漏洞

ChainCatcher 消息，据 CoinDesk 报道，以太坊基金会近日披露，其安全团队利用 AI 代理对以太坊验证节点运行的软件展开测试，并成功发现一个可被远程触发、导致节点崩溃的漏洞。不过，研究人员强调，在 AI 生成的大量安全报告中，人工审核仍是区分真实漏洞与误报的关键环节。 据悉，此次发现的漏洞存在于以太坊网络消息传播协议 gossipsub 中，攻击者可远程触发节点软件进入异常计算状态，导致程序崩溃并关闭，使验证节点离线，直至运营者手动重启，该漏洞已被修复并以编号“CVE-2026-34219”完成登记。 以太坊基金会协议安全团队成员 Nikos Baxevanis 称，本次事件真正令人意外的并非 AI 发现漏洞的能力，而是团队花费了大量时间去辨别哪些漏洞真实存在，哪些只是看似可信的“幻觉”。

ChainCatcher 消息，Ledger 研究人员发现，通过激光攻击可重置所有 Tangem 硬件钱包卡片上的密码。该攻击需要物理接触设备，并需约 25 万美元的实验室设备，且已流通的卡片无法通过补丁修复。

ChainCatcher 消息，Ethereum Foundation Protocol Security 团队研究人员在周四博客文章中表示，已部署一系列 AI 代理对 Ethereum 依赖的软件进行测试，搜寻加密系统、协议代码和智能合约中的漏洞。AI 代理发现的漏洞包括 Ethereum 共识客户端所用点对点层 libp2p gossipsub 中可远程触发的 panic 问题，该问题已修复并在 Github 披露为 CVE-2026-34219。研究人员称，AI 代理被组织为侦察、搜寻、补缺和验证等专门角色，用于寻找潜在攻击路径、复现故障并验证其是否适用于生产代码。Ethereum Foundation 表示，AI 没有取代安全研究员，而是改变了工作方式，使团队能够覆盖远多于人工审查的范围，但需要研究人员对大量看似可信的结论进行更谨慎判断。

ChainCatcher 消息，Summer.fi 发布 Lazy Summer Protocol USDC 金库攻击事件分析报告。攻击者在单笔原子交易中操纵两个 USDC 金库份额价格，提取约 604 万美元存款人资金。攻击核心在于金库资产净值（NAV）计算方式。攻击者向一个在 2025 年 11 月事件后被暂停但尚未完全移除的 Silo Ark 捐赠了仍保留旧有估值的代币，导致金库总资产虚增约 9.5%，份额价格被抬高，随后以虚高价格赎回并从金库真实流动性中提款。报告强调，该攻击并非合约代码漏洞，而是金库下线流程中环节缺失所致——该 Ark 存款上限已被设为零，但仍在活跃资产集中被计入 NAV。攻击者提前三个月通过多个钱包预谋积累了所需代币，并将部分获利通过 Tornado Cash 转移。事件发生后，Guardian Multisig 已暂停所有链上金库并将存款上限设为零。Lazy Summer DAO 将在未来数日讨论受影响用户补偿方案及金库重启计划。

ChainCatcher 消息，Zcash 开发团队宣布计划通过即将推出的新隐私池 Ironwood 引入形式化验证，以数学证明方式消除“无法检测的增发漏洞”风险。此前消息，Orchard 屏蔽池存在的漏洞虽已完成修复且暂无证据显示遭利用，但由于理论上无法通过链上历史确认是否曾发生隐蔽增发，因此社区决定推出全新的 Ironwood 屏蔽池，并对其协议进行全面形式化验证。

ChainCatcher 消息，安全公司 Coinspect Security 在 X 平台发文称，通过分析自 2018 年以来使用不安全代码生成的加密钱包种子，发现数千个种子曾被实际使用，仅上个月，就发现这些钱包中被盗金额高达 314 万美元，其中大部分未被报告。 部分资金存在集中转入单一地址及洗钱模式，某个受影响地址在提醒发布数小时后又转出 200 万美元，不确定是否为盗窃。Coinspect 提醒称，认为许多资产仍面临风险的用户可能位于中国。

