安全事件

据Bitcoin News报道，比特币闪电网络开发套件LDK已修复多项安全漏洞，其中通道重连漏洞可能被恶意对手方利用导致资金被盗。LDK官方于10月3日发布0.1.13、0.2.7及0.3-rc3版本，建议在生产环境中与不可信通道对手方交互的运营者升级；相关披露未确认这些漏洞造成实际损失。

Aptos 宣布 Encrypted Mempool 功能已在主网上线，用户可选择让待处理交易在区块排序确定前保持加密，以规避 MEV 抢跑和三明治攻击。交易内容在设备端加密，发送方地址和 gas 费仍可见，验证者在看不到内容的情况下商定排序，排序确定后集体解密执行，单个验证者无法自行解密。代价是加密交易的最低 gas 价格为网络基础最低值的两倍，测试中 50 个节点下每区块增加约 20 毫秒。Cointelegraph 援引 EigenPhi 数据分析称，截至 2025 年 10 月的 12 个月内以太坊三明治攻击造成约 6000 万美元损失；Bitquery 统计的 11 个月区间内 Solana 三明治攻击为机器人带来 2970 万美元。

Ledger 10 月 11 日表示，10 月 9 日钱包盗刷事件的所有已确认案例均涉及东南亚经销商 CryptoBilis 售出的设备，其系统与直销渠道未受影响，但 72 小时更新未给出损失金额、受影响设备数量或设备被篡改方式。链上追踪数据不一致：Bitquery 统计跨六条链共 9320 万美元、涉及 315 个钱包，YFarmX 统计七条链共 1.034 亿美元、涉及 530 个地址。Bitquery 称 Tether 已冻结 37 个相关地址中的 20 个、共 1000 万 USDT，并追踪到 2,990 ETH 经 Tornado Cash 和 Zcash 转入七个钱包，其中五个钱包持有的 535 万 USDC 在被冻结前已被清空。

XRP Ledger 维护者披露并修复了支付引擎中的整数溢出漏洞，攻击者本可借此凭空铸造 XRP。该漏洞自 2015 年写入当前支付引擎起就存在，因普通支付远不足以触发而长期未被发现；当单笔支付消耗数百个精心构造的挂单时，买家应付金额溢出为极小值，而本应拦截的“不产生 XRP”安全检查使用了同样的错误算术，同样失效。研究者于 9 月通过漏洞赏金计划上报，修复于 9 月 25 日随 3.4.1 版本发布，当日超过 80% 的可信验证者已运行该版本；补丁绕过了通常需验证者投票并等待两周的修正案流程，团队称严重性足以 justify 这一做法。RippleX 工程师表示目前没有该漏洞曾被利用的证据。

区块链调查者 ZachXBT 批评 Ripple Ledger Foundation 向 Veria Labs 联合创始人 Caydel Liao 支付的 25 万美元赏金过低，该漏洞若被利用可在单笔交易中凭空发行 18 万亿 XRP，相当于固定总量 1000 亿枚的 184 倍。漏洞于 9 月 22 日报告并确认，9 月 25 日发布修复，超过 80% 验证者升级后漏洞失效；25 万美元是 Ripple 漏洞赏金计划的上限，Liao 称这是完全由 AI 代理发现的漏洞中金额最高的一次支付。XRP Ledger Foundation 贡献者 Vet 表示正在强化赏金计划，并已与赏金猎人达成商业协议。

多家区块链分析公司估计，与授权经销商 CryptoBilis 销售的 Ledger 设备相关的数百个钱包被盗金额最高达 9450 万美元，Ledger 尚未确认该数字。Bitquery 称已追踪 9320 万美元，涉及六条链上的 315 个钱包，主要为 USDT 和 TRON 代币；YFarmX 统计为七条链上 521 个地址、9450 万美元。Tether 冻结了与盗币相关的 1000 万美元 USDT，截至 10 月 11 日约 8100 万美元仍可链上追踪，部分资金经 Tornado Cash 和 Zcash 转移。Ledger 确认至少一台受影响设备存在未授权硬件植入，并建议 CryptoBilis 客户不要启用未使用的新设备，已使用者将资产转移到新设备并生成新的恢复短语。

