遭攻击

ChainCatcher 消息，Polymarket 交易员 Car 在 X 平台发帖称，其 Polymarket 账户资产被盗约 80 万美元，所有持仓均被卖出，其朋友账户被盗约 60 万美元，并提醒用户锁定账户、暂勿与网站交互。另有多名用户在 X 平台及 Polymarket Discord 社区反映，网站前端疑似遭攻击，资产在未经授权情况下被转出，有用户称被盗约 20 万美元，也有用户称在官网收到未经授权的提现签名请求。截至发稿，Polymarket 官方尚未回应。今年 6 月，Polymarket 曾因第三方供应商被入侵遭前端钓鱼攻击，约 294 万美元用户资产被盗。

ChainCatcher 消息，Blockaid 已公布两个攻击者地址、示例攻击交易、受害合约及跨链桥地址。其中一个攻击者地址（0xaCA0...5718）目前余额约 1.1 万美元。

ChainCatcher 消息，据联合新闻报道，韩国 Coin Market 虚拟资产交易平台 Prabang 因黑客攻击出现约 1 亿韩元资产损失，已宣布暂时中断服务，并称将以公司自有资产对受损资金全额补偿。据行业消息，Prabang 于 10 月 24 日发现热钱包异常转出，随即启动应急响应并全面排查，过程中发现安全漏洞。10 月 26 日确认存在外部未授权访问后，平台已向相关机构报案，并继续调查原因与损失规模。联合新闻称，近期金融与虚拟资产行业接连出现黑客相关事件，此次为首例确认发生资产损失的案件。报道称，此事与 10 月 14 日金融当局在 AI 黑客入侵检查结果中提及的 Prabang 相关事故似为不同事件。另 10 月 27 日 Bithumb 发生针对内部系统的黑客攻击并导致员工个人信息泄露，同日部分韩元交易平台也遭遇以个人信息与资产为目标的入侵尝试。

ChainCatcher 消息，Blockaid 表示，其检测到 Avalanche 上与 Valinor Digital 相关的 Tranche Vault 正遭遇攻击。攻击者利用闪电贷铸造数量虚高的分层份额，随后赎回金库剩余的 USDC。截至发帖时，攻击者已通过约 2 笔交易从金库中转移约 101 万美元资金。

ChainCatcher 消息，据 Onchain Lens 监测，BSC 链上的预测市场平台 Predict Fun 疑似遭到漏洞攻击，约 30 万美元疑似被盗资金从多个合约经中间钱包转移至 Relay。这些资金据报在跨链后被转入 Tornado Cash。

ChainCatcher 消息，比特币原生去中心化流动性层 On Nexus 发推表示，其旧版交易平台 DotSwap V1 遭到攻击，攻击者利用遗留的服务端签名机制，在约 4 小时内从 V1 流动性池及账户中转走约 8.5 枚 BTC，价值约 68.5 万美元。

ChainCatcher 消息，据慢雾监测，Yapeswap 遭遇攻击，损失约 2.19 万美元。事件根源在于 WorkersUnion 治理机制的法定人数要求为零，导致一项仅获得约 0.000055% 投票权支持的提案，便将 YapeFactory 的 feeToSetter 权限转移给攻击者。 攻击者随后部署恶意 Registry 合约，使 latestVault() 返回伪造的金库地址，而 vaults() 仍列出真实金库。YapePair 将被转移的存款计入农场资产，却未收到可赎回的份额，最终造成资金损失。此次事件涉及 YapeFactory、YapePair 和 YapeWrapper 等合约。

ChainCatcher 消息，硬件钱包制造商 Keystone 确认其网站遭遇安全漏洞攻击，导致部分客户的地址信息与订单详情被泄露。该公司表示，在发现漏洞后已立即采取行动，成功阻止了未经授权的访问。目前，Keystone 已完成漏洞修复工作，并强调此次事件并未波及用户的支付详情、助记词或私钥。公司方面表示，将继续加强安全防护措施。

ChainCatcher 消息，据匿名安全分析师 Spreek 称，Initia 链遭到黑客攻击，大量代币被无限增发。截至目前，黑客已套现约 260 万美元，仍有更多资金正在转移。

ChainCatcher 消息，据 Blockaid 监测，WAX 网络的 WAX 多链桥正在遭受攻击，涉及 WAX、Solana 和以太坊。攻击者在 WAX 链上提取映射代币时未支付相应资产，而 Solana 和以太坊上的桥接合约仍释放了对应代币。攻击者通过 5 笔交易转移了约 52,986 枚 USDC、21,558 枚 USDT、840 枚 DAI、2.55 枚 WETH 和 0.11 枚 WBTC。目前，事件影响范围及损失是否仍在扩大尚待进一步确认。

ChainCatcher 消息，SlowMist 发布安全警报称，NEM 遭遇攻击，损失约 821,920 美元。根本原因在于 NemTokenV2 将转入流动性池（LP）的代币记入卖出量，却未验证兑换结算。攻击者利用该漏洞，重复执行转账、调用 skim() 清除转入代币及调用 flushLpSellRecycle() 的操作共 42 次，销毁流动性池原有储备并压低 NEM 储备余额，随后以被抬高的价格卖出剩余 NEM，提取 USDT。

