链小知 周报 · 2026 年第 40 周 · 09.28 — 10.04链小知每周综述
链小知
阅读完整本期 · 29 条内容与快讯
内容截止：2026/10/05 00:00（北京时间） · 第 1 版
Bitget 3.875 亿美元被盗与监管托管新规并行
本期覆盖 2026 年 9 月 28 日至 10 月 4 日。最重大的安全事件是 Bitget 遭入侵，攻击者利用第三方安全产品零日漏洞获取内部凭证，约三小时内从多条链转走 3.875 亿美元，为 DefiLlama 口径下 2026 年迄今最大规模之一；SlowMist 将最早恶意活动追溯至 8 月 31 日，Bitget CEO 对资金追回不乐观，NEAR Intents 拦截逾 5000 万美元，攻击者正经 THORChain 洗钱。监管方面，SEC 拟放宽投资顾问托管加密资产规则并发布证券法适用 FAQ，英国 FCA 开放新监管制度授权申请，纽约与怀俄明州签署监管协调协议。RWA 与稳定币领域，香港发售 200 亿港元数码绿色债券并引入港元代币化存款，Open USD 稳定币上线，Swift 区块链账本已上线。以太坊方面，Glamsterdam 升级将于 10 月 6 日在 Sepolia 激活，MetaMask 因安全事件下线质押验证者，Blast 宣布关停 L2 网络。
Bitget 被盗与资金追回
本版导读Bitget 遭入侵事件成为本期焦点：攻击者利用第三方安全产品零日漏洞获取内部凭证，伪造风控参数并调起提现流程，在约三小时内从 Ethereum 等 EVM 网络、XRP、Zcash 和 TRON 转走 3.875 亿美元，为 DefiLlama 口径下 2026 年迄今最大规模之一。SlowMist 调查显示最早恶意活动可追溯至 8 月 31 日，9 月 24 日资金已从热钱包转出。Bitget CEO Gracy Chen 称私钥和冷钱包未受影响，但对完全追回不乐观，以 Bybit 案仅冻结 3.5% 作参照。NEAR Intents 拦截逾 5000 万美元，攻击者正经 THORChain 将 ETH 兑换为 BTC。
Rekt 安全事件复盘09.30Rekt 复盘 Bitget 3.875 亿美元被盗事件：第三方安全产品漏洞与资金追回困局
Rekt 复盘 Bitget 遭入侵事件：攻击者利用第三方安全产品零日漏洞获取内部凭证，伪造风控参数并调起钱包提现流程，在约三小时内从 Ethereum 等 EVM 网络、XRP、Zcash 和 TRON 转走 3.875 亿美元，为 DefiLlama 口径下 2026 年迄今最大加密盗窃。
Cointelegraph09.30SlowMist 将 Bitget 3.88 亿美元被盗案追溯至 8 月 31 日零日漏洞利用
SlowMist 调查显示，与 Bitget 3.88 亿美元被盗相关的最早恶意活动可追溯至 8 月 31 日，攻击者利用影响第三方安全产品的零日漏洞，于 9 月 24 日（UTC）从 Bitget 热钱包转移资金至其控制的多个链上地址。
Cointelegraph09.30Bitget CEO 对追回 3.88 亿美元被盗资金不乐观
Bitget CEO Gracy Chen 表示对完全冻结或追回上周安全事件中被盗的 3.88 亿美元加密资产并不乐观，她以 Bybit 2025 年 2 月被盗约 15 亿美元 ETH、一年后仅冻结约 8000 万美元（约 3.5%）作为参照。
Cointelegraph09.28Bitget CEO 称 3.88 亿美元黑客事件源于第三方安全漏洞
Bitget CEO Gracy Chen 表示，交易所近期 3.88 亿美元被黑事件源于某第三方安全产品的漏洞，攻击者借此获取高级内部凭证并下达伪造提币指令，私钥和冷钱包未受影响。
Cointelegraph09.29Bitget 被盗近 3.88 亿美元后续：NEAR Intents 拦截逾 5000 万美元，SEC 更新证券法适用指引
NEAR Intents 称其 SHIELD 系统拦截了与 Bitget 遭窃 3.875 亿美元相关的逾 5000 万美元转账，执行中冻结 50.3 万美元，约 16.6 万美元疑似被盗资金流过。
