自 2026 年 7 月 30 日起利用该漏洞盗币，首轮 25 分钟内转走约 594 枚 BTC，累计损失超 1.4 亿美元。原告寻求集体认证并索赔。

慢雾（SlowMist）监测到 LiteLLM 再次遭遇供应链攻击，恶意版本 1.107.0 影响 PyPI 包和 Docker 镜像（含 latest、main-stable 等浮动标签），会在 Python 启动时自动执行，窃取云服务凭证、AI API 密钥、SSH 私钥并可实现远程代码执行。慢雾称受影响版本已被移除或替换，建议用户避免使用 1.107.0，用干净镜像重建环境、轮换可能已暴露的凭证，并将版本固定在 1.106.2。

链上分析师 Onchain Lens 监测称，开发者云平台 Railway 发生安全漏洞后，一个疑似攻击者钱包已将至少 36.93 万美元资金转入 HitBTC 及其他地址。该钱包还曾收到来自与 CryptoBillis Ledger Drainer（钱包盗取工具）相关联地址的资金，但其与 Railway 漏洞的关联目前尚未得到证实。