安全

ChainCatcher 消息，比特币钱包 Electrum 官方宣布发布 4.8.3 版本，称本次更新修复一项严重安全问题，并敦促所有用户升级。官方表示，漏洞的详细说明将于晚些时候公布。其 GitHub 更新日志将 4.8.3 标注为安全更新，发布日期为 10 月 23 日。Electrum 官网提醒，用户应仅从官网下载软件，并核验 GPG 数字签名，以确认安装包来源及完整性。

ChainCatcher 消息，国家信息安全漏洞共享平台（CNVD）发布《关于 PHP 远程代码执行漏洞分析及修复建议的安全公告》，其中支持受影响用户应密切关注官方信息，通过官方渠道下载并更新至最新版本，暂无法更新的用户可采取措施减少部分攻击路径，缓解漏洞威胁，持续监测 PHP 进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。 CNVD 在防护建议中表示，信息系统运营单位应进一步加强安全防护，全面梳理本单位网络资产，按照非必要不上网原则，缩小信息系统的公网暴露面；暂不具备修复条件的运营单位应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。

ChainCatcher 消息，零知识证明基础设施 Succinct 已修复其 SP1 中的一个安全漏洞，该漏洞可能导致无效证明被判定为有效。 据 The Defiant 报道，缺陷存在于 6.0 至 6.8.0 版本的原生 Rust 验证路径中，通过 Solidity 验证器执行的链上 Groth16 与 Plonk 验证不受影响。

ChainCatcher 消息，美国证券交易委员会（SEC）公布 2027 财年检查重点，将继续对超过 3.4 万家注册机构开展风险导向型检查，重点覆盖投资顾问、基金、经纪商、清算机构及其他市场参与者。 SEC 表示，2027 财年将重点关注投资顾问受托责任和利益冲突、零售投资者保护、私募基金与私人信贷、经纪商反洗钱及交易监督、运营韧性与网络安全等领域。新兴技术和市场基础设施也被列为重点。 其中，SEC 将关注包括“超级智能”在内的先进技术对市场运行、合规、欺诈防范和投资者保护的影响，同时评估国债清算改革、代币化及相关市场结构变化带来的风险。

ChainCatcher 消息，Cysic 发布跨链桥安全事件进展，表示计划于 10 月底前从基金会储备中销毁 720 万枚 CYS，以抵消未经授权增发造成的影响，并使代币供应量重新符合其代币经济模型。

ChainCatcher 消息，据 Digital Asset 报道，安全平台 OpenSourceMalware 在 10 月 21 日的节目中披露，朝鲜关联黑客组织使用名为 Contagious Interview 的手法，以加密行业招聘为诱饵，通过 LinkedIn 联系求职者，并邀请其访问私有代码仓库、安装开发任务所需的软件包。攻击者在仓库中设置 .npmrc 配置文件，使 npm 从指定外部软件包仓库而非公共注册表下载依赖，从而可能在安装过程中执行恶意代码，并降低被公开安全扫描发现的概率。OpenSourceMalware 联合创始人 Paul McCarty 表示，近期观察到攻击者采用此类手法。目前尚未披露具体受害者数量、受影响企业或数字资产损失金额。

ChainCatcher 消息，赵长鹏发文表示，没有任何加密钱包能够做到绝对安全，也不存在完全没有漏洞的软件或 100% 安全的技术。 他指出，任何行动都存在风险，不采取行动同样如此，过程中也难免遇到问题、挫折和需要解决的难题。赵长鹏建议用户及时了解最新情况、做好风险管理，并积极解决问题。

ChainCatcher 消息，Dragonfly 管理合伙人 Haseeb Qureshi 发文称，网络安全领域正出现“类似新冠疫情”的攻击浪潮。他认为链上黑客事件是网络安全的“金丝雀”，因为链上是网络攻击最容易变现的场所。他援引 DefiLlama Research 数据称，链上被黑事件数量急剧上升，但被盗金额的年化规模与 2025 年大致相当，每起事件的损失下降。他表示，小型协议大多已被攻破，大型协议则借助 AI 工具加强防护。他预计更广泛的互联网领域也将出现类似情况。

ChainCatcher 消息，Vitalik Buterin 在 X 平台发文表示，他并未预测防御会自动领先于进攻，而是认为网络安全最终将走向有利于防御的终局，但过渡过程会很艰难。他指出，“好人在已发布软件中先于坏人发现漏洞”并不属于防御占优的博弈。要让博弈真正偏向防御，需要在方法论上做出更深层的转变，包括形式化验证、激进缩减可信计算基（TCB）等，而目前这些转变才刚刚起步。他还表示，这也是他对放缓或暂停 AI 发展持友好态度的重要原因，并呼吁将超过 1% 的 GDP 投入网络安全、生物安全和物理世界的加固。

