安全事件

Chainalysis 披露，Ledger 安全事件中损失最惨重的受害地址之一实为一个网络“刷单任务”电信诈骗团伙，被黑客盗走逾 60 枚比特币（按当时市价约合 480 万美元）。链上记录显示，该团伙 9 月 22 日将非法所得分散转入 3 个 Ledger 硬件钱包地址，10 月 9 日外部黑客利用供应链漏洞通过单笔签名指令将 60.3 枚 BTC 清空至黑客主控制地址，仅耗时 1 个区块确认。

深潮 TechFlow 消息，10 月 16 日，据 PeckShield 监测，此前盗取 Bofur Capital 关联地址 200 万美元 DAI 的网络钓鱼攻击者，已将全部被盗资金兑换为 825.5 枚以太坊（ETH）。

PeckShieldAlert 监测显示，从 Bofur Capital 一个地址窃取价值 200 万美元 DAI 的钓鱼攻击者，已将被盗资金兑换成 825.5 枚 ETH。

深潮 TechFlow 消息，据官方消息，隐私区块链项目 Pirate Chain 披露遭遇交易验证漏洞攻击，约 3980 万枚 ARRR 被未授权铸造，代币总供应量增加约 20%。攻击者将新铸造资金转入 Sapling 屏蔽池，部分资金流入交易所 NonKYC，相关充值账户已被限制提现；官方称攻击利用了代币发行检查绕过及输出脚本解析错误两个验证缺陷，底层加密算法和公证人密钥未受损。目前 dPoW 节点已暂停公证，因网络无法单方面冻结或回滚历史记录，仍在运行，团队呼吁用户暂停转账并正协作制定恢复方案。

PANews 10月16日消息，Pirate Chain发布漏洞利用事件调查更新：10月14日源代码中发现交易验证漏洞，导致约3980万枚ARRR被未经授权创建，代币总供应量增加约20%，新生成代币随即被转入Sapling隐私池。NonKYC平台发现可疑存款后限制相关账户并阻止提现。作为预防措施，dPoW运营商已共识暂时停止公证服务，团队已请求各交易所和矿池在恢复计划制定期间自愿暂停相关业务运营，目前网络仍可运行，团队正调查并与其他社区协作制定解决方案。

区块链分析公司 Chainalysis 披露，此前硬件钱包 Ledger 安全事件的最大受害者之一是网络诈骗团伙，该团伙通过刷单任务诈骗非法获取逾 60 枚比特币（约合 480 万美元）。链上数据显示，诈骗人员于 9 月 22 日将涉案资金分散转入 3 个 Ledger 钱包地址，10 月 9 日黑客通过单笔转账将 3 个地址内资金全部转入同一个已被标记为被盗资金的钱包地址，致其资金全数被盗。

布鲁克林检察官通报，一场有FBI协助的跨国执法行动关停了112台服务器和241个涉事网站，这些站点服务于针对美国俄语群体的加密货币投资骗局，据信涉案数千万美元。检方称，同一团伙在受害者初次受骗数周后，会冒充资产追回机构再次联系受害者实施二次诈骗；服务器取证数据显示部分受害者被要求缴纳额外手续费、税费才能提现。目前仅扣押约30万美元赃款，未公布涉案人员身份或逮捕消息，多数被盗资金去向不明。

Rekt 复盘了一起针对 Ledger 硬件钱包的供应链攻击：植入板在设置时从屏幕读取助记词并通过 LTE 外传，安全芯片本身未被攻破。Bitquery 链上分析称 324 个钱包在 47 分钟内横跨六条链被清空，疑似损失 1.02 亿美元，Ledger 未核实该数字。Joe Grand 早在 2026 年 3 月就向 Ledger 报告过植入物，Karpelès 后续发现带版本号的量产型植入板；Ledger 的 Genuine Check 无法检测安全芯片旁的附加硬件，已要求多地经销商下架产品。

Beosin据Beosin Alert平台监测数据统计，2026年9月各类安全事件损失金额总计约7.6亿美元，发生重大安全事件共48起。其中Bitget热钱包遭黑客入侵损失超3.875亿美元，Liquid Network因Elements验证缓存漏洞被恶意铸造约4,000枚BTC（价值约3.2亿美元），攻击者随后返还3400枚BTC，剩余598.5枚BTC仍处于是否为漏洞赏金的争议中；其余46起事件总损失约5295万美元。报告分析了三起典型攻击：Neutron遭治理攻击，攻击者用约20199 USDC买入NTRN并质押3160万枚卡在投票快照窗口，以82%赞成率通过提案后转移Astroport和Drop合约管理员权限，共盗取约940万美元；Injective遭二元期权结算漏洞攻击，利用失效预言机触发无价格退款逻辑套取约490万美元；ASI Alliance生态（Fetch.ai、NuNet、SingularityNET）因私钥泄露被同一攻击者提取870万枚FET并大量增发NTX、AGIX等代币。按类型统计，交易所损失金额最多达3.875亿美元，DeFi合约被攻击次数最多达13次；按链统计，Liquid Network损失最多，Ethereum损失约1.46亿美元、共14起事件。Beosin建议项目方为治理提案设置绝对票数门槛、为时间锁配备监护人或取消路径，并对核心业务合约进行多次多方安全审计。

