安全事件

PANews 10月21日消息，链上侦探ZachXBT发文称，某机构疑于10月8日在BNB智能链（BSC）上遭朝鲜关联组织SquidSquad盗取约284万美元。据其追踪，攻击者于10月20日将1,111.2枚ETH存入Tornado Cash，提取后经USDT0跨链至波场（Tron）汇集，归集地址均与此前被归因于朝鲜的地址存在资金关联；资金随后在数分钟内经中间地址流向中国场外交易商（OTC），ZachXBT认为此举可能是为规避Tether潜在的资金冻结。

Qubic 在遭弱种子漏洞攻击、1,404 个钱包被窃约 140 万美元 QU token 后，已于周日晚间 8 点重启区块链，并上线赔偿平台，受影响钱包持有者可在 2027 年 5 月 1 日前通过官方页面提交申请。漏洞出在 Qubic web wallet 的随机数生成器，在特定 Apple 装置与浏览器上会生成可被预测的钱包种子；官方警告 10 月 19 日 4.26.4 版发布前创建的钱包应视为不安全，需升级版本并把资金转入新建钱包。

据慢雾报道，PHP于10月20日发布安全公告，确认存在两个可能导致远程代码执行的严重漏洞CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2，官方补丁尚未发布。PHP安全团队预计10月21日22:00（UTC+8）发布安全更新，若漏洞细节提前公开或发现被实际利用的迹象则提前发布；第三方报告称PHP 5及之后的版本可能受影响，技术细节和受影响版本尚未正式确认。慢雾建议排查PHP版本，优先修补面向公网的服务，暂时无法修补的应限制或隔离对外暴露的PHP服务。

1inch Card 项目将逐步停止运营，新用户注册已关闭，建议持卡用户最晚于 12 月 18 日前提取或消费卡内余额。Asymmetric Research 披露 Solana 链上治理程序 svmgov 此前存在漏洞，验证者未参与投票时其委托人提前提交的独立投票可能无法计入结果；漏洞 7 月 10 日报告给 Solana 基金会，8 月 3 日完成主网修复，早于 8 月 24 日的治理投票。该机构测算若漏洞未修复，SGP-0002 提案赞成率可能从 67.00% 降至 66.65%，低于 66.67% 的通过门槛，实际未改变提案结果。

深潮 TechFlow 早报汇总多条消息：黑客组织 FULCRUMSEC 称攻击了 PingCAP 旗下 TiDB Cloud，近两个月内窃取 10.6 TB 数据并公开首阶段超 200 GB 数据包，涉及 Bitget、Pionex 等企业及 Booking.com、Shopee 等公司，涵盖 18 万个租户组织、超 40 万个邮箱地址、11.5 万个明文 API 密钥（4.2 万个活跃）等；材料注明该数据真实性及影响范围尚未获独立证实，亦无证据表明交易所用户资产受损。Bitget 大中华区负责人谢家印称 Bitget 仅存放过部分公开成交日志数据，且已于两个多月前停止使用该服务，未涉及用户敏感数据。另据《独立报》报道，Revolut 于 10 月 20 日发生大规模服务中断，应用及线下刷卡支付受影响，英国、法国、西班牙等地用户反映无法支付或转账。此外，慢雾称 Qubic 钱包通过 6 次连续网络观测或可恢复私钥；DeepSeek 宣布开源内部推理框架 DeepInfer 及 deepseek-recipe；Liquid Network 将逐步重启 BTC 与 LBTC 兑换；1inch Card 将停止运营，用户需在 12 月 18 日前转移余额；彭博社称 Polymarket CEO 曾挪用公司资金支付个人开支。

安全公司Blockaid发布报告称，今年1月5日至8月5日其追踪的60起加密攻击共损失11.8亿美元，仅980万美元返还受害者，占0.8%，另有8140万美元被冻结，10.4亿美元仍未追回。稳定币发行方黑名单和交易所拦截没有追回任何资金；16起事件中发行方黑名单可用但一次都未启用。已追回或冻结的9120万美元中99%来自协议或链层面的治理及验证者措施，例如Arbitrum安全委员会在KelpDAO事件后冻结7100万美元；被盗资金在攻击后开始转移的时间中位数为17分钟。

