安全事件

Odaily 星球日报讯，据链上侦探 Specter 监测，ZachXBT 披露 Bitget 攻击者通过 Zcash（ZEC）掩盖被盗资金后，其他被盗资金也开始流入 ZEC，包括 Cryptobills Ledger 事件资金及价值 1200 万美元的 Triple-A 黑客攻击资金。链上侦探称威胁行为者正利用 ZEC 转移被盗资金。

据港媒 HK01 报道，香港 BBB Group（好好好集团）声称在马来西亚投资沉香产业并售场外股票、数字资产，疑似骗局，公司称会在 2027 年 2 月或之前将 OTC 股票转为数字资产。香港警方已接获 21 人报案，涉款 1400 万港元，商业罪案调查科正以串谋诈骗调查，暂有四人被捕；香港证监会已将马来西亚沉香种植园投资、沉香树计划、Agarwood Potted Trees、APT4 列为可疑投资产品。

据港媒 HK01 报道，香港“BBB Group（好好好集团）”声称在马来西亚投资沉香产业并售场外股票、数字资产，疑似骗局，该公司称会在 2027 年 2 月或之前将 OTC 股票转为“数字资产”加密货币。香港警方已接获 21 人报案，涉款 1400 万元，商业罪案调查科正以“串谋诈骗”调查，暂有四人被捕。另据香港证监会官网，“马来西亚沉香种植园投资 / 沉香树计划 / Agarwood Potted Trees / APT4.0”已被列为可疑投资产品。

深潮 TechFlow 消息，NEAR Intents 负责人 Alex Shevchenko 发布 10 月 1 日漏洞事件复盘：攻击者利用存款通知功能漏洞，通过 23 笔失败存款交易凭空生成约 380 万美元幽灵资金并经 Omni 基础设施提取至外链，漏洞属于 NEAR Intents 合约而非 Omni。复盘显示攻击发生于 9 月 29 日至 10 月 1 日，团队 10 月 1 日发现异常并在 29 分钟内暂停合约，攻击者于 10 月 2 日全额归还资金。团队已移除存款通知功能并新增余额不变量监控，破坏即自动暂停；10 月 7 日白帽研究员 @rohanganapa 经 HackenProof 报告同一功能的另一严重漏洞，获 30 万美元奖励。

PANews 10月17日消息，NEAR Intents 发布 10 月 1 日安全事件报告，其智能合约存在一个与第三方合约交互相关的漏洞，攻击者利用调用失败后的退款机制使资金退回但存款仍被记录，通过 23 笔失败的存款交易产生约 380 万美元虚假余额，随后经 Omni 跨链基础设施提取资金。报告称漏洞存在于 NEAR Intents 合约本身而非 Omni 基础设施，发现后 36 小时内资金已全部追回。团队已移除相关存款通知功能，引入余额异常监控及自动暂停机制，并向 10 月 7 日报告同一功能另一项严重漏洞的研究员支付 30 万美元赏金，目前系统已恢复正常。

Karpelès Lab CEO Mark Karpelès 在 Unchained 10 月 15 日直播中称，此前在东南亚经销商 CryptoBilis 销售的 Ledger 硬件钱包中发现的间谍植入物，又出现在另外两家授权经销商的设备中，且新版已为量产设计。其中一台是他在新加坡樟宜机场门店 Metapod 购买的 Ledger Flex，植入物含读屏芯片、蜂窝调制解调器和发送数据的 eSIM 三颗芯片；另一台是 X 用户 Johannes 在德国 MediaMarkt 购买的 Nano X，寄给 Karpelès 的那台内也发现植入物。Ledger 称 10 月 9 日一波确认的资金盗取均涉及 CryptoBilis 设备，并表示其团队检查了德国零售和经销商库存的设备，未发现篡改痕迹，但尚未检查网上展示的设备。MediaMarkt Saturn 已于 10 月 13 日停售 Ledger，Ledger 也要求新加坡等七个亚洲市场的卖家暂停销售。Karpelès 认为取消授权经销商计划过于激进，建议改用防拆包装。