XRP Ledger 于 9 月 25 日发布紧急安全补丁 xrpld 3.4.1，修复支付引擎溢出漏洞。该漏洞理论上可让攻击者创造约 18.5 万亿枚可花费 XRP，远超 1000 亿枚的原始供应量。漏洞于 9 月 22 日确认、9 月 23 日合并修复，开发者选择跳过常规验证者投票流程直接发布补丁，代价是升级期间不同版本服务器对同一笔交易的处理可能不一致；据 Veria，截至 9 月 25 日已有超过 80% 的验证者完成升级。Veria 的概念验证估计理论风险敞口约 940 亿美元，RippleX 未发现该漏洞在公共网络上被利用的证据。

CryptoBilis前负责人Arravind Prabu否认与近期涉及CryptoBilis和Ledger的安全事件有关联。他表示公司此前已被新团队收购，其本人及Vimalatheethan已于2026年3月正式移交全部运营、管理及行政职责，此后不再拥有公司后台系统、客户数据库、订单记录及企业通信渠道的任何访问权限或管理控制权。

CryptoBilis前负责人Arravind Prabu发布声明称，其本人及Vimalatheethan已于2026年3月完成公司运营交接，此后未持有公司后台系统、客户数据库等任何访问权限或管理控制权，否认涉入近期涉及CryptoBilis与Ledger的讨论。此前有报道称，CryptoBilis一名客户购买的Ledger硬件钱包疑遭供应链攻击导致资产损失；Arravind称原计划于2026年10月中旬前发布联合公告。

XRP Ledger 开发者于 10 月 9 日发布漏洞披露报告，称支付引擎存在整数溢出漏洞，被利用可在一笔交易中凭空铸造远超总供应量的可花费 XRP；该漏洞已在 9 月 25 日发布的 xrpld 3.4.1 中修复，报告称未发现其在任何公共网络被利用的证据。研究者 Cayden Liao 与 Veria AI 于 9 月 22 日通过漏洞赏金计划提交，RippleX 工程师在独立服务器复现后将其评级升为严重。修复随服务器升级直接生效，跳过了通常需 80% 验证者支持两周的修正案流程；XRP Ledger Foundation 称当前约有 999.86 亿 XRP 存在，未产生新 XRP。

PANews 今日日报报道，北京市公安局朝阳分局通报对宜信相关公司涉嫌违法犯罪立案侦查，实控人唐某、赵某等已被采取刑事强制措施。链上侦探 ZachXBT 指责 XRP Ledger 基金会对发现“XRP 无限增发”漏洞的白帽黑客仅支付 25 万美元赏金，认为低赏金会助长攻击者利用漏洞窃取资金；此前 XRPL 基金会澄清该漏洞未增发 XRP，已在 3.4.1 版本修复。其他要闻包括 Polygon 两周前销毁 1 亿枚 POL、摩根士丹利计划 2027 年一季度在 ATS 支持代币化股票、比特币现货ETF上周净流出 6.81 亿美元终结连续三周净流入、以太坊现货ETF上周净流出 5.42 亿美元。

CoinDesk 报道，XRP Ledger 中一个存在约 11 年的整数溢出漏洞若被利用，可能凭空铸造数十亿 XRP、突破 1000 亿枚总量上限。该漏洞由研究者 Cayden Liao 和 Veria AI 于 9 月 22 日发现并内部上报，RippleX 在确认无被利用或未授权增发证据后发布修复；基金会称当前流通量约 999.86 亿 XRP，未产生损失。漏洞需数百笔精心构造的交易才能触发，且账本每次交易后核查新增 XRP 的检查依赖同一错误计数，因此长期未被发现。基金会计划加强 AI 对抗测试、形式化验证和漏洞赏金计划。

ChainCatcher 消息，链上侦探 ZachXBT 针对 XRP Ledger 基金会关于安全修复的回应表示，基金会金库持有数十亿美元，却仅向发现所谓 XRP 无限增发严重漏洞的白帽黑客支付 25 万美元。他称这会促使攻击者不再善意上报漏洞，而是利用漏洞窃取数亿美元资金，并表示正因如此人们难以将 XRP Ledger 或 Ripple 视为正经机构。此前 XRP Ledger 基金会澄清称，相关漏洞并未增发 XRP，补丁由社区共识推动。

深潮 TechFlow 消息，10 月 12 日，链上侦探 ZachXBT 发文质疑 XRP Ledger Foundation 的赏金机制：针对可导致无限增发 XRP 的严重漏洞，拥有数十亿美元储备的官方机构仅向负责任报告的白帽黑客支付 25 万美元。他认为过低奖励难以激励安全人员，可能促使未来攻击者直接利用高危漏洞谋取数亿美元暴利，并称此举降低了行业对 XRP Ledger 及 Ripple 的信任度。此前 XRP Ledger 基金会表示，近期安全漏洞已被修复，未增发任何 XRP。

