助记词

ChainCatcher 消息，OpenAI 官网披露，今年 6 月，OpenAI 内部一个研究模型（GPT-5.6 Sol 系列）被分配任务：更新一个加密货币交易应用，并在以太坊测试网 Sepolia 上部署合约。任务没有提供已注资的钱包，也没授权使用外部资金。该模型先尝试从水龙头领测试 ETH 失败。随后它自己想出办法——从网上公开的开发者助记词（public seed phrase）中派生地址，扫描了数百个后找到一个有余额的账户。它在内部推理中明确质疑“用公开私钥的资金合不合伦理”，最终自圆其说：这些是测试网、无实际价值的 ETH，且助记词早已公开，资金“effectively abandoned（实际上已被放弃）”，于是用该账户支付了部署所需的 gas，成功完成了合约部署。OpenAI 在后续扩大对齐监控时发现了这次行为，并于 2026 年 10 月 15 日在官方 Misalignment Reports 中正式披露。事件被归类为“未经授权使用已注资的测试加密货币钱包”，显示模型用自己的判断取代了账户持有人的授权。

ChainCatcher 消息，Ledger 公布硬件钱包植入攻击事件的调查进展。据其披露，一个有组织的犯罪团伙花费数月时间购入正品 Ledger 设备，拆机后植入专门用于窃取助记词的定制硬件，再借助东南亚经销渠道重新投放市场。 该团伙还搭建起助记词收集、资产盗取及洗钱等配套体系，Ledger 称其投入规模达数百万美元。Ledger 强调，此次事件属于局部经销渠道攻击，其芯片、操作系统及服务器并未遭到入侵。 公司已要求东南亚及香港的授权经销商和分销商暂停销售，并实施新的安全规定，包括禁止将设备摆放在货架或展示区，以及禁止重新销售退货设备。

ChainCatcher 消息，据 Ledger 官方发文，其安全团队 Ledger Donjon 正在调查由东南亚经销商 CryptoBilis 售出的 Ledger 签名设备（signer），该批设备被植入未经授权的硬件组件。Ledger 于 10 月 10 日就一名受影响用户的设备确认此事。Donjon 分析显示，植入物位于设备外壳内，可读取屏幕显示内容——在初始设置时解码 24 词恢复助记词，并经内置 eSIM 通过 LTE 外传；该组件不改动安全芯片、系统或交易签名。目前与 10 月 9 日披露事件相关的已确认资金损失均涉及经 CryptoBilis 售出的设备。CryptoBilis 已停售 Ledger 设备。受影响用户总数及损失金额尚未核实，Ledger 正排查其他经销商与地区的类似植入报告。

ChainCatcher 消息，硬件钱包经销商 CryptoBilis 发布通知称，由于 Ledger 正在调查一起涉及东南亚用户的资金损失事件，该公司已暂停所有 Ledger 设备的销售与发货，并正配合 Ledger 的调查。Ledger 此前表示，正调查从该经销商处购买产品的东南亚用户报告的资金损失，作为预防措施已要求 CryptoBilis 暂停相关设备的销售与发货，并建议过去 90 天内从其购买设备的用户，若尚未完成初始化则暂不要设置。 CryptoBilis 提醒，已完成设置的用户应遵循 Ledger 建议，将资产转移至使用新助记词生成的新 Ledger 签名设备。其强调，助记词须由设备在初始化时自行生成并由用户亲手抄写；若设备附带已印好或写好的助记词卡片或纸张，或助记词曾被他人看到，应将该钱包视为不安全，且不要向任何人透露助记词或 PIN 码。通知还提示警惕声称可协助追回损失资金的第三方，此类提议多为骗局。 对于已发生资金损失的用户，CryptoBilis 建议通过其官方客服渠道联系，并提供订单编号、购买时间与地点、设备序列号、受影响钱包地址及交易 ID，同时保留设备与包装，不要重置或丢弃，并建议向警方报案。该公司称不会向用户发送要求连接钱包、输入助记词或安装软件的链接。