Bitcoin Optech 第 427 期通讯总结了 Eclair v0.14.0 及更早版本中两个拒绝服务漏洞的披露，以及在闪电网络通道内运行复杂多轮合约的 LN-GAP 提案。Eclair 的两个漏洞分别由 Matt Morehouse 和 Erick Cestari 发现，均已在 v0.14.1（7 月发布）中通过 Eclair #3324 修复，官方建议旧版本用户升级。第一个漏洞是 duplicate temporary_channel_id 检查中的竞态条件，攻击者连续发送相同 open_channel 消息可绕过检查，每次攻击每秒泄漏约 1 MB 内存，直至节点内存耗尽或 CPU 全部用于垃圾回收。第二个漏洞可绕过 Eclair 对未确认注资交易的待处理通道数量限制，Cestari 测试中单个无链上成本的连接在约 48 分钟内耗尽节点 4 GB 内存，且节点重启后会反复崩溃，除非提高内存限制或手动删除数据库记录。Morehouse 表示，使用 Eclair 节点作为 LSP 的移动钱包（如 Phoenix）不受影响，因为 ACINQ 数月前已修补其节点。Adam Gibson 向 Bitcoin-Dev 邮件列表提出了名为 LN-GAP 的协议方案，用于在闪电网络通道内运行复杂、多轮、双方参与的合约，并以恒定数量的交易在链上解决争议；为展示该方案，他实现了一个国际象棋游戏。该方案引入一个由成员组成的 venue（仲裁场所），负责证明某条签名消息是否在截止日期前发布，venue 只需证明发布的及时性，无需判断消息内容；venue 从不持有用户资金，且避免依赖 FROST 门限签名，改用通过 OP_CHECKSIGADD 校验的逐成员 one-bit signatures，成员通过 adaptor 原子化地以通道内费用获得激励。该构造依赖诚实多数假设：若 venue 中超过半数成员与其中一方串谋，资金可能被盗。除游戏外，Gibson 认为潜在应用还包括存储证明合约（提供方若未响应挑战则没收保证金）以及类似 BitVMX 链上零知识验证器的链下争议解决。通讯还公布了 Bitcoin Core 32.0rc4 候选版本，并介绍了 Eclair、LDK、LND、Rust Bitcoin、BDK 等项目近期的重要代码与文档变更。

ChainCatcher 消息，隐私币项目 Pirate Chain 表示其网络遭遇漏洞攻击，导致 3980 万枚 ARRR 代币被凭空生成。Pirate Chain 称网络仍在正常运行，开发团队正在推进恢复工作，并已要求用户在恢复完成前不要转移资金。

ChainCatcher 消息，Backbone Labs 发行的流动性质押代币 bOSMO 在 Osmosis 社区池完成大额赎回后，合约支撑近乎耗尽。Osmosis 论坛 10 月 15 日披露显示，约 40,508 枚 OSMO 被指定用于补偿 1,037 个账户。披露作者 Johnny Wyles 称，该质押合约自至少 2026 年 4 月起对每笔赎回超额支付，实际按约 1.676 OSMO 兑 1 枚 bOSMO 结算，而合约声明的兑换率约为 1.117 OSMO。该漏洞重复计算了质押在 Backbone 自有验证者上的 OSMO，使赎回者多获得约 50% 的资产，代价是剩余持有者的支撑被稀释。缺陷在准备清算社区池头寸时暴露，已通过的治理提案 1049 授权撤回 Margined 管理的金库头寸，并在其结束管理流动性业务时销毁回收的 OSMO。该池的 bOSMO 金库持有约 113.7 万枚 bOSMO，约占该代币总供应量的 97%；10 月 9 日 21:59 ET 执行的赎回交易销毁了 776,000 枚 bOSMO，并开始解绑约 130 万枚 OSMO。补偿以区块 72,237,940 时的合格余额为准，按 1.1174 OSMO 兑 1 枚 bOSMO 计算，快照后买入的 bOSMO 不在补偿范围内，存放在流动性池和其他合约中的底层持有者同样被纳入。

据 Chainalysis 报告，一名运营任务骗局的骗子在新买的三台含记录助记词间谍软件的 Ledger 设备中损失 60 枚比特币（约 480 万美元），资金被转入同一钱包。此前篡改 Ledger 事件已致 530 个地址被盗逾 1.034 亿美元，Ledger 暂停东南亚经销商网络，Trezor 也将自 1 月 1 日起关闭部分偏远地区经销商。