链上侦探 ZachXBT 转发 XRP Ledger 基金会关于此前关键安全漏洞的说明，并批评其漏洞赏金机制。他表示 XRPL 拥有数十亿美元资产，却仅向发现关键漏洞的白帽黑客支付 25 万美元奖励，认为这可能削弱安全研究人员主动报告漏洞的动力，甚至促使攻击者选择利用漏洞获利而非负责任披露。XRP Ledger 基金会此前确认，该漏洞理论上可能绕过 XRP 总供应量限制，但未发现任何 XRP 因此被额外创建，漏洞已通过 3.4.1 版本修复。

PANews 10月12日消息，链上侦探 ZachXBT 针对 XRP Ledger 基金会回应安全修复相关误解表示，XRP Ledger 金库坐拥数十亿美元，却只给发现“XRP 无限增发”漏洞的白帽黑客支付 25 万美元，这会确保下次攻击者不再善意上报漏洞，而是利用它窃取数亿美元资金，人们因此无法把 XRP Ledger 或 Ripple 当作正经机构看待。此前 XRP Ledger 基金会澄清称，该漏洞未增发 XRP，补丁由社区共识推动。

Ledger 确认一台与近期盗币事件相关的设备内含未授权硬件植入，已确认案例均涉及东南亚经销商 CryptoBilis 售出的产品。链上研究者估计超过 300 个钱包被盗 8600 万至 9300 万美元，涉及 Bitcoin、Ethereum 和 Tron 等多条链；Ledger 称其内部系统和直销渠道未受影响，CryptoBilis 已暂停硬件钱包销售。公司建议经该渠道购买的用户不要初始化未启用设备，已启用者应将资金转移到从 Ledger 直接购买的新设备上的新种子。

Ledger 确认在与经销商 CryptoBilis 钱包盗取调查相关的一台用户设备中发现未授权硬件植入物，估计潜在损失达 9300 万美元，涉及五条链上的 311 个钱包。前 Mt.Gox 首席执行官 Mark Karpelès 于 10 月 9 日开始调查一台从马来西亚收到、疑似被物理篡改的 Ledger Nano X，称屏幕后藏有含微控制器、LTE 模块、天线和 eSIM 的装置，他认为该配置可能在钱包设置时截获助记词并通过蜂窝网络外传。CryptoBilis 前联合创始人称已于 2026 年 3 月完成出售并移交运营权，据 BitPinas 引用的公司记录，100% 股份于 8 月 3 日转让给一名登记地址在中国黑龙江、名为 Jiaming 的个人，但目前没有证据将新所有者与篡改行为关联。Ledger 称其系统和服务未见被入侵迹象，并要求 CryptoBilis 在调查期间停售全部硬件钱包库存；另有社区报告称在欧洲 MediaMarkt 购买的设备疑似存在类似问题，Ledger 尚未确认。

北京市公安局朝阳分局通报，近期已依法对宜信相关公司涉嫌违法犯罪立案侦查，实际控制人唐某（男，53岁）、赵某（女，51岁）等多名犯罪嫌疑人已被依法采取刑事强制措施。警方正全力开展案件侦办，呼吁投资人配合调查取证，并警惕以提前兑付等名义实施的诈骗。

XRPL财团就XRP增发漏洞的修复过程作出说明，称XRP并未被实际生成，总供应量在账本启动时固定为1000亿枚，当前约999.86亿枚。9日披露的报告显示，漏洞源于2015年以来存在的64位整数溢出，一次支付汇总多个报价时未做上限检查，回绕产生的差额可变成新XRP，而内置安全检查因使用相同算法未能发现。研究者Cayden Liao与Veria AI于9月22日通过漏洞赏金计划报告，RippleX工程师复现后将严重度从「重大」升至「关键」，未发现公开网络被利用的证据。修复未走通常的修正案投票，各服务器更新至xrpld 3.4.1即生效，为该制度引入十余年来的首次；财团称此举是为避免公开到生效的数周内持续可被攻击。9月25日默认UNL超80%的验证者已运行3.4.1，3.4.1中的fixBatchV1_2则经正常投票于10月9日生效。