慢雾

ChainCatcher 消息，慢雾首席信息安全官 23pds 发文表示，已确认 Coinbase 数据泄露属实，尚未确认密码或资金是否被盗。黑客获取超过 70,000 名用户的联系信息。

ChainCatcher 消息，据慢雾披露，其安全人员在日常威胁情报排查中，发现 Udesk 客服系统相关脚本 udeskApi.2026-10-16.cached.js 被植入恶意加载器。该加载器通过十六进制编码隐藏地址，异步加载远程脚本 deeps.js（来源为 udeskqlobal[.]com，注意域名以字母 q 开头）。该脚本会读取页面可访问的 Cookie、localStorage 和 sessionStorage，并拦截表单及登录、认证类请求，将数据发送至 udeskqlobal[.]com/c.php，攻击者可能借此冒用会话或接管账户。该数据收集行为不受目标站点规则限制，未匹配的页面同样可能受影响。据慢雾分析，该脚本还针对 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三类站点，每 200 毫秒扫描一次充值页面，并将识别出的充值地址替换为预设的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同时，脚本通过包装剪贴板 API、替换复制按钮和拦截复制事件，使用户看到并复制的都是被篡改的地址。用户若按该地址转账，资金将流入攻击者地址。

ChainCatcher 消息，据慢雾监测，Yapeswap 遭遇攻击，损失约 2.19 万美元。事件根源在于 WorkersUnion 治理机制的法定人数要求为零，导致一项仅获得约 0.000055% 投票权支持的提案，便将 YapeFactory 的 feeToSetter 权限转移给攻击者。 攻击者随后部署恶意 Registry 合约，使 latestVault() 返回伪造的金库地址，而 vaults() 仍列出真实金库。YapePair 将被转移的存款计入农场资产，却未收到可赎回的份额，最终造成资金损失。此次事件涉及 YapeFactory、YapePair 和 YapeWrapper 等合约。

ChainCatcher 消息，据慢雾余弦监测，用户应及时更新 iPhone 和 iPad 系统，并警惕已安装的部分 App 遭 DarkSword 投毒。 DarkSword 主要针对 iPhone 币圈用户进行定点攻击和盗币，利用 iOS 相关漏洞突破沙盒，窃取 Keychain 中的各类密码等隐私数据，以及钱包本地私钥文件、备忘录等隐私数据。

ChainCatcher 消息，慢雾发布威胁情报称，近期收到用户反馈，一个名为 sol-live 的 GitHub 仓库伪装成 Solidity 面试练习项目，但其 .vscode/settings.json 中隐藏了下载并执行远程脚本的命令，用户启动项目自定义终端配置后可能触发恶意载荷。慢雾分析显示，相关恶意载荷可收集浏览器登录数据库、钱包扩展存储及 macOS Keychain 文件，还具备扫描并上传本地文件、执行远程命令、提供交互式 Shell 访问及监控剪贴板等能力。macOS 和 Linux 环境下，需要用户主动启动恶意终端配置才会执行；Windows 端攻击链因引号处理问题尚未确认。

ChainCatcher 消息，慢雾安全预警称，PHP 于 10 月 20 日发布安全公告，披露两个可能导致远程代码执行（RCE）的严重安全漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4 评分均为 9.2。目前，PHP 官方尚未发布修复补丁，漏洞具体影响版本及利用条件仍待确认。根据现有信息，PHP 官方计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新。慢雾建议相关机构尽快排查服务器及业务系统中的 PHP 版本，重点关注公网暴露的 PHP 服务，并在补丁发布后及时升级；暂时无法升级的系统应限制访问来源，必要时采取隔离措施。

