安全事件

Odaily 星球日报早讯汇总：Ledger 更新硬件钱包被盗事件进展，称涉事设备均来自 CryptoBilis，其自有系统与官方直销渠道未受影响；慢雾余弦称 Ledger Flex 或也涉及该事件，并出现首例被植入未经授权硬件的 Ledger Stax，可向攻击者传输用户助记词。XRP Ledger Foundation 确认没有新增 XRP 被创建，关键漏洞已修复；亿万富翁 Adam Weitsman 宣布已在链上买入 117 枚 Pudgy Penguins NFT；Arthur Hayes 称 FLOP 测试网计划于未来几周内推出；以太坊基金会关联钱包向 Kraken 转入 4393 枚 ETH，价值 1113 万美元；莫斯科交易所计划 12 月 1 日推出受监管加密货币交易。

据 Coinbase CEO Brian Armstrong 发文，Coinbase 基于内部专有数据微调了开源权重模型 Qwen 3.5-9B，在反欺诈等特定专业任务中表现超越前沿模型，同时降低成本并提升速度。他表示前沿模型通用能力强，但企业内部未来会更多采用针对特定任务的专业化模型；Coinbase 已在内部测试框架上线相关功能，便于员工启动支付风险审查等场景的模型训练，并预计部分后端服务未来可能被这种新架构替代。

深潮 TechFlow 消息，据 XRP Ledger Foundation 发文，针对近期 XRPL 安全修复引发的疑问，官方澄清该漏洞虽涉及绕过供应量限制规则，但已在两周前的 3.4.1 版本更新中完成修复，期间并未增发任何 XRP，当前 XRP 供应量约为 999.86 亿枚。基金会指出常规支付交易无法触发该漏洞，触发需数百次刻意构造的操作；3.4.1 版本已通过获得超 80% 验证节点支持的修正案投票，后续将结合形式化验证、人工智能对抗测试及漏洞赏金计划加强防护。

PANews 10月12日消息，XRP Ledger基金会发文澄清，称该漏洞未新增任何XRP，总供应量在账本上线时已固定为1000亿枚，漏洞曾可绕过此规则，已在3.4.1版本（约两周前）修复，目前约有999.86亿枚XRP存在。基金会表示触发漏洞需数百次刻意构造的操作，AI让攻击者和安全研究人员都能更快发现此类漏洞；3.4.1的强制实施基于修正案投票机制，需超过80%验证节点支持并维持两周。

Ledger 于 11 日报告，从东南亚经销商 CryptoBilis 购买硬件钱包的用户资金被盗，其中一台受害设备内被确认植入了恶意硬件。Bitquery 统计显示，截至 11 日已有 315 个钱包流出 9,320 万美元（约 147 亿日元），多个钱包在数秒内执行相同签名请求，暗示私钥被同一方掌握。Ledger 称其自身安全基础设施未被入侵，建议从该经销商购机且未激活的用户暂缓设置，已激活用户考虑将资产迁移到使用新助记词的新设备；CryptoBilis 已暂停全部钱包库存销售。Ledger 未透露恶意硬件细节，也未确认其与盗窃的关联；Mark Karpelès 报告其从马来西亚购得的设备内发现可疑内部部件，Tibane Labs 分析认为该部件可能读取设置时的显示信息。链上研究员 Darkfost 整理了印尼、马来西亚等地 20 余家可能存在风险的经销商名单，但强调这些尚非确定事实。

据 Cointelegraph 报道，针对 Ledger 硬件钱包的恶意植入攻击已从亚洲扩散至欧洲，此前黑客通过经销商 CryptoBilis 窃取约 9340 万美元资产，近期有用户在 MediaMarkt 购得同款篡改设备，资金尚未被盗，官方建议近 90 天内经该经销商购买的用户转移资产。安全公司 Veria Labs 的 AI 智能体扫描 rippled 软件，定位到自 2015 年潜伏的代码溢出缺陷，组合触发下单笔交易可超发超 18 万亿枚 XRP，9 月 22 日披露后 RippleX 三日内完成修复并支付 25 万美元赏金，链上暂无被实际利用的证据。