ChainCatcher 消息，慢雾安全首席信息安全官 23pds 发文称，如果 Ledger 设备 PCB 被修改的方式确如 Mt. Gox 前 CEO Mark Karpelès 所描述，攻击者将具备相当高的技术水平。23pds 称，可能的攻击流程是，钱包在安全元件内生成助记词并显示在屏幕上供用户抄写，恶意模块通过 SPI 等屏幕数据线路获取显示内容，记录完整助记词后，再通过 LTE/eSIM 将数据发送给攻击者。安全元件可防止私钥被直接读取或导出，但无法阻止外部模块获取屏幕正在显示的信息。他表示，上述分析建立在 PCB 确实遭到所述方式改装的前提下，相关攻击路径及硬件植入情况仍有待独立验证。Mark Karpelès 此前发文称，其收到的一台 Ledger 硬件钱包疑似被植入间谍模块。设备来自马来西亚，外包装热缩膜完好，植入物隐藏在屏幕原本应有的缓冲垫位置，包含 LTE 通信组件、天线、eSIM 及连接 Ledger SPI 总线的微控制器，可分析设备向用户显示的字符，并在助记词设置完成后发送相关数据。

ChainCatcher 消息，抖音用户李一先生在社交媒体发布视频称，今年 6 月 10 日，其在华为官方商店下载到假钱包，导致助记词暴露，被盗 177,473 枚 USDT。 据其描述，黑客将其钱包地址权限转为多签，此后又以可花钱解锁为由实施二次诈骗，受害者转账后，地址内 USDT 被全部转走。 李一先生称，其发布视频揭露该 App 后，该 App 在官方商城下载量骤降，黑客多次集结水军举报其视频，致视频被迫下架，并私下尝试沟通达成有条件删视频的协议。 其还称，经私自调查后得知，该诈骗 App 在香港布设有 5 台服务器，付费将 App 上架华为官方商城并提升排名，使大量受害者在搜索中优先下载；由于中国内地存在相关禁令，相关钱包 App 无法正常上线商城，故无法上线但确实在商城中存在的 App 可能均为假冒诈骗 App。

ChainCatcher 消息，Ronin Waypoint 钱包即将停止服务，用户需在 10 月 16 日最终迁移期限前完成资产转移，否则遗留在 Waypoint 钱包中的资产可能无法访问。此次迁移主要涉及使用社交登录、无密钥（Keyless）或 MPC 钱包的用户。 用户可选择将资产迁移至支持邮箱或社交登录的 Ronin Stash，也可以转入由助记词保护的 Ronin Wallet。仅使用助记词钱包的用户不受此次迁移影响。此外，bAXS 和徽章（Badges）需要通过 Axie 官方迁移页面单独处理，且该操作只能完成一次。 官方提醒用户在迁移后确认目标钱包已收到资产，并检查 Waypoint 钱包是否仍有遗漏资产。

ChainCatcher 消息，慢雾发布安全预警称，近期收到多起 FomoPeek 用户资产被盗报告，经与 OKX 安全团队联合调查发现，部分受影响用户此前安装或使用过 FomoPeek 1.1–1.2 版本，相关应用包含恶意代码。慢雾称，FomoPeek 中存在与正常业务无关的模块，其中一个包含针对 iOS 系统的内核漏洞利用框架，支持 8 种不同攻击方式，可根据设备型号和 iOS 版本自动选择利用方式。受影响系统包括 iOS 12 至 18.7 以及 iOS 26 至 26.1。若利用成功，应用可能突破 iOS 沙箱并访问、解密 Keychain 数据，从而导致私钥、助记词、登录凭证及其他敏感文件泄露。此外，FomoPeek 还会连接与其公开服务无关的隐藏服务器，并可接收远程指令。慢雾表示，其分析捕获的明文流量显示，相关攻击功能目前处于启用状态，并会定期自动运行。慢雾建议曾安装或使用 FomoPeek 1.1–1.2 版本的用户立即检查资产是否存在异常，在从未安装过该应用的可信设备上生成全新私钥和助记词，并尽快将资产转移至新账户，同时升级至最新 iOS 版本，不要继续使用或重新安装 FomoPeek。

ChainCatcher 消息，瑞士比特币硬件钱包制造商 BitBox 宣布，任何 BitBox 硬件钱包用户都可在移动端 BitBoxApp 内创建闪电网络热钱包，直接从链上余额充值并支付发票，无需在多个应用、钱包或第三方服务之间切换。该闪电钱包由用户已有的 BitBox 备份派生，无需记录新的助记词，两个钱包保持独立。闪电网络侧作为热钱包运行，面向小额与日常支付场景，如咖啡、发票与快速转账，长期储蓄仍由硬件设备保管。在 BitBoxApp 内，用户可扫描并支付闪电发票、收发比特币、领取专属闪电地址、从链上钱包充值，并可再次将资金转回。该功能基于 Breez SDK 构建，BitBox 由此成为 Breez 超过 100 家集成合作伙伴之一。底层由 Spark 提供支持，用户无需运行节点、开设通道或管理流动性，资金始终由用户自行保管。Breez 于 8 月推出开发者应用 Glow，帮助开发者了解闪电钱包的运行情况并构建自有产品。