据创始人 Felix Romer 确认，加密赌场 Gamdom 于 10 月 13 日遭热钱包攻击，损失超 300 万美元，公司随即停运并将剩余资产转入冷存储。区块链调查者 vxdb 估算损失约 420 万美元，其中以太坊兼容网络 220 万美元、Solana 96.5 万美元、比特币 66.8 万美元、Tron 37.5 万美元，与创始人数字的差异尚未解释。至 10 月 15 日平台仍未恢复上线，运营方称用户资金安全，但材料未提供独立核实的客户余额损失结论。

纽约布鲁克林地区检察官 Eric Gonzalez 于美东时间 10 月 14 日宣布，其虚拟货币小组（VCU）在 FBI 协助下查封并瘫痪 241 个诈骗网域与 112 台服务器，打击一个锁定美国俄语社群的跨国加密投资诈骗集团，历时 3 年调查。检方称此次直接切断后端基础设施，跨 3 个时区执行搜索令；此前已查封约 400 个诈骗网域但新站点很快复现。检方估计损失达数千万美元，目前仅扣得约 30 万美元赃款，据 CoinDesk 报道此案尚未宣布逮捕任何人。

PANews 10月15日消息，Polygon Labs 宣布 Bor v2.10.3 正式发布，修复 BlockSTM V2 并行区块执行中的两项中危拒绝服务漏洞：一项是未设置容量上限的共享 Keccak-256 缓存，另一项是并行执行期间重复计算智能合约代码哈希。官方称漏洞影响默认启用 BlockSTM V2 的 Bor v2.10.1 和 v2.10.2 版本，目前尚未发现其在主网或 Amoy 测试网上遭到利用。

深潮 TechFlow 消息，10 月 15 日，Polygon Labs 官方公告 Bor v2.10.3 正式发布，此前已于 10 月 5 日以私有版本形式向验证者及主要基础设施提供商分发。该版本修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，均由安全研究人员通过 Immunefi 漏洞赏金计划提交：一是无界 keccak256 缓存问题，攻击者可构造特定交易在投机执行阶段填充数百 MiB 缓存导致节点内存耗尽，修复方案为对共享缓存设置容量上限；二是并行执行中重复代码哈希计算问题，单笔交易可致并行处理器耗时约 11 秒，修复方案为对代码哈希结果逐交易缓存。此外还包含交易池对 EIP-7702 SetCode 授权的拦截、RPC 批量执行池并发限制修复、并行执行跨自毁边界余额读取一致性修复，以及滞留待处理交易自动清理机制（默认 3 小时）。受影响版本为 Bor v2.10.1 和 v2.10.2；v2.10.3 非硬分叉，节点可逐个升级无需协调，两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。

布鲁克林检察官与 FBI 查封或切断了 241 个诈骗网站和 112 台服务器，该网络涉嫌通过俄语 Facebook 广告和假顾问骗取美国俄语受害者数千万美元，受害者尝试提现时被锁账户或被要求缴纳税费，随后又被以追回资金为名二次诈骗。行动在上周完成，源于历时三年的调查，目前尚无逮捕公布，已查封约 30 万美元。据 FBI 年度报告，2025 年投资诈骗损失 86.5 亿美元中约 84% 为加密投资诈骗，全部网络犯罪损失 208.8 亿美元中加密相关损失约 113.7 亿美元、占约 54%。

据韩国媒体《数字资产》报道，首尔南部地方法院第 13 刑事部于 10 月 15 日对涉嫌以 POD、ATT 两个项目实施约 3400 亿韩元加密货币诈骗的朴某作出一审无罪判决。法院认定其在白皮书及 Telegram 发布虚假信息构成欺骗行为，但检方未能逐一证明个别投资者因该欺骗陷入错误认知而购买代币，诈骗罪不成立；涉及 POD 出售的背信罪也因代币所有权归属存疑未获充分证明而判无罪。同案两名被告因向交易所提交虚假上市维持审查材料，业务妨害罪成立，分别被判处有期徒刑 4 个月缓刑 1 年和有期徒刑 6 个月缓刑 2 年。

据韩国媒体 Digital Asset 报道，10月15日首尔南部地方法院一审判决加密货币操盘手“Jonber Kim”（音译，朴某）无罪，其被诉涉及约3400亿韩元（约合2.3亿美元）加密资产诈骗。法院认为，尽管被告在 POD（葡萄币）和 ATT（Atube）项目上可能存在虚假宣传，但检方未能证明该行为与投资者买入代币之间存在因果关系，操纵币价及挪用葡萄币出售所得的指控也证据不足。另两名被告因在 Coinone 上币续审中提交虚假材料、妨碍交易所审查，分别被判处有期徒刑4个月缓刑1年和有期徒刑6个月缓刑2年。