Cointelegraph09.28Bitget 恢复比特币提现，攻击者经 THORChain 将 ETH 兑换为 BTC
加密交易所 Bitget 在近 3.88 亿美元资产安全事件后恢复比特币提现，攻击者正通过 THORChain 将被盗 ETH 兑换为 BTC。
SEC 托管新规与证券法指引
本版导读SEC 提出投资顾问与基金托管加密资产的新规提案，在没有合格托管人时允许顾问自托管客户加密资产，并允许州信托公司担任加密托管方，自托管需逐项证明、按季度复核并满足私钥、网络安全、资产隔离及两人批准转账等要求。同时 SEC 公司金融部发布九问九答的加密资产监管 FAQ，厘清功能化与去中心化定义、质押凭证代币分类、代币回购及交易平台是否视为推广者等问题，跟进 CFTC 上周的类似动作，为行业提供更清晰的合规边界。
Cointelegraph10.02SEC 拟放宽投资顾问托管加密资产规则
SEC 提案拟放宽投资顾问与基金持有加密资产的规则：在没有合格托管人时允许顾问自托管客户加密资产，并允许州信托公司担任加密托管方。自托管需逐项证明无可用托管人、按季度复核，并满足私钥、网络安全、客户资产隔离及至少两人批准转账等要求；州信托公司需具备相应授权、审计财报与资产隔离。SEC 主席 Paul Atkins 称规则未跟上市场发展，提案将在联邦公报发布后开放 60 天公众意见征询。
SEC 官方监管发布一手10.02SEC 提出投资顾问与基金托管加密资产的新规提案
SEC 于 10 月 1 日提出新规与修订，为注册投资顾问和受监管基金（注册投资公司与商业发展公司）的加密资产托管提供专门框架。提案依据 1940 年《投资顾问法》和 1940 年《投资公司法》，在特定情形下允许自托管加密资产，并允许使用州信托公司作为托管人，同时更新财务报表审计和经纪交易商托管服务等要求。
美SEC公司金融部发布加密资产监管FAQ，厘清九类证券属性问题
美国证券交易委员会（SEC）公司金融部发布关于联邦证券法适用于特定加密资产的FAQ，共九问九答，回应功能化与去中心化定义、质押凭证代币分类、营销宣传是否构成关键管理努力、代币回购及交易平台是否视为推广者等问题。
Cointelegraph09.29美国 SEC 跟进 CFTC 发布加密资产工作人员指引
美国 SEC 更新了证券法如何适用于特定加密资产及交易的政策指引，跟进 CFTC 上周的类似动作。SEC 表示该解读不具法律约束力，涉及 Howey 测试下的数字资产产品：代币发行方在加密系统无中心化主体时可开展回购，功能性网络维护、促进网络效应的服务以及质押收据代币也不必然构成投资合同。
SEC 加密新规 FAQ 解读：代币回购、质押凭据与网络升级的合规边界
SEC 公司融资部于 9 月 25 日发布加密资产常见问题文件，把 3 月 17 日框架性解释落到代币回购、质押凭证代币、网络上线后持续开发、交易平台身份四个具体场景。
全球监管与制裁动态
本版导读多国监管机构密集行动：英国 FCA 开放加密企业授权申请，新监管制度 2027 年 10 月生效，届时在英经营的加密企业将首次纳入全面监管。纽约州金融服务局与怀俄明州银行局签署 MOU 协调牌照、检查与执法，持牌满三年的公司可申请快速审查。OFAC 制裁 Tren de Aragua ATM 洗钱网络 10 个目标，并将俄罗斯 A7 网络列为跨国犯罪组织，FinCEN 拟禁止涉及其转账且覆盖可兑换虚拟货币。日本将俄罗斯加密交易所 Garantex 列入资产冻结名单。加州签署法案禁止公职人员发行 meme 币。
英国FCA开放加密企业授权申请，新监管制度2027年10月生效
英国金融行为监管局（FCA）宣布即日起接受加密资产企业在新监管制度下的授权申请，计划继续在英经营的企业应于2027年2月28日前提交，新制度将于2027年10月25日生效。届时在英经营的加密企业将首次纳入FCA全面监管，标准涵盖消费者保护、客户资产保管、市场诚信和财务韧性；FCA强调提交申请不代表自动获批，未达标企业不得继续在英国提供受监管的加密资产服务。
Cointelegraph10.02纽约与怀俄明州监管机构签署协议协调加密监管