PANews 10月21日消息，硬件钱包厂商 NGRAVE 发布 10 月 17 日 LIQUID 应用虚假安全警报事件的调查报告，攻击者劫持了为 LIQUID 发送推送通知的第三方服务商的访问权限，向用户推送钓鱼链接。NGRAVE 称第一枚通知服务密钥通过一台发送通知服务器的报错信息泄露，10 月 11 日发现异常后数分钟内禁用该密钥，但攻击者已用其获取第二枚密钥；ZERO 硬件钱包未被攻破、LIQUID 代码未泄露，未在钓鱼网站输入助记词或 Perfect Key 的用户资金没有风险。NGRAVE 正在追踪被盗资金，并将限制 LIQUID 只打开 NGRAVE 自有来源的链接，同时加入密钥异常使用警报和短期密钥机制。

据 The Defiant 报道，Blockaid 数据显示，2026 年 1 月至 8 月其追踪的 60 起加密货币攻击事件涉及资金约 11.8 亿美元，受害者共追回约 980 万美元，占比不足 1%。报告指出，所有被冻结或返还的资金均通过链上治理或验证者行动实现，稳定币发行方的黑名单机制在这 60 起事件中未追回任何资金。

比利时硬件钱包厂商 Ngrave 于 10 月 19 日披露，攻击者劫持其 LIQUID 应用的第三方通知服务商，于 10 月 17 日向用户发送伪造安全警报，诱导其在假冒网站输入 24 词助记词或 Perfect Key，从四条链上 70 个钱包地址盗走约 256 万美元，其中比特币 177 万美元、XRP 45.4 万美元、以太坊系资产 31.6 万美元、Stellar 1.8 万美元。Ngrave 称其 ZERO 硬件与私钥未被攻破，未经授权访问可能始于 10 月 11 日；CEO 承认公司“彻底未能”履行安全职责，并已更换受损密钥、加强通知审批控制。Bitquery 报告称被盗资金约 81% 已转至 Hyperliquid 上的 Monero 代币。

据 Qubic 最新更新，Layer-1 区块链 Qubic 因钱包助记词漏洞被攻击者从 1,404 个账户转走约 140 万美元 QU 代币，现已重启网络并启动索赔流程。区块链浏览器显示网络于 10 月 19 日晚 8 点恢复出块，验证者（Computors）已批准恢复计划，受影响用户可在 Qubic 的 reclaim 平台提交索赔，截止日期为 2027 年 5 月 1 日。Qubic 称漏洞源于其网页钱包在部分 Apple 设备和浏览器上使用不安全的随机数生成器，导致助记词可被预测，该缺陷已在 10 月 19 日发布的网页钱包 4.26.4 版本中修复；团队建议此前用旧版网页钱包创建的用户升级至 4.26.4 或更高版本、新建钱包并尽快转移资金，不再使用旧钱包。

与 4 月 1 日 Drift 攻击相关的钱包在周二约两小时内向 Tornado Cash 存入 25,700 枚 ETH，价值约 6156 万美元，此前已静默约两个月。Arkham 数据显示，其追踪的 71 个关联地址在本轮存入后仍持有 81,454 ETH（约 1.9858 亿美元），此前 7 月 23 至 24 日已有一轮约 23,095 ETH 转入同一混币器。Drift 称 4 月攻击造成 2.957 亿美元损失，其 DFX 恢复代币于 10 月 1 日开放申领，恢复池启动时约含 310 万 USDT，早期赎回每美元损失约可获 0.0104 USDT。

Infobae 10 月 19 日援引 Kaspersky 报道称，多个网站在 GTA 6 定于 11 月 19 日发布前，以加密货币支付兜售虚假的预购、测试版访问和下载，均非合法早期访问。其中一个名为 CyberLeak 的网站以 1,000 美元出售完整游戏副本、100 美元出售 24 小时试玩，并通过众筹活动募集加密货币捐款，目标金额从 50,000 美元改为 500,000 美元，且声明付款不可退款。报道还警告，下载未知启动器或文件可能导致设备感染恶意软件、窃取密码和个人信息。

ChainCatcher 消息，加密交易所 OKX 在美国推出 OKX Shield。OKX 表示，若客户账户被盗，该机制最高可提供 50 万美元保障。OKX 董事会成员、纽约州前州长 Andrew Cuomo 表示：这就是我们对自身系统的信任程度，所谓把钱放在嘴边，对吧，我们正在做的就是这件事。