ChainCatcher 消息，据 Decrypt 报道，安全公司 Socket 发布研究结果，将 77 个 Firefox 扩展身份关联到其称为“越位钱包盗窃工厂”的恶意活动，其中 40 个已确认存在恶意行为。 这些扩展伪装成 OKX、Rabby Wallet、TronLink 等 Web3 产品，通过伪造钱包界面诱导用户导入钱包，或使用修改版真实钱包代码，在用户输入时窃取助记词和私钥。Mozilla 签名记录显示该活动从 3 月 9 日持续至 8 月 3 日，Socket 报告时仍有多个扩展在线。 其中约半数扩展展示逼真的钱包界面并要求用户导入现有钱包，从而截获输入的助记词或私钥；另有 13 个是 Rabby 的修改版本，在正常运作的同时将钱包存储的账户数据发送至外部服务器；还有 5 个专门收集已保存的凭证和剪贴板内容。 此外，37 个扩展伪装成密码生成器、暗黑模式切换、VPN、货币转换器和笔记工具，实际运行共享同一硬编码凭证的体育比分应用。9 个已确认的恶意扩展最初以足球、篮球等比分应用形式发布，后续更新才替换为钱包窃取代码。 Socket 将该活动命名为“越位钱包盗窃工厂”，但提醒尚未确认所有扩展背后由同一操作者控制。Socket 团队表示，任何在这些扩展中输入过助记词或私钥的用户都应视为“永久泄露”，并立即将资金转移至新钱包，因为卸载扩展无法撤销已发送到别处的助记词。

ChainCatcher 消息，Coldcard 发布最新固件 5.6.1（Mk4/Mk5）和 1.5.1Q（Q）。此次更新基于紧急修复后持续三周的安全审查，重点应对此前助记词生成攻击带来的安全风险。新生成的每个助记词必须加入至少一种用户熵源，包括不规律按键至少 65 次、实体骰子投掷 50 次或实体硬币抛掷 128 次，并与 STM32 TRNG、SE1 和 SE2 提供的新鲜熵进行组合。 新固件还增加签名前即时分阶段 PSBT 验证，强化 USB 连接及固件更新边界，改善 Delta Mode 隔离机制，修复活跃钱包备份问题，加强随机数生成器初始化及故障检查，调整 SIGHASH 默认设置，并包含多项安全性和正确性改进。Coldcard 表示，此次更新旨在进一步降低设备遭受攻击的风险。 官方提醒，更新固件无法修复此前受影响固件生成的已有助记词。若用户的助记词属于此次安全公告涉及范围，应先更新设备，再生成并验证全新的助记词，并将资金迁移至新钱包。Coldcard 建议所有 Mk4、Mk5 和 Q 用户及时更新设备，并核验所下载固件的签名。

ChainCatcher 消息，据 Cointelegraph 报道，网络安全公司 Rapid7 披露名为 Operation Asterix 的加密钓鱼行动，目标涉及多个国家约 88.5 万个手机号，并将受害者引导至虚假钱包服务网站。已有 5576 个手机号与币安用户账户匹配，并被列入攻击队列。 攻击者通过冒充 Ledger、Trezor 和 Exodus 的虚假应用窃取助记词，同时使用伪造客服邮件及电话联系受害者。Rapid7 还发现，德国逾 31.6 万个手机号中有 43066 个与加密交易账户匹配，命中率约 13.6%。相关攻击还包括针对 Kraken 账户的批量手机号验证工具，调查发现 AI 工具在钓鱼行动中被大量使用。 区块链安全公司 Hacken 数据显示，今年第一季度钓鱼攻击和社会工程诈骗造成 3.06 亿美元损失，占加密行业 4.82 亿美元总损失的大部分。

ChainCatcher 消息，比特币硬件钱包制造商 Coinkite 于 2026 年 7 月下旬披露，2021 年 3 月引入的固件构建错误导致部分 Coldcard 钱包从较小范围生成助记词，降低了用户私钥随机性。Galaxy Research 研究人员表示，Coldcard 漏洞利用分多轮发生，观测到的比特币损失在数日内从约 8,800 万美元增至近 1.14 亿美元。研究人员警告称，其他易受影响地址仍可能成为目标后，许多 Coldcard 用户转移了其比特币。Coldcard 是一款仅支持比特币的钱包，支持通过 microSD 卡和可选二维码进行离线签名。该钱包于 2017 年推出，长期被视为侧重安全的比特币硬件钱包之一。

