安全漏洞

ChainCatcher 消息，Web3 基础设施与支付网络 Diamante 发布公告称，其生态系统发生安全漏洞，涉及恶意行为者的未授权活动。发现后，团队立即启动应急安全协议，并与交易所伙伴、做市商、流动性提供商和上市伙伴协调，暂停受影响提款和转账，限制未授权资产流动，防止进一步利用。Diamante 称，调查已识别出涉嫌攻击者，正与多国执法机构、政府机构和辖区伙伴协调，寻求法律行动和资产追回。其已启动全面事件审查，以确定漏洞原因、事件顺序、受影响资产范围，并加强基础设施。Diamante 承诺确保每位受影响参与者得到全额补偿，并将在获得核实信息后继续更新事件范围、资产追回进展和保护措施。

ChainCatcher 消息，据 Bitcoin News 监测，Electrum 于 2026 年 10 月 24 日发布 4.8.3 版本，修复一项已被用于真实攻击的安全漏洞。恶意服务器可向用户展示伪造交易，并在用户尝试通过替代手续费（RBF）加快交易时，诱导其签署向攻击者地址付款的交易；攻击者无需获取用户私钥。Electrum 称已收到两起相关报告，其中一名用户在提高手续费后损失比特币，并建议用户更新至 4.8.3 版本。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。用户对交易做常规加费时，可能把资金签给攻击者。开发者称，起因是用户报告在签署加费后损失资金。两份报告结果不同：一人广播付款后发现钱包历史中的交易被替换，并称原付款未进入比特币点对点网络、被服务器扣留；另一人 Raju-K12 对替换后的交易加费并损失资金。攻击中，恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成攻击者地址。该替换交易当时签名无效，但轻客户端展示未确认交易前未核对这些签名；用户通过 RBF 手动加费并签名后，攻击者收款生效。两人均称攻击者地址与合法收款地址末四位相同。公告未公布被盗金额、交易标识或攻击者地址。补丁对应提交 90fe308，在把内存池交易写入本地历史前，核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证。公告建议未升级用户在每次签名时核对输出地址与金额；连接自有或可信服务器的客户端不受此攻击影响。时间线上，10 月 11 日首次私下披露，10 月 18 日收到加费损失报告，修复版本于 10 月 23 日打标签，二进制与公开披露在 10 月 24 日。

ChainCatcher 消息，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。该公司表示，在发现漏洞后已立即采取行动，成功阻止了未经授权的访问。目前，Keystone 已完成漏洞修复工作，并强调此次事件并未波及用户的支付详情、助记词或私钥。公司方面表示，将继续加强安全防护措施。

ChainCatcher 消息，国家信息安全漏洞共享平台（CNVD）发布《关于 PHP 远程代码执行漏洞分析及修复建议的安全公告》，其中支持受影响用户应密切关注官方信息，通过官方渠道下载并更新至最新版本，暂无法更新的用户可采取措施减少部分攻击路径，缓解漏洞威胁，持续监测 PHP 进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。 CNVD 在防护建议中表示，信息系统运营单位应进一步加强安全防护，全面梳理本单位网络资产，按照非必要不上网原则，缩小信息系统的公网暴露面；暂不具备修复条件的运营单位应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。

ChainCatcher 消息，Polygon Labs 官方公告，Bor v2.1.3 正式对外公开发布，此前已以私有版本形式向验证者及主要基础设施提供商分发。本次更新修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，均由安全研究人员通过 Immunefi 漏洞赏金计划提交。 无界 keccak256 缓存问题：攻击者可通过构造特定交易，在投机执行阶段填充数百 MiB 缓存，导致节点内存耗尽并延迟出块。修复方案为对共享缓存设置容量上限。并行执行中重复代码哈希计算问题：单笔交易可致并行处理器耗时约 11 秒，严重影响节点活性。修复方案为对代码哈希结果进行逐交易缓存。 此外，本次更新还包含多项内部加固：交易池地址过滤新增对 EIP-7702 SetCode 授权的拦截、RPC 批量执行池并发限制修复、并行执行跨自毁边界余额读取一致性修复，以及滞留待处理交易自动清理机制（默认 3 小时）。受影响版本为 Bor v2.1.1 和 v2.1.2。v2.1.3 非硬分叉，节点可逐个升级，无需协调。两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。

ChainCatcher 消息，开源比特币闪电网络节点软件 Core Lightning 团队发出紧急提醒，称有报告显示攻击者正在针对尚未安装补丁的节点发动攻击，因而督促仍在运行旧版本的运营者立刻升级。该团队表示：“紧急安全更新：如果你使用的版本为 26.06.7 或更早，请尽快升级到最新的发行版。”在这之前，Core Lightning 已于 9 月 16 日开始排查一项可能影响其实验性功能、进而波及用户资金的潜在问题，并在大约六天之后推出了 26.06.8 版本。这次更新除了修复若干缺陷之外，也为经由多方负责任上报的安全漏洞提供了补丁，发布说明中点名感谢 Bitcoin Red Team 及其他 12 位个人与组织，同时向匿名报告者致意。依照变更日志，本轮修复涵盖可能导致发送方节点崩溃的故障、足以耗尽 REST 接口内存的请求，以及会在关闭支付通道时令用户资金遭遇罚没损失的一项漏洞。为了给运营者留出充足的升级窗口，防止攻击者趁机进行逆向研究与利用，该版本有意隐去了部分测试内容。而在今年 8 月，该项目还在审阅了大量由人工智能生成的通用漏洞披露报告后启动了协同修复流程，并于两天后发布 26.06.7 版本，用来封堵经过确认的漏洞。