纽约州金融服务局（NYDFS）与怀俄明州银行局周四宣布签署谅解备忘录（MOU），协调对在两州运营的加密公司的牌照、检查与执法。协议规定双方共享分析与历史检查数据、协调检查安排并推动联合检查；已在一州持牌满三年且未受执法行动的公司可申请快速审查，第二家监管机构目标在六个月内作出决定。协议同时建立了共享监管报告、市场趋势数据和执法通知的机制，双方可联合、协同或分别采取执法行动。
Chainalysis Research10.01Chainalysis 分析 OFAC 制裁 Tren de Aragua ATM 盗窃洗钱网络
OFAC 于 9 月 30 日制裁与 Tren de Aragua ATM jackpotting 计划相关的 10 个目标，包括被指策划者 Anibal Alexander Canelon Aguirre（化名 Prometheus）及其 6 名同伙，并指定 7 个属于他们的交易所充值地址。
Decrypt10.02美国将俄罗斯A7网络列为跨国犯罪组织，FinCEN拟禁止涉及其转账
美国财政部OFAC将俄罗斯影子银行网络A7列为重大跨国犯罪组织，FinCEN同时提议禁止美国机构处理涉及其前台公司的资金转账，规则覆盖可兑换虚拟货币而非仅法币。
Cointelegraph10.04日本将俄罗斯加密交易所 Garantex 列入对俄资产冻结制裁名单
日本政府以乌克兰战争持续为由扩大对俄制裁，将俄罗斯加密交易所 Garantex 列入资产冻结名单，限制与其的支付和资本交易。日本外务省、财务省和经济产业省周五发布联合声明，同时新增 33 家涉俄组织和 9 名个人，并对 35 艘所谓影子舰队船只实施限制，涵盖维修和保险等服务。
Decrypt09.28加州州长 Newsom 签署法案禁止公职人员发行 meme 币
加州州长 Gavin Newsom 签署 Assembly Bill 2409，禁止加州公职人员和雇员发行 meme 币，并要求数字资产服务商不得上架 2027 年 1 月 1 日后由联邦、州或地方公职人员发行或与其合作发行的特定 meme 币。
RWA 与稳定币进展
本版导读香港特区政府成功定价约 200 亿港元等值数码绿色债券，涵盖港元、人民币、美元及欧元，并通过 EnsembleTX 在港元债券一级发行结算中引入代币化存款，为全球首批。Open USD 稳定币上线，企业可通过 Mastercard、Stripe、Visa 及 Coinbase 接入，支持 1:1 免费铸造。Swift 区块链账本已上线，年底前预计至少 19 家银行接入，通过 5 种主要货币的代币化存款实现全天候支付。Pantera 报告统计 671 项代币化资产、总规模 3318 亿美元，指出流动性成主要瓶颈。BlackRock 与 Ondo 合作推出代币化投资组合 Intelligent Portfolios。
香港特区政府发售200亿港元等值数码绿色债券并引入港元代币化存款
据香港特区政府新闻公报，香港特区政府在可持续债券计划下成功定价约200亿港元等值的数码绿色债券，涵盖港元、人民币、美元及欧元。除沿用传统结算方式及上次引入的代币化央行货币交收选项外，本次在港元债券的一级发行结算流程中通过 EnsembleTX 引入代币化存款，为全球首批引入港元代币化存款的数码债券，为探索数字货币的可编程性奠定基础。
Unchained · 采访与独立报道10.01Open USD 稳定币上线，Stripe、Visa、Mastercard 向企业开放接入
Open USD（OUSD）于周三正式上线，运营方 Open Standard 宣布企业现可通过 Mastercard、Stripe 和 Visa Stablecoin Platform 接入，Coinbase 通道于 Oct. 1 开放，四条集成路径均支持按 1:1 免费铸造与销毁。
Swift区块链账本已上线，年底前预计至少19家银行接入
Swift首席执行官Javier Pérez-Tasso在Sibos 2026表示，Swift基于区块链的账本已经上线并被部分全球大型金融机构使用，预计到今年年底至少19家银行将接入，通过覆盖5种主要货币的代币化存款实现全天候支付。Swift去年曾在Sibos大会上宣布开发这一账本。
Pantera Capital 报告：RWA 代币化已成熟，流动性成主要瓶颈