ChainCatcher 消息，据 CoinDesk 报道，区块链安全公司 Hexens 研究人员发现 Aptos 区块链 Move 虚拟机存在"过期缓存"类型混淆漏洞，攻击者仅需约 3000 美元服务器成本，即可在模拟环境中以近 90% 的成功率发起攻击，无需验证者权限或内部知识。 研究人员在模拟测试中运行约 20 次攻击，成功 17-18 次，并验证了对 LayerZero、Wormhole、USDC CCTP 等跨链协议管理权限的潜在控制能力。 Hexens 评估，该漏洞直接威胁 Aptos 链上 DeFi、稳定币及流动性质押等协议，涉及低个位数十亿美元资产；若通过跨链桥、稳定币铸造及中心化交易所等路径扩散，系统性风险敞口最高可达 700 亿美元。Aptos 团队于 2 月 25 日收到漏洞报告后数小时内完成修复并部署至主网，目前无用户资金受损。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台发文称，curl 近日修复了 18 个安全漏洞，涉及认证绕过、内存安全和主机验证等问题，其中 1 个 libcurl 漏洞已存在约 25 年。风险不仅限于 curl 命令行，还广泛波及依赖 libcurl 的应用、SDK、容器、固件、网关及 CI/CD 环境。建议尽快升级 curl/libcurl，并排查是否使用旧版 libcurl，尤其需关注 mTLS、代理认证和连接复用场景。

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合约漏洞攻击频发，特别是部署多年历史悠久的老合约正成为攻击者重点目标，攻击者正利用 AI 技术快速发现并利用这些漏洞。 近期典型事件包括： 6月9日，部署于7年前的Token of Power（TOP）合约在以太坊上被攻击，损失约150万美元； 5月25日，部署3年的WUSD.fi合约遭攻击，损失约20万美元； 6月14日与6月18日，Aztec Network连续两次因2年前部署的老合约被攻击，总损失超过400万美元。 GoPlus Security 认为，传统审计方式难以有效覆盖历史遗留合约，采用基于 AI 的持续审计（Always-on Audit）服务可能是当前最有效的解决方案，能够在短时间内对老合约进行安全检查，在可靠性和成本之间取得平衡。

ChainCatcher 消息，慢雾首席信息安全官 23pds 发文称，研究员曝光了一类名为 Cordyceps 的 CI/CD 高危风险，微软、谷歌、Apache、Cloudflare 等头部企业的开源仓库全都实测中招。攻击者不用企业账号、不用任何系统权限，仅注册一个免费 GitHub 账号，提交一段恶意 PR、留一条评论，就能伪造审批、偷取服务器密钥、推送恶意代码，完全掌控企业代码仓库。

ChainCatcher 消息，美国全国地区检察官协会、全国助理联邦检察官协会、国际警察局长协会及全国治安官协会周二联名致信司法部及白宫，警告《数字资产市场结构 Clarity 法案》第 604 条款存在严重执法漏洞，可能使执法机构难以调查和起诉加密相关犯罪活动。信中指出，第 604 条包含宽泛的豁免条款，可能使协助加密资产流通的个人或实体规避监管追责，干扰长期以来依赖的调查与执法权限。四大组织强调，其关切并非针对单纯编写或发布软件代码的开发者，而是对可能为非法活动提供保护伞的宽泛豁免表示担忧。争议核心在于第 604 条——即“区块链监管确定性法案”（BRCA）条款，该条款原为独立法案，后被并入 Clarity 法案，旨在为非托管开发者提供安全港，明确其不属于货币传输机构。执法组织认为，此举将为加密犯罪调查设置障碍。此外，信中还指出法案多项其他条款将“降低透明度、削弱问责机制，并在反洗钱框架中制造漏洞”。同日，近百名代表全美各地教区的天主教领袖亦发出警告，称该法案可能削弱打击人口贩卖的相关保护机制。对此，白宫加密货币顾问帕特里克·维特坚持认为，Clarity 法案是一部“支持监管、支持执法”的法案，并强调美国必须主动制定标准，否则将被动接受他国规则。

