安全事件

黑客组织 FULCRUMSEC 于 10 月 20 日公开披露针对 PingCAP 旗下 TiDB Cloud 托管平台的攻击，称近两个月内利用代码库泄露的云凭据累计窃取 10.6 TB 数据，并公开首阶段超 200 GB 数据包，受影响名单含 Bitget、Pionex、DigiPlus、NFTscan、Chainbase 及 Booking.com、Shopee、Capcom 等。泄露内容据称涉及 18 万租户组织、超 40 万个邮箱、11.5 万个明文 API 密钥（4.2 万个活跃）、超 2060 万条客户生产环境 SQL 语句及 413 个私有代码库等；攻击者称 PingCAP 内部早在 2022 年就记录了多租户隔离等漏洞却未彻底修复。目前 PingCAP 尚未官方回应，相关数据真实性及影响范围未获独立证实，亦无证据表明交易所用户资产因此受损。

慢雾（SlowMist）10 月 20 日称，Qubic 钱包在生成账户种子与网络数据包标头中公开的 dejaVu 标识值时共用相同的非加密随机数 Math.random() 数据流，可能导致私钥通过网络观测被恢复。慢雾称攻击者可收集节点通信中的 dejaVu 标识值，通过连续 6 次观测推算 128 位伪随机数生成器状态，重建 55 字符账户种子并恢复私钥、伪造 SchnorrQ 签名转移资产；其概念验证已确认该链条技术可行性，但实际利用取决于网络信任边界与观测连续性，建议改用密码学安全随机数并开展安全审计。

PANews 10月20日消息，据 Lookonchain 监测，Drift Protocol 攻击者在沉寂 2 个月后，开始将所窃取的超过 2.7 亿美元的资金（以 ETH 形式）转移至 Tornado Cash。过去 2 小时内该攻击者已将 25,700 枚 ETH（价值 6,156 万美元）存入 Tornado Cash，目前仍持有 81,864 枚 ETH（价值 1.95 亿美元）。

PANews 10月20日消息，据派盾（PeckShield）监测，被标记为Drift攻击者的地址在沉寂约两个月后正将被盗资金转入Tornado Cash，本轮已累计转入约2.13万枚ETH，价值约5000万美元。此前Onchain Lens监测到该攻击者已向Tornado Cash转入至少1.34万枚ETH，约合3200万美元。

据 Onchain Lens 监测，PANews 10月20日消息，Drift Protocol 攻击者沉寂 2 个月后再次活跃，已向 Tornado Cash 转入至少 13,400 枚 ETH，价值约 3,200 万美元，可能意在混淆资金流向。目前该攻击者在被追踪的钱包中仍持有约 2.2459 亿美元资产，包括 93,965 枚 ETH（约 2.2404 亿美元）、477,375 枚 USDY（约 54.9 万美元）和 1.33 枚 SOL（约 138 美元）。

深潮 TechFlow 消息，据 Onchain Lens 监测，10 月 20 日，Drift 协议攻击者地址在沉寂两个月后重新活跃，已将至少 1.34 万枚 ETH（约合 3200 万美元）转入 Tornado Cash 混币器，疑似用于掩盖资金流向。目前该攻击者被追踪的钱包中仍持有价值约 2.2459 亿美元的资产，包括 9.3965 万枚 ETH、47.7375 万枚 USDY 以及 1.33 枚 SOL。

慢雾安全团队分析 Qubic Wallet 漏洞：账户种子由非加密安全的 Math.random() 生成 55 个小写字母，而同一随机流的截断输出又通过协议头 dejaVu 字段明文发给网络对端。慢雾用 Z3 求解器对 V8 xorshift128+ 状态建模，实验显示 6 个连续 dejaVu 值即可唯一还原 128 位状态并重建种子，配合余额请求暴露的公钥可离线验证候选种子，本地 PoC 已复现私钥匹配。慢雾提醒 Qubic 官方 10 月 18 日公告称攻击者利用部分钱包随机性不足转移约 2.94 万亿 QU、涉及 1404 个钱包；实际攻击成功率取决于桥接与对端的信任边界及调用连续性。