ChainCatcher 消息，据链上调查员 vxdb 监测，加密投注平台 Gamdom 疑遭黑客攻击，涉及资产总价值约 420.8 万美元。分链损失方面，以太坊、BNB Chain、Polygon、Arbitrum、Optimism 等 EVM 网络约 220 万美元，Solana 约 96.5 万美元，TRON 约 37.5 万美元，比特币约 66.8 万美元。链上追踪显示，部分被盗资金已通过跨链桥及代币兑换转移至 Hyperliquid、THORChain 等平台。

ChainCatcher 消息，据安全机构 Blockaid 披露，UNCX 的代币归属池（vesting pool）遭到攻击，损失约 8.6 万美元。该笔攻击交易共涉及五种不同的代币，而受影响的以太坊合约目前仍持有约 325 万美元的资产。

ChainCatcher 消息，据 CoinDesk 报道，多家区块链分析公司估算，攻击者从数百个与授权经销商 CryptoBilis 售出的 Ledger 设备相关的钱包中窃取的资产最高达 9,450 万美元。Ledger 尚未确认这一总额。 硬件钱包公司 Ledger 发现，至少一台受影响设备内被植入未经授权的硬件；稳定币发行商 Tether 已冻结与该起盗窃相关的 1,000 万美元 USDT，调查人员仍在追踪资金流向。Ledger 建议 CryptoBilis 客户不要设置尚未使用的设备；已在使用相关设备的客户应将资产转移至新设备，并生成新的恢复短语。

ChainCatcher 消息，据 GoPlus 安全团队披露，Base 链上一个未被项目方公开认领的金库合约遭攻击，攻击者通过 Safe 多签将恶意合约加入借贷白名单，提取 1783 枚 aBaswstETH 并在 Aave V3 赎回约 1783 wstETH，损失约 600 万美元。据悉，攻击源于多签治理与访问控制失效，项目团队遭攻击前 25 天未对该财库合约执行 Safe 交易，可能遭社会工程学攻击或内部勾结；Aave 核心合约和 Base 链本身未受影响。截止发稿，遭攻击金库内仍有约 3170 万美元资产处于风险中。

ChainCatcher 消息，据 Spot On Chain 监测，Base 链上某金库遭攻击，损失已扩大至约 600 万美元，涉及约 1783 枚 wstETH。攻击者通过将新合约添加至金库白名单，从金库借出 aBaswstETH，并将相关资产转移至攻击者控制的合约。

ChainCatcher 消息，据安全公司 Blockaid 监测，Base 链上某金库正遭受攻击。攻击者通过将一个全新合约添加至金库白名单，随后从中借出 aBaswstETH 并转移至攻击者合约。目前该攻击仍在持续，已有约 4 笔交易导致约 202 万美元资产被盗。

ChainCatcher 消息，Bybit CEO Ben Zhou 在接受土耳其媒体 Fintechtime 采访时表示，回顾 2025 年 Bybit 遭攻击事件，其中一个问题是使用了第三方服务提供商，并在该第三方相关体系中集中存放了过多资产。Zhou 表示，此后 Bybit 已全面调整安全政策，转向零信任模式，同时将钱包分散至不同架构，并加强本地与全球业务的隔离，以降低单次攻击影响大量资产的风险。他还表示，Bybit 希望未来将土耳其业务发展为涵盖加密交易、支付、全球转账及更多投资产品的超级应用。

ChainCatcher 消息，针对此前 FlashLoopAdapter 漏洞导致两个 Safe 多签损失约 114 ETH 一事，Aave 创始人 Stani Kulechov 表示，出现漏洞的合约并非 Aave v3 合约，而是构建在 Aave 之上的第三方外部适配器，对 Aave v3 本身没有影响。 此前慢雾披露，FlashLoopAdapter 存在访问控制漏洞，攻击者利用该漏洞绕过权限检查并从两个启用该模块的 Safe 多签中转出资产，最终造成约 114.09 ETH 损失。

ChainCatcher 消息，开源比特币闪电网络节点软件 Core Lightning 团队发出紧急提醒，称有报告显示攻击者正在针对尚未安装补丁的节点发动攻击，因而督促仍在运行旧版本的运营者立刻升级。该团队表示：“紧急安全更新：如果你使用的版本为 26.06.7 或更早，请尽快升级到最新的发行版。”在这之前，Core Lightning 已于 9 月 16 日开始排查一项可能影响其实验性功能、进而波及用户资金的潜在问题，并在大约六天之后推出了 26.06.8 版本。这次更新除了修复若干缺陷之外，也为经由多方负责任上报的安全漏洞提供了补丁，发布说明中点名感谢 Bitcoin Red Team 及其他 12 位个人与组织，同时向匿名报告者致意。依照变更日志，本轮修复涵盖可能导致发送方节点崩溃的故障、足以耗尽 REST 接口内存的请求，以及会在关闭支付通道时令用户资金遭遇罚没损失的一项漏洞。为了给运营者留出充足的升级窗口，防止攻击者趁机进行逆向研究与利用，该版本有意隐去了部分测试内容。而在今年 8 月，该项目还在审阅了大量由人工智能生成的通用漏洞披露报告后启动了协同修复流程，并于两天后发布 26.06.7 版本，用来封堵经过确认的漏洞。