ChainCatcher 消息，慢雾发布安全警报称，Aave V3 Loop Safe Module 出现安全漏洞，攻击者通过伪造 Safe 身份验证并利用任意 Module 执行，从两个 Safe 多签钱包中窃取约 114.09 ETH。 攻击者通过伪造始终返回真值的 Safe 绕过认证，并利用可任意控制的 router 和 calldata 执行模块交易，转移 weETH 及 Aave 抵押品。攻击者偿还约 1300 枚 WETH 债务后解锁抵押品。

ChainCatcher 消息，Revoke.cash 表示，Limit Break 的支付处理器存在已知漏洞，曾在 Magic Eden 以太坊市场交易 NFT 的用户可能仍保留相关合约授权。该漏洞已由白帽安全研究员 0xQuit 处理，目前 NFT 资产预计未受影响，但用户仍应检查并撤销受影响的授权，以降低后续风险。

ChainCatcher 消息，Meta 旗下 AI 产品 Muse 被曝存在安全漏洞，可能危及用户数据与虚拟环境安全，公司计划加强风险提示。

ChainCatcher 消息，NFT 市场 Magic Eden 疑似出现 NFT 安全漏洞，白帽黑客从数百个钱包转移 3832 枚 NFT。 Yuga Labs 区块链副总裁 Quit 表示，此次转移属于白帽行动，相关 NFT 目前均存放在「0x71cF」开头地址中，资产处于安全状态。待风险解除，将全部归还。

ChainCatcher 消息，据慢雾安全团队披露，BonfireSwap 路由器合约因 transfer 函数存在访问控制缺失，导致约 5 万美元损失。该函数未校验调用者是否为 from 地址，也未核验调用者对 from 地址资产的授权，攻击者因此可将已预先授权路由器的用户设置为 from 地址、将自身设为 to 地址，进而转走受害者 TOKEN 并通过同代币池兑换。慢雾称，共有 41 名曾授权该路由器的 TOKEN 持有人受影响；漏洞合约地址为 0x17e801e17cefc6334059189c178d4783830e03d3。

ChainCatcher 消息，硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 在 X 平台发文称，人工智能使漏洞更容易被发现和利用，但部分研究人员在修复方案发布前就公开细节，他将这种做法称为“利用他人风险博取关注”。Guillemet 敦促研究人员先私下报告漏洞，并就修复时间表达成一致后再公开细节，他以 90 天作为常见默认期限，同时表示可根据漏洞严重程度和修复所需工作量灵活调整。Trezor 安全主管 Jan Komárek 对 Cointelegraph 表示，90 天是对厂商的承诺，而不仅仅是研究人员的义务。他建议研究人员先联系厂商、商定时间表，若厂商未能在该期限内完成修复，则可选择公开披露。此番表态的背景是硬件钱包安全性近期受到密切关注：Coldcard 被盗事件涉及金额超过 1 亿美元，Trezor 的物流供应商数据泄露也影响了数万名客户的个人信息。

ChainCatcher 消息，Polygon Labs 披露，其通过两次硬分叉修复了权益证明网络中的一批安全漏洞，相关修复在公开披露前已私下部署。据周三发布的论坛帖子，团队将修复方案打包进 Bor 客户端的 Austin 硬分叉和 Heimdall 客户端的 Kyoto 硬分叉中，两者均遵循影响共识的修复标准流程：先在 Amoy 测试网上验证，待主网激活且网络安全后再对外公开。Austin 分叉修复了区块处理中的两条拒绝服务路径，其中包括恶意区块生产者可通过填充超大字段数据使对等节点崩溃的漏洞。Kyoto 分叉则处理了更大范围的共识加固问题，其中最严重的一项漏洞允许攻击者仅凭一笔构造交易，就迫使整个验证者集合执行昂贵且协调一致的工作——该交易构建成本低廉，但网络处理代价高昂。Polygon 强调，所有漏洞均未在主网上被观察到利用，且已主动解决，两项升级现为节点运营商的强制要求并已生效，无需状态迁移或重新同步。此次披露正值 Polygon 的关键转型期，其已完成将传统 MATIC 代币迁移至 POL 的工作，作为网络架构全面改革的一部分。该消息并未提振 POL 价格，据 CoinGecko 数据，POL 周日交易价约 0.09983 美元，24 小时下跌 2.3%，过去一周下跌约 6.8%，过去一年下跌约 60.8%，市值约 10.7 亿美元。