Gate 特别策划《大门安全课》第三期邀请 GoPlus 合伙人 Adam 与 Gate 安全团队，讲解为何审计过的项目仍会出事、如何读懂审计报告及用户自查方法。Adam 指出传统合约审计存在快照式检查、无法预判未来、外部依赖失控、旧合约集中暴雷四项结构性失效，建议行业从一次性审计升级为全生命周期持续安全。Gate 安全团队介绍其合约审计分静态分析、业务场景建模、语义化验证三步，并建议用户用安全分达到 80 分开通账户安全保障计划，单次事件补偿额度目前最高 20 万美元。

彭博社报道，布鲁克林地区检察官办公室虚拟货币部门主管 Alona Katz 牵头开展跨国打击行动，目标是瓦解一个运营基地位于东欧、针对布鲁克林居民实施诈骗、涉案赃款达数千万美元的计算机犯罪网络。报道援引 FBI 数据称，2025 年美国上报的加密货币诈骗损失总额达 114 亿美元，约为三年前的三倍；布鲁克林多数案件受害金额在数百至数万美元，达不到联邦机构立案门槛。诈骗分子多通过社交平台用俄语接触布莱顿海滩等地的俄语移民，先允许小额提现营造可信假象，再以高额手续费或失联阻止全额取现。

安全研究机构 Asymmetric Research 披露，Solana 链上治理程序 svmgov 此前存在漏洞：验证者未参与投票时，其委托人提前提交的独立投票可能无法计入最终结果。该漏洞 7 月 10 日报告给 Solana 基金会，8 月 3 日完成主网修复，早于 8 月 24 日的治理投票。Asymmetric Research 依链上数据测算，若漏洞未修复，SGP-0002 提案赞成率可能从实际的 67.00% 降至 66.65%，低于 66.67% 的通过门槛。

深潮 TechFlow 消息，10 月 20 日，据 CertiK Alert 监测，Aztec Rollup 攻击者于 10 月 20 日向 Tornado Cash 存入 1255.8 枚 ETH，价值约 300 万美元。

Odaily 星球日报讯，Papertrade 创始人 Jez 在 X 平台回应 PAPER 代币不可转让争议，称团队在协议上线前已意识到部分未解决的技术问题，包括永续合约市场可能带来的攻击风险，原预计有约 6 个月寻找解决方案，但相关市场推进速度远超预期。Jez 表示为维护协议长期健康发展，PAPER 目前已被设置为不可转让状态，其代表用户对协议收益的权益，长期价值取决于 Papertrade 能否持续吸引交易者；针对社区质疑，他称相关调整是依据协议上线一周以来实际运行数据作出的风险管理选择，未来还将继续调整协议参数。

Papertrade 宣布出于永续合约相关攻击风险考虑，平台代币 PAPER 将继续保持不可转让状态，暂未公布开放转账或二级市场交易的时间表。用户通过已实现交易亏损获得的 PAPER 代币仍可用于质押，以获取协议分配的 USDC 收益。Papertrade 是基于 Hyperliquid 构建的完全链上合成永续合约协议，支持最高 1000 倍杠杆。

Odaily 星球日报讯，万事达卡（Mastercard）推出 Stablecoin Security 工具，面向稳定币支付场景，帮助金融机构及支付服务商在交易处理过程中识别欺诈行为与制裁合规风险。目前万事达卡尚未披露该工具的具体技术参数及上线范围。

据 The Block 报道，万事达卡在 Money20/20 USA 上宣布推出稳定币风险情报服务 Stablecoin Security，在资金上链前追溯来源、排查欺诈、诈骗、制裁违规等关联并生成风险评分，银行可通过 API 接入现有风控与合规系统。Borderless.xyz 和 Keyrails 为首批合作伙伴，服务先在北美推出，预计 2027 年全球商用。万事达卡援引 BIS 研究称，2025 年以太坊 1.41 亿笔交易包含 5.93 亿次稳定币转账事件，近 60% 发生在多步骤交易中。