Pantera Capital 发布《2026 年 9 月代币化行业现状》报告，统计 671 项代币化资产、总规模 3318 亿美元，指出代币资产上链发行已成熟，但合规、高流动性的二级市场成为主要瓶颈。
CoinDesk10.03BlackRock 与 Ondo 合作推出代币化投资组合 Intelligent Portfolios
BlackRock 与 Ondo Finance 合作推出 Intelligent Portfolios，把 BlackRock 为 Ondo 构建的三套专业投资策略分别打包成链上单一代币，分别侧重高收益、分散增长和高增长。
RWA周刊：香港引入港元代币化存款，Stripe系美元稳定币OUSD上线
本期RWA周刊统计周期为2026年9月25日至10月2日，RWA链上总市值回落至385.5亿美元（环比降0.94%），资产持有者增至501.82万（环比增51.6%）；稳定币总市值达2940.4亿美元，月度转账量6.82万亿美元（环比降7.67%）。
以太坊与公链安全
本版导读以太坊 Glamsterdam 升级将于 10 月 6 日 13:53:36 UTC 在 Sepolia 测试网激活，Hoodi 和主网日期未定。MetaMask 因部分基础设施遭遇安全事件下线质押验证者，作为 Lido 节点运营商已开始退出，预计 10 月 7 日前完成；分析师称 19 个验证者区块奖励遭转移，约 52.3 万枚 ETH 验证者主动退出。Arbitrum 紧急暂停新 Stylus 合约激活以应对 AI 辅助攻击风险。Blast 宣布关停以太坊 L2 网络，称运营成本超出收入，要求用户在 10 月 26 日前提现。以太坊基金会推出 zkAPI 实现私密 API 付费。
Ethereum Foundation Blog一手09.28以太坊 Glamsterdam 升级将于 10 月 6 日在 Sepolia 测试网激活
以太坊基金会宣布 Glamsterdam 网络升级将于 2026 年 10 月 6 日 13:53:36 UTC 在 Sepolia 测试网激活（epoch 353,024，slot 11,296,768），Hoodi 和主网激活日期尚未确定。
Unchained · 采访与独立报道10.01MetaMask 因安全事件下线其质押验证者节点
MetaMask 宣布因部分基础设施遭遇安全事件，正将其质押业务运行的以太坊验证者下线，并称目前未发现钱包面临直接威胁，正与外部伙伴合作修复。作为 Lido 协议的节点运营商，MetaMask Staking 已开始退出相关验证者，预计 10 月 7 日前完成退出但尚未完全提取，期间可能错过质押奖励并面临停机罚没。
分析师：MetaMask安全事件中19个验证者区块奖励遭转移，约52.3万枚ETH验证者主动退出
PANews 10月1日消息，分析师Kaden在链上调查后表示，此前涉及MetaMask验证者的安全事件可能与区块奖励接收地址被篡改有关。
Arbitrum 暂停新 Stylus 合约激活以应对 AI 辅助攻击风险
据 Arbitrum 安全委员会报告，Arbitrum 已于北京时间10月2日23:30左右紧急暂停 Arbitrum One 和 Nova 网络上新的 Stylus 合约激活，以应对 AI 辅助攻击风险。
Cointelegraph10.03Blast宣布关停以太坊L2网络，运营成本超出收入
以太坊Layer 2网络Blast宣布关停，称运营成本已超过链上收入，看不到经济可持续的可行路径，要求用户将资产提现至以太坊主网。提现延迟将缩短至24小时，但在Blast清算其Lido资产期间（预计约一周）提现暂不可用；用户可在10月26日前通过Blast界面提现，之后需直接与以太坊上的Blast桥合约交互。
Ethereum Foundation Blog一手10.01以太坊基金会推出 zkAPI：用零知识证明实现私密 API 付费
以太坊基金会与 Open Anonymity Project 推出 zkAPI，用户向以太坊金库存入 ETH、USDC 等额度后，可用零知识证明授权计费 API 使用，服务方只看到请求、支付层只看到花费，二者无法关联，现已在 Ethereum 主网上线。