OKX 宣布把 Shield 计划从欧洲扩展到美国：开启指定安全设置的合格用户账户被盗后可获赔，无订阅或激活费，普通用户上限 10 万美元，VIP 1-3 上限 25 万美元，VIP 4 及以上上限 50 万美元。条款称 Shield 为自愿酌情的善意计划而非保险，终身仅一次获批赔付，须在最后一次未授权转账后 72 小时内申报，以稳定币支付；用户自行批准的转账、交易亏损及 OKX Wallet 或外部平台资金不在赔付范围，OKX 逐案审核决定是否赔付。

動區援引鏈上分析師 Ember 指出，今年 4 月初被駭的 Solana 永續合約平台 Drift Protocol 駭客於台北時間 10/20 下午透過 Tornado Cash 分批轉出 25,710 枚 ETH，按當晚 ETH 報價 2,390.93 美元計約 6,147 萬美元（動區推算），係 7 月後第二波大規模洗幣。依 Etherscan 紀錄，標記為 Drift Exploiter 5 的地址自下午 3 時 08 分起以每筆 100 枚為主存入，至 5 時 21 分送出最後一筆 10 枚，該地址 4 月累計收進約 25,714 枚 ETH，餘額僅剩約 4 枚。Drift 官方稱攻擊者利用 durable nonce 騙取多簽批准，損失總值約 2.96 億美元，Mandiant 將攻擊歸因於北韓駭客組織 UNC6862。Ember 稱駭客 4 月以均價約 2,154 美元換成 131,564 枚 ETH，7 月已洗出 24,400 枚，Arkham 標記的 71 個地址仍持有約 81,454 枚，剩餘部位約值 1.95 億美元（動區推算）；Ember 7 月貼文的換匯總量為 129,066 枚，與本次數字不一致。

据链上分析师余烬监测，4 月初从 Drift Protocol 盗走 2.85 亿美元资产的黑客，于 3 小时前通过 Tornado 转移 25710 枚 ETH，价值 6124 万美元。该黑客 4 月初曾以 2154 美元均价将被盗资产兑换为 131564 枚 ETH，7 月已通过 Tornado 转移 24400 枚 ETH；目前地址仍持有 81454 枚 ETH，价值 1.94 亿美元。

据链上分析师余烬监测，4 月初从 Drift Protocol 盗走 2.85 亿美元资产的黑客，于 3 小时前通过 Tornado 转移 25710 枚 ETH，价值 6124 万美元。该黑客 4 月初曾以 2154 美元均价将被盗资产兑换为 131564 枚 ETH，7 月通过 Tornado 转移 24400 枚 ETH；目前地址仍持有 81454 枚 ETH，价值 1.94 亿美元。

Cointelegraph 报道，Drift 攻击者已将价值 6100 万美元的 ETH 转入 Tornado Cash，并仍持有 1.94 亿美元资产。报道称，今年 4 月的这起黑客事件造成约 2.95 亿美元损失，Mandiant 后续调查将其归因于一个朝鲜威胁组织。

勒索组织 Fulcrumsec 在外洩网站将 TiDB 开发商 PingCAP 列为受害者，声称窃取 TiDB Cloud 数据并取得云端基础设施访问权，情报账号 Hackmanac 转述其宣称窃得 10.6 TB 数据，均未经验证。截至台北时间 10 月 20 日晚 8 时，TiDB Cloud 状态页显示系统正常，PingCAP 官方未回应。Bitget 大中华区负责人谢家印称，Bitget 仅曾在 TiDB 存放部分公开成交日志，且两个多月前已停止使用，无用户资料或密码外泄。

Bitget 大中华区负责人谢家印 10 月 20 日发文称，经排查确认黑客入侵并获取了 PingCAP 旗下 TiDB Cloud 云数据库中的数据，Bitget 与百度等公司曾与该公司合作。他澄清 Bitget 仅在该数据库存放过部分公开成交日志数据，即成交频道中所有用户均可见的数据，且已于两个多月前停止使用相关服务，事件未涉及任何用户数据或密码等敏感信息。此前有报道称 PingCAP 数据库及客户资料疑遭黑客窃取，涉及 Bitget、Pionex 等企业。