Bitcoin Optech 发布第427期新闻通讯回顾播客，Mark Erhardt、Gustavo Flores Echaiz、Mike Schmidt 与 Erick Cestari、Adam Gibson 对谈。Erick Cestari 与 Matt Morehouse 披露 Eclair 旧版两个 DoS 漏洞，攻击者无需通道和资金即可耗尽节点内存，其中之一每秒可泄漏 1 MB 内存直至节点崩溃，另一个会导致重启后持续崩溃，两者均已在 7 月的 Eclair v0.14.1 中修复，据称未被在野利用。Adam Gibson 介绍 LN-GAP 提案，在 Lightning 通道内用 Bitcoin Script、Lamport/WOTS 一次性签名及名为 venue 的多方时间戳证明运行多轮链下合约，例如通道内的国际象棋对局。节目还讨论 Bitcoin Core 32.0rc4，包括 HTTP 服务器重写移除 libevent 依赖、txindex 与 txospenderindex 存储优化可节省约一半空间、默认连接数从 125 提升至 200，并逐条讲解 Eclair、LDK、LND、Rust Bitcoin 和 BDK 的多项代码修复。

Anthropic 公布研究，让 Claude Mythos 5 连续运行 53 小时重画椭圆曲线点加法的量子电路，该环节占量子攻击比特币签名的大部分量子比特和运行成本。新方案比此前最省量子比特的方案多用约 12% 量子比特，但 Toffoli 门降到约十七分之一；同一方法用于另外 7 项任务，最大一项把量子比特与门数量的乘积压低 39 倍。文章指出这只是单个模块的改进，未在任何量子硬件上运行，不能推出破解比特币的时间缩短十七倍；对比特币与银行的后量子迁移进度差异也作了分析。

彭博社报道，布鲁克林地区检察官办公室虚拟货币部门主管 Alona Katz 团队在行动当晚关停 240 余个加密诈骗网站和 112 台服务器，是该办公室规模最大的网络阻断行动之一，本次未实施逮捕。该部门 2023 年成立，诈骗多针对布莱顿海滩等地的俄语移民社群，通过 Facebook 广告引流、展示虚假收益诱导追加投资。团队曾于 2024 年 6 月查封 70 个诈骗域名，截至 10 月初正向受害者返还约 30 万美元；FBI 数据显示 2025 年美国上报加密诈骗损失达 114 亿美元。

据区块链安全机构 Salus 监测，Aztec Connect 黑客于 10 月 19 日分 30 笔交易向 Tornado Cash 存入 1,255.8 枚 ETH（约 301 万美元），批次包括 12 笔 100 ETH、5 笔 10 ETH、5 笔 1 ETH 和 8 笔 0.1 ETH。攻击者 6 月 14 日利用已弃用的 Aztec Connect 合约中的结算验证漏洞盗取约 219 万美元资产，包括 908.987 枚 ETH 及 DAI、wstETH 和 Yearn 金库代币；资金持有约四个月后，攻击者于 10 月 19 日赎回金库代币并换成另外 346.767 枚 ETH，目前被盗的 6 种 ERC-20 代币余额已全部清零。

Mastercard 在拉斯维加斯 Money20/20 会议宣布推出 Stablecoin Security，让金融机构在稳定币支付结算前筛查欺诈、诈骗和制裁风险并生成风险评分。该工具通过平台无关的 API 交付，首批合作方为 Borderless.xyz 和 Keyrails，先在北美上线，预计 2027 年全球可用。Mastercard 援引国际清算银行对 2025 年 5.93 亿笔稳定币转账的研究称，近 60% 为多步骤复杂交易，机构难以评估全程风险。