Cointelegraph 本周 Hodler's Digest 报道，据报针对 Ledger 硬件钱包的篡改植入件已从亚洲扩散至欧洲，X 用户 Johannes 称两周前在 MediaMarkt 购买的设备被发现植入件，暂无资金损失；网络安全媒体 Yfarmx 估计亚洲损失达 9340 万美元、涉及 471 个地址，Ledger 未确认该数字。安全公司 Veria Labs 因发现 XRP 自 2015 年存在的溢出漏洞获 25 万美元赏金，其 AI 代理称单笔交易或可铸造超 18 万亿 XRP，漏洞已于 9 月 22 日报告、三天后由 RippleX 修复，无被利用证据。周报还收录 Vitalik Buterin 支持针对 AI 数学进展的密码学 bunker mode 警告、Samsung Wallet 将于 10 月底为美国 Galaxy 用户上线 USDC 转账、Andrew Cuomo 谈加密行业过度支持共和党疏远民主党，以及本周 BTC 跌 2.8% 至 83,435 美元、ETH 跌 6.5% 至 2,562 美元、XRP 跌 7% 至 1.40 美元等行情与 Tom Lee 对 ETH 的预测。

Coinbase首席执行官Brian Armstrong在X平台发帖称，Coinbase利用内部专有数据微调了开源权重模型Qwen3.5-9B，在反欺诈这一专项任务上表现优于前沿模型，且成本更低、速度更快。Coinbase技术博客显示，该模型的F1分数比前沿模型高9.60%，端到端延迟降低55.00%。Armstrong表示前沿模型是出色的通才，但专用模型将在更细分任务上胜出；Coinbase正让员工便捷地在内部微调模型，部分后端服务未来或被这一新架构完全取代。

Papertrade 官方回应价格操纵与协议漏洞质疑，称昨晚针对 Hyperliquid BBO 上 BTC/ETH 的操纵尝试源于上线初期为应对拥堵而设置的宽松持仓上限，并非机制设计疏漏。官方表示随着拥堵缓解，已在链上和中继层面收紧持仓上限，目标是把参数设置到操纵几乎永远不盈利、期望值为负。

截至2026年10月11日，Liquid Network 的 LBTC 兑出（peg-out）操作已冻结35天，此前攻击者利用 Elements 软件漏洞盗走近4000 BTC。攻击者已于9月7日返还约3400 BTC，但保留598.5 BTC（价值4969万美元），要求 Blockstream 支付10%赏金，遭 Blockstream 拒绝并要求归还。Liquid 官方9月29日表示，对 Elements v23.3.4 的独立外部安全审计正在进行，Liquid Federation 同步更新 PAK 列表并将 peg-out 密钥存入冷存储，恢复时间未定；有用户称已通过 Sideswap 和 Sideshift.ai 支付约5%成本绕道转出资金。

PANews 10月11日消息，据Bitcoin News报道，安全研究人员Johannes披露，一名用户从欧洲官方Ledger经销商购买的硬件钱包在数周后被发现内部存在未经授权的硬件植入物，出现正常Ledger硬件中不存在的可疑线路，疑似销售前遭物理篡改。研究人员称该植入物疑似较早期设计，新版植入组件可能藏在屏幕后方更难检测；设备目前尚未发生资金被盗。研究人员还指出，Ledger官方Genuine Check在原安全芯片未被破坏时可能无法检测此类物理改装。

链上侦探 Specter 称，10 月 9 日至 10 日期间，与 CryptoBilis Ledger 硬件钱包事件相关的攻击者地址向 Tornado Cash 存入 2990.3 枚 ETH，价值约 745 万美元。Specter 称攻击者此前将资金提取至 14 个地址，再通过 NEAR Intents 跨链至 ZEC 并做隐私化处理；部分提现交易复用了此前的存款地址，另有部分由与盗取资金时支付 Gas 费用地址相关联的钱包发起，从而将存入与提现行为关联起来。目前该攻击者仍在持续转移和隐藏资金。此前 CryptoBilis 事件涉及 Ledger 硬件钱包供应链风险，Ledger 表示正在调查并提醒相关用户关注设备安全。