安全专家 Taylor Monahan 在 Uneasy Money 10 月 14 日节目中称，她近几日处理的 Ledger 相关损失报告并非来自转销商 CryptoBilis 手机植入件导致的盗取，而是用户恐慌后落入骗局，包括恶意 Google 广告、假应用、钓鱼网站、恐吓邮件和直接来电。Ledger 10 月 13 日称被植入组件会从屏幕读取助记词并通过蜂窝连接外发，确认损失均涉及经 CryptoBilis 售出的设备，尚未确认总数；Bitquery 统计 324 个钱包被盗 1.02 亿美元。SlowMist 10 月 16 日警告有冒充 Ledger 固件更新的钓鱼活动，Zscaler 9 月也报告过假广告骗取助记词的活动，两者均未与 Monahan 所述案件关联。

跨链兑换协议 NEAR Intents 发布漏洞事后报告，称价值 380 万美元资产被提取源于存款通知功能缺陷：攻击者创建故意使通知失败的智能合约，代币被退回但协议内部账本仍记录余额。攻击者通过 23 笔失败存款交易累计生成 380 万美元无资产支撑的虚假余额，于 9 月 29 日至 10 月 1 日提取真实代币并经 Omni 基础设施转移至其他区块链。NEAR Intents 总经理 Alex Shevchenko 称漏洞在 NEAR Intents 合约而非 Omni 基础设施。团队称攻击者在漏洞被发现后 36 小时内归还全部资金，受影响用户已获全额补偿，存在漏洞的功能已于 10 月 7 日移除，另一名安全研究员因发现相关严重漏洞获 30 万美元奖励。

ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取 380 万美元，并在检测后 36 小时内归还全部资金，受影响用户已获全额补偿。报告称，攻击者创建了故意让通知失败的合约，使代币合约退还存款而 NEAR Intents 仍保留账本信用，在 23 笔失败存款交易中累积 380 万美元无支撑余额（ghost funds）后提取真实代币并经 Omni 基础设施转移至其他链；Shevchenko 表示这是 NEAR Intents 合约的漏洞而非 Omni 的漏洞。提款发生在 9 月 29 日至 10 月 1 日，结算合约 10 月 1 日暂停后重新开放，合约侧存款 10 月 2 日恢复。报告称漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有代币，团队已补充该检查并在余额不一致时自动暂停合约；10 月漏洞修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。

Chainalysis 称三个被归因于任务诈骗的地址合计损失 60 BTC（490 万美元），其 Ledger 钱包在针对被篡改硬件钱包的供应链攻击中被清空。9 月 22 日诈骗所得被转入三个独立 Ledger 地址，10 月 9 日三个地址各一笔转出至同一钱包。Ledger 称攻击由一个高度有组织的犯罪集团实施，据称为此花费数百万美元，并称正与执法部门合作追踪资金；截至 10 月 15 日公司自查大量样本未发现被篡改设备，但用户侧约 9300 万美元损失的报道尚未证实。

链上侦探 Specter 监测到 Ledger 用户钱包被盗报告，Ledger 确认已核实案例均指向东南亚经销商 CryptoBilis 销售的设备，受影响设备中发现未经授权的硬件植入物，累计损失在 8600 万至 9300 万美元以上。Mt.Gox 前 CEO Mark Karpelès 在一台设备屏幕衬垫下发现接在屏幕 SPI 数据线上的微控制器、带 eSIM 的 LTE 模块和天线，可在助记词显示于屏幕时截取并通过 LTE 外发，而设备仍能通过 Ledger 正品校验。据 Bitquery 追踪，被盗资金约 9320 万美元分布在 6 条链的 315 个钱包中，Tether 已冻结约 1000 万美元涉案 USDT。Ledger 建议过去 90 天内从 CryptoBilis 购买设备的用户未初始化的不要设置，已设置的将资产迁移到使用全新助记词的新签名器；截至 10 月 12 日，CryptoBilis 销售和发货均已暂停。

区块链分析公司 Chainalysis 在周四的推文中披露，Ledger 钱包被盗事件的最大受害者之一是一名骗子，其损失超过 60 枚比特币，约 480 万美元，资金来自任务诈骗。该骗子于 9 月 22 日将资金转入三个独立 Ledger 地址，10 月 9 日三个地址被清空，每个地址约 164 万美元转入同一钱包。Ledger 称已确认损失均涉及经销商 CryptoBilis 销售的设备，但 Chainalysis 未说明该骗子的设备购买渠道；链上调查人 Specter 追踪到超 8600 万美元疑似被盗资金，Ledger 表示尚未核实该数字，其调查仍在进行。