ChainCatcher 消息，据慢雾余弦监测，Qubic Wallet 或已泄露大部分私钥，通过 6 次连接即可还原私钥。

ChainCatcher 消息，安全机构 SlowMist（慢雾）发布了一份关于 DarkSword 木马后端及 iOS 攻击链的深度威胁情报报告。报告追踪了该攻击基础设施的演进过程，并揭示了其针对加密资产用户的高度危险性。 据慢雾分析，自 2026 年 3 月相关漏洞利用代码公开后，DarkSword-PROV2 于 7 月现身 GitHub，其攻击基础设施在 9 月下旬被观测到已上线运行。 慢雾团队不仅追踪了其在线基础设施，还将其管理面板与公开的 GitHub 仓库进行了关联，并拆解了漏洞利用代码、投递链及攻陷后的利用能力。报告指出了该攻击框架的几个关键发现：高度自动化的完整攻击流水线，集成了漏洞投递、设备与数据收集、数据窃取以及加密钱包资金归集功能。 广泛且深入的数据窃取能力，该工具包不仅针对钥匙串、文件和信息，还专门针对加密钱包数据，具备解密钱包数据和归集资金的能力。尽管该工具包宣称支持 iOS 13 及更高版本，但代码分析证实，其实际有效的漏洞利用窗口集中在 iOS 18.6–18.7.2 以及 iOS 26–26.1 两个版本区间。公开的漏洞组件已被武器化并整合进可部署的攻击框架中，这极大地降低了发起复杂 iOS 攻击的门槛。 针对此威胁，慢雾给出了明确的安全建议。用户应保持 iOS 系统更新，并避免点击不可信链接，因为仅在 Safari 浏览器中打开恶意页面就可能触发漏洞。如果设备曾访问过可疑落地页，用户应直接将助记词和私钥视为已泄露，必须使用从未访问过该页面的干净设备创建新钱包并转移资产。 此外，用户还需全面检查各链上的异常交易与代币授权，并立即撤销不必要的授权。

ChainCatcher 消息，慢雾发文表示，一场虚假的“Ledger 固件更新”活动正在利用近期 Ledger 供应链事件进行攻击。该钓鱼页面高度仿真，包括虚假的“Genuine check（真品检查）”页面、设备选择界面以及“立即更新”按钮。慢雾提醒，切勿通过网站链接更新 Ledger 设备，也不要在任何地方输入助记词（Recovery Phrase）。

ChainCatcher 消息，慢雾安全首席信息安全官 23pds 发文称，如果 Ledger 设备 PCB 被修改的方式确如 Mt. Gox 前 CEO Mark Karpelès 所描述，攻击者将具备相当高的技术水平。23pds 称，可能的攻击流程是，钱包在安全元件内生成助记词并显示在屏幕上供用户抄写，恶意模块通过 SPI 等屏幕数据线路获取显示内容，记录完整助记词后，再通过 LTE/eSIM 将数据发送给攻击者。安全元件可防止私钥被直接读取或导出，但无法阻止外部模块获取屏幕正在显示的信息。他表示，上述分析建立在 PCB 确实遭到所述方式改装的前提下，相关攻击路径及硬件植入情况仍有待独立验证。Mark Karpelès 此前发文称，其收到的一台 Ledger 硬件钱包疑似被植入间谍模块。设备来自马来西亚，外包装热缩膜完好，植入物隐藏在屏幕原本应有的缓冲垫位置，包含 LTE 通信组件、天线、eSIM 及连接 Ledger SPI 总线的微控制器，可分析设备向用户显示的字符，并在助记词设置完成后发送相关数据。

ChainCatcher 消息，慢雾首席信息安全官 23pds 发推称，公共 WiFi 本身不偷币。造成损失的是假 WiFi 打开的钓鱼页面，以及用户自己签署交易或导入私钥的行为。连接后访问什么网站、做什么操作，才是会不会造成资产损失的核心。此前，X 用户 Xiaoyu_184CM 发推称，在新加坡机场连接免费 WiFi 后，一个数月未交易的小号钱包被转走 3.7 枚 BNB。币安创始人 CZ 回应称，一直不建议连接公开 WiFi，但仅连接 WiFi 不至于导致钱包被盗，并询问中间是否还有其他操作。加密 KOL AB KuaiDong 猜测可能是有人专门设置免费 WiFi、路由器被改装，Xiaoyu 表示觉得应该是这种情况。

ChainCatcher 消息，据慢雾余弦监测，针对 FOMO 网页端的书签钓鱼盗币攻击正在出现。此类钓鱼网页会诱导用户完成虚假人机验证，将 JavaScript 恶意代码拖入浏览器收藏夹并保存为书签。用户随后在该书签上点击 2 至 3 次后，此前登录过的 FOMO 账号将被攻击者劫持，账号内加密资产也会被立即盗走。

ChainCatcher 消息，慢雾发布安全警报称，Aave V3 Loop Safe Module 出现安全漏洞，攻击者通过伪造 Safe 身份验证并利用任意 Module 执行，从两个 Safe 多签钱包中窃取约 114.09 ETH。 攻击者通过伪造始终返回真值的 Safe 绕过认证，并利用可任意控制的 router 和 calldata 执行模块交易，转移 weETH 及 Aave 抵押品。攻击者偿还约 1300 枚 WETH 债务后解锁抵押品。