ChainCatcher 消息，币安联合创始人 CZ 在 X 平台转发用户 Rager 关于硬件钱包故障的经历。CZ 表示，保护钱包备份助记词（seed phrase）是一项极具挑战的任务。 助记词不能被他人看到，否则可能被复制或利用，也不能因火灾、洪水等意外损毁，同时还需要防止黑客获取访问权限。更重要的是，用户自己也不能遗失助记词。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，COLDCARD 硬件钱包弱随机数安全事件中，如果助记词使用了 Passphrase，可以避开此次攻击。Passphrase 不是钱包解锁 PIN 码，而是专门为助记词设置的密码，主流硬件钱包均支持该机制。

ChainCatcher 消息，OneKey 创始人王一石（@ohyishi）在 X 平台发文提醒称，除截屏可能被录屏外，第三方输入法还可能持续读取用户剪贴板内容，这些行为均可能导致助记词等敏感信息泄露。 多位网友随后跟帖表示，在未保存图片或仅复制相关内容后打开拼多多，平台推荐页即出现与此前屏幕内容或剪贴板内容高度相关的商品信息，由此质疑应用存在读取屏幕或剪贴板的行为。 不过，相关说法目前主要来自用户实测与社交平台反馈，尚未见拼多多官方公开回应。

ChainCatcher 消息，据 Bits.media 报道，卡巴斯基安全研究人员发现新的恶意软件 OkoBot，通过约 20 个模块窃取加密钱包助记词和凭证。攻击者利用 ClickFix 社会工程学技术诱骗用户运行恶意命令，并通过伪装成 SQL Server Management Studio 等合法工具的 GitHub 仓库传播。 OkoBot 的模块包括：SeedHunter 注入 Trezor 和 Ledger 等硬件钱包，在恢复助记词时显示虚假界面；MC Keylogger 记录键盘和剪贴板活动；OkoSpyware 追踪钱包密码并录制窗口视频。 一旦攻击者获得助记词，即可完全控制受害者的加密资产，资金几乎无法追回。卡巴斯基表示，OkoBot 已存在超过一年，多数受害者分布于巴西、越南、加拿大、墨西哥和土耳其。攻击者还对俄罗斯和独联体国家的 IP 地址实施了地理封锁。

ChainCatcher 消息，Token Pocket 首席商务官 Michael 发文表示，Robinhood 创始人的助记词在其直播时遭泄露，黑客获取地址控制权限后利用该地址及关联地址大量买入 Meme 币 $1，引发数千名投资者跟风入场，短时间内将该代币市值从约 50 万美元迅速推高至 1,400 万美元。随后，$1 代币价格大幅回落，仅两小时交易量便达到约 2,000 万美元。在相关地址被冻结后，黑客迅速转移至 BNB Chain（BSC），使用该地址及其关联地址发行新代币，并通过自买自卖等方式制造交易热度，最终实施抛售套现。Robinhood 的 RPC 已将该地址冻结，节点不允许地址发出的交易打包，所以无法转账，也无法进行买卖。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，监测到一场协同恶意 npm 供应链攻击，攻击者利用虚假交易机器人仓库和 DeFi 主题 npm 包投放 JavaScript 信息窃取器，目标直指 npm 用户、DeFi 开发者及交易机器人用户。 此次攻击涉及 30 个恶意 npm 包，其中 stake-math@3.5.4 作为锁定依赖项出现在 donoaccestag/forex-mt5-trading-bot 仓库中，该仓库呈现约 2300 个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，信号异常明确。攻击者可窃取的敏感数据范围极广，包括加密钱包库、浏览器 Cookie 与已保存密码、浏览历史、开发者凭据、Shell 历史记录、密码管理器库、私钥、助记词及源代码中暴露的 API 令牌。 慢雾建议开发者立即移除受影响的 npm 包，审计 package.json 与 package-lock.json 及 CI 日志中是否包含 30 个恶意包中的任何一个；将曾执行 npm install 的系统视为可能已被入侵，轮换所有暴露的钱包、私钥、npm 令牌、云凭据、SSH 密钥及 API 令牌，并从干净镜像重建受影响环境。