Chainalysis 周四在 X 上披露，一名通过"任务骗局"获利的加密骗子将非法所得转入三个 Ledger 硬件钱包地址后，这些地址被攻击者清空，共损失 60 枚 BTC，价值超 490 万美元。据 CoinDesk 报道，该受害者是此次 Ledger 设备被入侵事件中损失最大的受害者之一。

硬件钱包是将私钥离线保存、在设备内部签名交易的物理设备，可避免私钥接触联网设备。但其并非绝对安全：据 TRM Labs，2026 年 7 月攻击者利用 Coldcard 一个存在五年的固件漏洞，从 5,200 多个地址盗走约 1,816 BTC（约 1.16 亿美元）；2026 年 10 月 Ledger 披露，东南亚经销商 CryptoBilis 销售的设备被植入未授权芯片，可读取助记词，相关报道称约 8,600 万美元被转移。

韩国绰号「존버킴」的朴姓男子被控发行葡萄币与아튜브两种诈骗币、诈得约3400亿韩元，首尔南部地方法院10月15日一审判他无罪，检方原求刑20年并请求追徵约188亿韩元。法院承认被告对项目实况有欺骗行为，但认为无法证明投资人因此受骗买币，且诈骗币在法令与判例上没有具体要件，不能只因被归为诈骗币就认定欺骗。同案仅葡萄币发行商 Enterblock 的两人因向交易所 Coinone 提交假资料、妨碍上架审查被判有罪并获缓刑。

据香港01报道，香港过去两周共接获超150宗WhatsApp账户劫持诈骗案，涉案金额超1,500万港元。其中一名虚拟货币兑换公司职员的WhatsApp账户遭劫持后，骗子复制真实工作群组的名称、头像及成员信息建立虚假群组，冒充客户提出兑换请求，诱使受害者向指定钱包转入加密货币，最终导致该公司损失超400万港元。

某本轮牛顶建仓ETH的巨鲸已向交易所充值1.54万枚ETH，预计亏损1345万美元。Osmosis称bOSMO赎回合约存在漏洞，1037个账户将获赔约4.05万枚OSMO。Capital B上半年净亏损约7790万美元，其比特币储备增至3538枚。

Bitget大中华区负责人谢家印在TOKEN2049期间回应9月底成立8年来唯一一次安全事件，称已放开用户提币，次日起资产陆续回来，并披露9月底资产储备金证明为131%。他介绍，去年9月上线美股交易（初期接入Ondo），12月底研发代币化美股协议Reality对接纳斯达克和纽交所流动性，美股业务单日交易额最高达100亿美元，美股衍生品占比19.5%；今年1月5日上线接入MT5的黄金、外汇、白银业务，约两个月前统计显示今年新注册用户中每四人有一人交易美股或外汇。

Osmosis 表示，Backbone Labs 发行的流动性质押代币 bOSMO 赎回合约存在漏洞，自 2026 年 4 月以来每次赎回重复计算 Backbone 自有验证者质押的 OSMO，使赎回用户多得约 50%，差额由其他持有者承担。相关方面已于 10 月 10 日单笔赎回约 77.6 万枚 bOSMO、提取约 129.97 万枚 OSMO，预计 10 月 24 日解绑完成后，按赎回前每枚 bOSMO 兑换 1.1174 枚 OSMO 的比例，向快照时持有的 1037 个账户自动赔偿约 4.05 万枚 OSMO。Osmosis 称漏洞尚未修复，目前经 Backbone 赎回每枚 bOSMO 仅约得 0.06 枚 OSMO，铸造成本约 0.039 枚 OSMO，建议用户不要购买 bOSMO 或提供流动性，现有流动性提供者撤出资金。

Ledger于15日说明，犯罪集团投入数百万美元，数月间购买正品设备并加装可窃取助记词的伪劣部件，经东南亚代理商网络流通后盗取用户资产，同时自建服务器收集助记词并洗钱。Ledger强调其产品芯片、操作系统和服务器无缺陷、系统未被入侵，攻击针对设备离开其管控后的流通渠道；公司正与执法机构合作追踪资金，并已要求东南亚及香港正规代理暂停销售，规定退回设备一律不得再售、禁止门店陈列。区块链分析公司Bitquery估算截至11日约9320万美元（约147亿日元）流出，Ledger称该数字未经充分验证。此外Ledger于15日发布新产品Ledger Atom，计划2027年出货。