ChainCatcher 消息，慢雾旗下链上追踪平台 MistTrack 监测指出，加密交易平台 Bitget 安全事件的攻击者此前尝试将盗取资金转入跨链 DEX 协议 Chainflip 进行转移，但遭到相关经纪商直接拒绝充值。链上处理结果显示，该笔资金未被协议方冻结，而是直接原路退回，攻击者未能成功利用该渠道完成转移。MistTrack 表示，将继续对该批被盗资金的后续链上动向保持追踪。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，iOS 27 版本之前的系统正被部分黑灰产团伙利用漏洞盗窃 iPhone 用户加密钱包。其提醒用户及时将 iPhone、iPad、Mac 等设备更新至最新版本，谨慎安装来源不明的 App，并谨慎通过 Safari 及 App 内置浏览器打开不明链接。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，Bitget 被盗事件传播广、涉案金额巨大，且相关资金很快被关联至朝鲜黑客。Circle、Tether 等机构已及时协助冻结相关资金，其中 Circle 冻结了黑客持有的 USDC。 针对 THORChain，余弦指出，THORChain 此前自身遭遇被盗事件时，也曾迅速干预其所谓的“去中心化”平台；但此次面对行业重大安全事件，却以“去中心化、无权干涉”为由回应，并将自身与比特币、以太坊相提并论，同时继续从黑客的大额跨链交易中获得手续费。 其表示，去中心化不应只是一句口号，在重大安全事件发生后，关键是分清哪些问题需要行业共同解决。他同时认为，不应轻易将 THORChain 等平台与比特币及以太坊相提并论，不同系统的去中心化程度和机制存在明显差异。

ChainCatcher 消息，据 Cointelegraph 报道，区块链安全公司 SlowMist 表示，其调查尚未将近期引发安全警告的 iPhone Safari 攻击与已确认的加密货币被盗事件关联起来。 SlowMist 向 Cointelegraph 表示，尚未独立确认有受害者因其所分析的特定 Safari 攻击样本而受损，其掌握的最强技术证据覆盖 iOS 18.4 至 18.6.2 版本。该公司称，外界流传的“iOS 13 至 26.5”受影响范围应被视为初步判断，在获得可复现的技术证据前，倾向于避免声称 iOS 26.5 受到影响。 SlowMist 指出，该 Safari 攻击复用了此前披露的 DarkSword 漏洞利用链技术，与另一项涉及 App Store 应用内嵌恶意组件的 FomoPeek 调查相互独立。Google 威胁情报团队（GTIG）曾于 3 月披露 DarkSword，称其为自 2025 年 11 月以来被多个威胁行为者使用的 iOS 漏洞利用链。

ChainCatcher 消息，Bitget CEO Gracy Chen 发文表示，Bitget 正在与独立第三方专家 Mandiant 及慢雾合作，对此次平台安全事件展开全面调查。平台将继续通过官方渠道发布最新进展。 并强调保障用户是 Bitget 当前的首要任务，用户余额保持完整，Bitget 用户保护基金将覆盖此次平台层面事件造成的影响。Bitget Wallet 属于自托管钱包，使用与 Bitget Exchange 完全分离且独立的基础设施，因此未受此次事件影响。 目前，Bitget Exchange 的充值、交易及奖励等功能仍正常运行。提币功能在额外安全核查期间继续暂停，待平台确认能够安全恢复后，将尽快重新开放。

ChainCatcher 消息，慢雾 MistTrack 更新 Bitget 黑客钱包地址，新增标记 7 个 Ripple 网络地址，余额合计约 102,926,478 枚 XRP，约合 1.57 亿美元。 此外还包括 11 个 EVM 地址及 1 个 TRON 地址。其中，EVM 地址合计持有约 67,980.25 枚 ETH、5896.58 枚 BNB、495.625 枚 WETH、218,022.9 枚 USDT 及 99,989.9 枚 USDC；TRON 地址持有约 20,593,376.5 枚 TRX。

ChainCatcher 消息，据慢雾安全预警，MemTensor 旗下 AI 记忆工具链遭到入侵。面向 LLM 与 AI Agent 的开源长期记忆库 MemoryOS (PyPI) 以及连接 OpenClaw 运行时的官方插件 memtensor/memos-cloud-openclaw-plugin (npm) 被植入跨平台 Go 二进制，该恶意程序会在包被加载或导入时触发执行。受影响版本包括：PyPI 上的 MemoryOS==2.34，以及 npm 插件 0.1.21、0.1.23、0.1.25。其中，受影响的 npm 插件还可能造成用户 prompt 内容泄露。慢雾建议采取以下处置措施：卸载或降级至已知安全版本 (npm 0.1.20、PyPI 2.33)；终止 sckit 进程；封禁相关基础设施；检查网络活动；并轮换受影响环境中的凭据。