ChainCatcher 消息，加密钱包备份公司 Vault12 向美国证券交易委员会（SEC）提交意见函，指出 SEC 拟议的代币安全港框架未能充分消除中心化交易所的上币顾虑，交易平台仍担心未来可能遭 SEC 追溯挑战代币的法律地位。Vault12 于 2018 年通过未来代币协议向 38 名投资者募集 1745 万美元，其发行的 Vault Guardian Token（VGT）至今未登陆任何中心化交易所，该项目已履行或正式放弃白皮书中的所有承诺，但此前接洽的交易所仍要求确认 SEC 未来不会认定 VGT 继续受原投资合同约束。美 SEC 于今年 8 月提出的《Regulation Crypto Assets》方案拟为代币融资提供豁免，并允许符合条件的项目通过安全港机制终止代币与原投资合同的关联。Vault12 建议增设 60 天异议期，若 SEC 未在期限内提出异议，符合条件的申报应对该机构产生最终效力，但欺诈或重大虚假陈述等情况除外。

ChainCatcher 消息，CrowdStrike 与英伟达扩大在人工智能智能体安全领域的合作，将安全防护从软件层面延伸至芯片层面。

ChainCatcher 消息，Anthropic 最近向美国国会议员提交一份 AI 安全法案草案，遭美国 AI 安全派质疑。草案对政府紧急叫停危险模型设置较高门槛，风险须涉及生物武器、网络攻击或 AI 失控等情形，并可能造成超过 50 人死亡或重伤，或超过 10 亿美元损失；部分条款还可能限制州政府监管权限。AI 安全组织 Encode AI 战略负责人 Nathan Calvin 随后梳理 Anthropic 过去一年的决定。今年 2 月，公司修改原本严格的安全政策：过去承诺若安全措施跟不上模型能力就暂停训练或发布，新政策不再要求公司在更高风险阶段独自停止研发，理由是竞争对手可能趁机超车。同期公司投入巨额算力、组建芯片团队，并让 Claude 承担更多 AI 研发任务。10 月 21 日，Anthropic CEO Dario Amodei 在 X 上发长文反驳。他承认公司犯过一些错误，但坚持争夺最先进 AI 能力并未违背安全使命，并称公司奉行向上竞赛，只有保持在技术最前沿，才有能力推动行业提高安全标准。他列举九项曾让公司付出商业代价的安全决定，包括将 Mythos 级模型限制开放数月，以及严格限制生物学相关请求。公司 10 月 19 日更新的安全路线图称，现有政策主要针对危险模型部署，未来可能需要直接限制研发速度，并计划在 2027 年 1 月 15 日前提出相关政策方案，或解释为何没有提出。

ChainCatcher 消息，慢雾安全预警称，PHP 于 10 月 20 日发布安全公告，披露两个可能导致远程代码执行（RCE）的严重安全漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4 评分均为 9.2。目前，PHP 官方尚未发布修复补丁，漏洞具体影响版本及利用条件仍待确认。根据现有信息，PHP 官方计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新。慢雾建议相关机构尽快排查服务器及业务系统中的 PHP 版本，重点关注公网暴露的 PHP 服务，并在补丁发布后及时升级；暂时无法升级的系统应限制访问来源，必要时采取隔离措施。

ChainCatcher 消息，数字银行 Revolut 在 X 平台发文表示，目前正遭遇服务中断，影响旗下多项服务。公司确认所有客户的资金和数据均安全。Revolut 表示，自当日上午发现问题以来，团队一直在修复，并对受影响用户及造成的不便表示歉意。

ChainCatcher 消息，以太坊流动性质押协议 Lido 的工程负责人 Dmitry Gusakov 在开发者会议 ACDC #189 上警告，Glamsterdam 升级引入的一次性构建者（builder）接入机制可能干扰质押协议现有的存款保护逻辑，导致质押存款被劫持。该问题涉及共享同一验证者公钥的多笔存款。根据以太坊现行存款规则，首个有效存款会确定提款凭证，质押协议通常利用这一特性防范凭证被操纵，例如先存入少量 ETH，待验证者以预期凭证出现后再补足剩余资金。而 Glamsterdam 为构建者引入的特殊接入机制，在分叉过渡期间可能改变同一公钥下后续待处理存款的解读方式，使质押协议面临第三种结果：验证者未出现，存入的 ETH 被记入构建者名下。Lido 提出的修复方案是在一次性接入过程中保留验证者存款与构建者存款的区分。但核心开发者以时机为由拒绝了该修改，主要原因是 Sepolia 测试网已按现有规范激活，Hoodi 客户端版本也在准备中，此时更改行为可能需要重新部署 Sepolia 并进行额外测试。该问题影响的是分叉过渡期的接入流程，而非持续的存款处理规则，但其后果可能波及排队等待中的存款。