ChainCatcher 消息，据美联社报道，Anthropic 的 Mythos 模型发现了美国政府机密系统的漏洞。

ChainCatcher 消息，区块链研究机构 Common Prefix 披露，黑客于 6 月 10 日利用 Secret Network 与 Axelar 跨链桥合约漏洞，伪造存款并铸造无抵押代币，随后兑换套现约 467 万美元。 此次攻击长达七天未被发现，直至 6 月 17 日一笔正常跨链转账因托管账户资金不足而失败，才暴露异常。漏洞根源在于该合约将托管模型改为铸造模型时，删除了两个负责验证转账来源的关键函数，且自 2023 年初部署以来从未进行外部审计。Secret Network 指出，Axelar 桥接基础设施未能在资产被大规模盗取前触发任何有效的异常监测或紧急暂停机制。 被盗资金已通过 Osmosis 路由至以太坊，并在 CoW Protocol 上兑换为 ETH 后，分散转入 KuCoin、ChangeNow 及 HitBTC 等交易所。目前约 67.2 万美元仍滞留在攻击者的 Axelar 钱包内。Secret Network 已要求 Axelar 冻结该地址，但遭拒绝。Axelar 方面强调，其核心协议从未受到影响，被利用的合约并非由 Axelar 开发或维护。目前 Axelar 已禁用相关跨链连接，并称正与交易所及执法机构协调跟进。

ChainCatcher 消息，跨链协议 Axelar Network 针对近期 Secret Network 相关安全事件发布说明称，社区对事件存在误解，Axelar 和 Inter-Blockchain Communication Protocol (IBC) 均未遭到攻击或破坏，受影响的代币智能合约并非由 Axelar 开发、部署或维护，Axelar 的防火墙机制也阻止了影响进一步扩散至其他链。据悉，遭利用的合约是基于 CW20-ICS20 实现的一个分叉版本，但开发者移除了两项核心安全检查，导致出现“无限铸造”漏洞。由于删除了原本用于防止此类问题的校验机制，该分叉改变了合约原有信任模型，同时未经过新的安全审计。Axelar Network 解释称，任何人都可以通过 IBC 部署用于跨链资产封装的合约，同类合约也被用于将其他链代币封装至 Secret Network。但此次事件中的 Secret 侧分叉版本因删除关键安全检查而存在漏洞，此次事件并非特有逻辑缺陷，也不是 IBC 协议本身的问题，而是第三方合约修改后引入的安全风险。

ChainCatcher 消息，针对 BNB Chain OLPC/LABUBU 流动性池遭遇攻击的相关传闻，PancakeSwap 官方发布回应公告称，平台已留意到本次安全事件相关消息，经初步核查，PancakeSwap 自身智能合约不存在安全漏洞。项目团队仍在持续深挖事件完整诱因，后续掌握更多线索后会第一时间对外同步最新调查进展。同时官方提醒用户，一切相关事件资讯以 PancakeSwap 官方渠道发布内容为准。

ChainCatcher 消息，Starknet AMM 协议 mySwap 发文披露，其 mySwap CL 协议遭遇漏洞攻击，导致流动性池中约 30 万美元被抽走。官方表示，mySwap 接口已关闭超过 6 个月，不再接受新的流动性注入，受损资金主要为分散在 10 万多个仓位上的剩余 LP 头寸。攻击者利用桥接窃取的资金，并使用 Railgun 混淆了资产流向。此次攻击几乎耗尽了协议中所有剩余流动性。

ChainCatcher 消息，RetoSwap 在 X 平台发文披露，团队于今日凌晨 2:02（北京时间）收到 Haveno 交易协议正被攻击的报告，立即通过过滤器功能将最低客户端版本设置为 2.0 版本并暂停交易，并封禁了攻击者的 onion 地址。RetoSwap 表示，团队并未受到攻击，漏洞在 Haveno 协议层面。损失似乎限于大额加密资产挂单，法币交易者未受影响。团队正在评估帮助受影响交易者恢复的方案。交易将在协议修复后恢复。此前 5 月 21 日消息，由于 Haveno 协议出现漏洞，RetoSwap 被盗约 270 万美元资金。

ChainCatcher 消息，针对以太坊链上 Aztec Router 合约疑似遭攻击，Aztec Labs 表示已正式启动调查，同时澄清 Aztec Connect 已于三年前弃用，Aztec Labs 不持有任何管理员密钥或对系统的控制权，目前无法进行暂停或升级，因此提醒社区警惕虚假“支持”账户和私信。