ChainCatcher 消息，Polygon 披露近期通过 Austin 和 Kyoto 两次硬分叉修复的多个此前未公开安全漏洞，这些漏洞可能影响其权益证明网络。漏洞涉及 Polygon 的 Bor 和 Heimdall 客户端，包括拒绝服务风险、验证者资源耗尽，以及影响检查点和里程碑处理的缺陷。Polygon 表示，修复方案在部署至主网并公开披露前已完成私下测试。最严重的问题涉及 Heimdall，精心构造的交易可能迫使验证者执行过多处理工作，从而扰乱网络。Austin 硬分叉还修复了 Bor 中的两个拒绝服务风险，这些风险可能拖慢区块处理或导致节点崩溃。Polygon 表示，这些漏洞未在主网上遭到利用，修复工作已在漏洞细节公开前主动完成。

ChainCatcher 消息，Polygon 披露了近期通过两次硬分叉修复的多个此前未公开的安全漏洞，这些漏洞可能影响其权益证明网络。漏洞涉及 Polygon 的 Bor 和 Heimdall 客户端，包括拒绝服务风险、验证者资源耗尽以及影响检查点和里程碑处理的缺陷。Polygon 表示，这些漏洞已通过 Austin 和 Kyoto 硬分叉修复，修复方案在部署到主网并公开披露前已进行私下测试。最严重的问题涉及 Heimdall，精心构造的交易可能迫使验证者执行过多处理工作，从而扰乱网络。Austin 硬分叉还修复了 Bor 中的两个拒绝服务风险，这些风险可能拖慢区块处理或导致节点崩溃。Polygon 表示，这些漏洞在主网上未被利用，修复是在细节公开前主动部署的。运行旧版本客户端的节点在硬分叉激活高度后已脱离共识，必须升级才能重新加入规范网络。所有 Polygon PoS 节点需升级至 Bor v2.1.0，验证者和全节点需升级至 Heimdall v0.11.0，两项升级均已在主网生效。

ChainCatcher 消息，Cosmos Labs 发布技术报告，承认此前错误判断了 Cosmos EVM 中的一个整数下溢漏洞，导致 8 月 20 日至 25 日期间六条区块链网络遭攻击，被盗代币合计约 570 万美元。攻击者利用该漏洞将账户余额下溢至 2^256-1 的最大值，再反向操作将膨胀余额转出，从而窃取目标账户代币，过程中未凭空增发代币。报告显示，研究人员于 4 月 25 日通过漏洞赏金计划提交该缺陷，但测试人员无法在现有 Cosmos 链配置上复现，Cosmos Labs 遂于 5 月以静默补丁方式修复。独立研究者在 8 月初确认漏洞影响所有 Cosmos EVM 链后，Cosmos Labs 于 8 月 19 日发布补丁，但首次攻击在约 20 小时后即发生。具体损失方面，MANTRA 损失 7.209 亿枚代币（约 360 万美元），TAC 损失近 30 亿枚 TAC，KiiChain 损失约 1.48 亿枚 KII。MANTRA 与 KiiChain 均批评 Cosmos Labs 未提前通知受影响链并建议停机，KiiChain 称补丁需数天部署而停机只需几分钟。Cosmos Labs 表示已与 40 条链协调响应，并协助 13 条链在遭攻击前完成修复或停机。

ChainCatcher 消息，Cointelegraph 发文称，Avici 将全额退款所有受 50.0859 万美元卡片余额漏洞影响的 1685 名用户。

ChainCatcher 消息，The Sandbox 发布 SAND 跨链桥遭遇安全漏洞攻击事件更新，其表示攻击者修改验证机制后伪造跨链存款消息铸造无背书 SAND，此次事件导致约 1474.23 万枚 SAND 被提取，价值约 69.7 万美元。另有部分无抵押 SAND 通过市场交易获利，使整体经济影响约 149.7 万美元，其中攻击者实际获得约 98.7 万美元。 The Sandbox 表示，攻击未影响以太坊及 Polygon 上的 SAND 供应，以太坊 SAND 总量仍保持 30 亿枚不变，也没有超级管理员权限被盗，攻击源于代币合约中的通用调用功能与桥接权限设计结合导致的漏洞。目前，相关地址已被标记，并已与交易所、安全机构及 LayerZero 团队展开协作。 针对受影响用户，The Sandbox 承诺将按照攻击前链上快照，对持有合法桥接 SAND 的钱包以 1:1 比例补偿以太坊链上 SAND，补偿申领流程预计将在两周内开放，并持续两周。

ChainCatcher 消息，Core Lightning 维护者通知节点运营者，除非升级到尚未发布的版本，否则应关闭节点。该警告通过 Discord 传播，并由 Cashu 协议开发者 Calle 放大，称存在严重漏洞。修复二进制文件尚未发布，漏洞细节处于两周保密期。这是四周内比特币基础设施第四次安全警报。此前 Coldcard 固件漏洞已导致约 1.14 亿美元 BTC 被盗，Boltz 和 BTCPay Server 也相继出现问题。CLN 团队表示过去 10 天收到多份 AI 生成的 CVE 报告，正在加紧验证和修复。