ChainCatcher 消息，OpenAI 首席执行官奥特曼上周向员工介绍了三种安全开发超级 AI 的方案。第一种是建立类似国际原子能机构的全球监管组织，检查先进模型并审计安全措施。知情人士称，奥特曼倾向于这条路线。第二种效仿欧洲核子研究中心，让各大 AI 实验室合并到一个组织，或通过统一机构共同研发，而不是继续各自竞速。第三种最极端，被他称为「Eliezer 方案」：一家 AI 公司率先实现递归自我改进，再凭借压倒性经济实力控制算力，使其他开发者无法追赶。奥特曼用「熔毁其他所有公司的 GPU」描述这一设想，同时表示该方案非常糟糕，只是为了把可能性讲全。「熔毁 GPU」的设想来自 AI 安全研究者 Eliezer Yudkowsky。他在 2021 年提出思想实验，让超级 AI 制造能够自我复制的纳米机器以熔毁全球 GPU，并表示这只是说明干预力度的极端例子，并非主张执行的方案。OpenAI 在 2023 年提出过建立「AI 版国际原子能机构」，Google DeepMind 负责人 Hassabis 也曾主张设立「AI 版 CERN」。目前 OpenAI、Google 和 Anthropic 计划在今年底或明年初成立联合安全标准组织，但在模型安全测试责任归属上存在分歧。奥特曼希望为 AI 研发设定速度限制，同时表示 OpenAI 眼下不能把竞争优势让给对手。

ChainCatcher 消息，据区块链安全机构 Salus 监测，Aztec Connect 攻击者于 10 月 19 日分 30 笔交易，向 Tornado Cash 存入 1,255.8 枚 ETH（约 301 万美元）。批次为 12 笔 100 ETH、5 笔 10 ETH、5 笔 1 ETH 和 8 笔 0.1 ETH。攻击者 6 月 14 日利用已弃用的 Aztec Connect 合约中的结算验证漏洞，盗取约 219 万美元资产，包括 908.987 枚 ETH 以及 DAI、wstETH 和 Yearn 金库代币。资金持有约四个月后，攻击者于 10 月 19 日赎回金库代币，将代币资产换成另外 346.767 枚 ETH。目前被盗的 6 种 ERC-20 代币余额已全部清零。

ChainCatcher 消息，美国国土安全部（DHS）于周一指示美国民事机构从政府 IT 系统中移除中国 AI 公司 DeepSeek 的产品，以及任何基于该模型构建的第三方服务，并禁止新的采购。通知称，使用 DeepSeek 可能导致敏感数据转移至中国，并可能生成针对美国个人和机构的情报。DHS 表示，这些模型构成“多重威胁向量”。该禁令不仅针对 DeepSeek 自家应用，还覆盖基于其开发的第三方服务。一份 7 月的 DHS 备忘录于周一公开，此前已要求各机构监控政府网站进出流量中的 DeepSeek 相关风险。美国商务部、海军以及纽约州、田纳西州和弗吉尼亚州此前已限制 DeepSeek。美国联邦通信委员会（FCC）将于 10 月 29 日投票，决定是否禁止所有中国实验室为美国使用的电子产品进行测试。DeepSeek 是一家总部位于杭州的初创公司，其开源模型于 2025 年 1 月 27 日引发广泛关注，该模型开发成本不到 500 万美元，当日导致英伟达股价下跌 16%，市值蒸发约 6000 亿美元。2025 年 4 月，美国众议院中共问题特别委员会称 DeepSeek 可能秘密将美国用户数据发送给中国政府，并可能使用了约 6 万块英伟达芯片，其中 2 万块受美国出口管制限制。DeepSeek 今年 4 月发布的 V4-Pro 模型预览版定价较 OpenAI 的 GPT-5.5 Pro 低约 98%，并以 MIT 许可证免费提供下载和修改；本周其又发布了针对效率优化的 V4.1-Flash 模型更新版本。