ChainCatcher 消息，链上侦探 Specter 称，10 月 9 日至 10 日期间，与 CryptoBilis Ledger 硬件钱包事件相关的攻击者地址向 Tornado Cash 存入 2990.3 枚 ETH，价值约 745 万美元。Specter 表示，攻击者此前将资金提取至 14 个地址，随后通过 NEAR Intents 跨链至 ZEC 并进行隐私化处理；部分提现交易复用了此前的存款地址，另有部分由与盗取资金时支付 Gas 费用地址相关联的钱包发起，从而将存入与提现行为关联起来。目前该攻击者仍在持续转移和隐藏资金。此前 CryptoBilis 事件涉及 Ledger 硬件钱包供应链风险，Ledger 已表示正在调查并提醒相关用户关注设备安全。

Coldcard 称正在调查一条钓鱼链接为何出现在其 X 账号上，并提醒用户不要访问或与该链接互动，后续将分享经核实的更新。

PANews 10月11日消息，据链上侦探Specter披露，与CryptoBilis Ledger硬件钱包事件相关的攻击者地址在10月9日至10日向Tornado Cash存入2990.3枚ETH，价值约745万美元。监测显示，攻击者此前将资金分散至14个地址，通过NEAR Intents跨链转换至ZEC网络并做隐私处理，但部分提现复用了原存款地址，另有提现由与盗币时支付Gas的钱包相关联的地址发起，留下追踪线索。

链上侦探 Specter 表示，10 月 9 日至 10 日期间，与 CryptoBilis Ledger 硬件钱包事件相关的攻击者地址向 Tornado Cash 存入 2990.3 枚 ETH，价值约 745 万美元。Specter 称，攻击者此前将资金提取至 14 个地址，随后通过 NEAR Intents 跨链至 ZEC 并隐私化处理，且部分提现交易复用存款地址或由与盗 Gas 费地址关联的钱包发起，从而被关联。目前该攻击者仍在持续转移和隐藏资金。

据 Cointelegraph 报道，硬件钱包制造商 Ledger 正式确认，未授权硬件植入攻击造成的用户加密资产损失可能超过 8600 万美元。Ledger 称攻击者在部分设备中植入恶意组件，提取私钥及助记词后盗走比特币及其他代币，公司正与警方和网络安全专家协作确定受影响设备和受害者范围。

PANews 10月11日消息，硬件钱包制造商 COLDCARD 称其官方 X 账号曾发布含钓鱼链接的帖子，目前已删除。COLDCARD 表示账号自 2017 年起使用离线 2FA 并严格限制访问，未发现任何登录、会话或访问记录，凭证与离线 2FA 均安全，怀疑可能涉及平台级或管理员未授权访问；团队已联系 X 平台并审查所有账号权限，后续将发布验证更新。

ChainCatcher 作者谷昱撰文分析 Ledger 供应链攻击：多名从东南亚经销商 CryptoBilis 购买设备的用户助记词被窃，其中一位用户 80 枚 BTC（成本约 520 万美元）于 10 月 9 日被转走。链上调查员估算损失在 7200 万至 9290 万美元之间，涉及约 98 个钱包、平均每个约 89 万美元。Mt.Gox 前 CEO Mark Karpelès 拆机发现屏幕排线上被加装接在 SPI 总线的微控制器，慢雾 23pds 称该模块可记录屏幕显示的助记词字符并通过 LTE 传出，安全元件本身完好因此真伪校验无法识别。Ledger 已要求 CryptoBilis 暂停销售，90 天内从该渠道购买的用户应更换设备并转移资产；CZ 建议购买硬件钱包后先放置几周再转入大额资产。

XRP Ledger 支付引擎被披露存在自 2015 年起潜伏的整数溢出漏洞，攻击者可用数百枚 XRP 成本凭空铸造远超 1,000 亿枚上限的新币；RippleX 已随 xrpld 3.4.1 紧急修补，称未发现公开网络遭利用的迹象。漏洞源于加总未做溢位检查，且不变量检查与单账户余额检查两道防线同样失效；修补刻意跳过修正案流程，为该制度推出十多年来的首次，发布当天默认 UNL 超过 80% 验证者在未见源码情况下完成升级。报告另披露 Batch 功能的包装验证漏洞，fixBatchV1_2 已于 10 月 9 日与主网生效，该功能此前从未上线，无账户或资金受影响。