安全

ChainCatcher 消息，据官方消息，OKX 联合 Elliptic、SlowMist、OttoSec 发布《2026 年上半年 Web3 安全与风控报告》。报告指出，Web3 攻击重心正从智能合约代码逐步转向签名流程、用户设备、运维基础设施及 AI Agent 等更复杂场景。 数据显示，2026 年上半年，OKX 风控系统累计拦截 570 万+笔高风险交易，其中黑客与盗窃相关交易约 241 万笔、钓鱼相关交易约 148 万笔、诈骗相关交易约 99 万笔。OKX Web3 链上情报标签库目前已拥有 11 亿+标签，覆盖 420+ 条链，并将地址筛查、交易监控与制裁地址管控等能力接入 DEX、Exchange OS 等基础设施。 此外，在用户保护方面，OKX 已累计拦截 700 万+次风险网站访问，完成 20 万+次设备风险检测，识别 6 万+次高风险 App，并对 400 万+次高风险签名操作进行拦截或告警。报告还介绍了 Exchange OS、Outcomes、RWA 与 Agentic Wallet 等场景中的“风控前置”设计。

ChainCatcher 消息，九家金融机构与比特币公司宣布联合成立比特币安全联盟，创始成员包括 Anchorage Digital、ARK Invest、贝莱德、Block、Blockstream、Coinbase、富达资管公司、Galaxy 及 Strategy，涵盖托管、交易、基础设施、支付及资产管理等全链条机构。 联盟承诺在未来三年内合计提供 1500 万美元资金，用于资助比特币安全领域的开发者与研究人员，包括为比特币应对未来量子计算时代做准备等长期工作。各成员独立决定其资金投向哪些开发者、研究员或组织。联盟的日常运作由 Brink 执行董事 Mike Schmidt 以志愿身份协调，Brink 是一家资助比特币开源开发者的非营利组织。 联盟明确表示不制定或指挥比特币协议、不对特定协议变更表态、不代表比特币或其开发者——比特币的开发仍由全球去中心化的贡献者社区完成。其定位是效仿行业组织长期支持开源软件的模式，为开发者提供资源与关注而不控制底层工作。 Strategy 首席执行官 Phong Le 表示，“作为长期持有者，确保比特币世代安全是我们最大的激励”；贝莱德全球数字资产主管 Robert Mitchnick 则指出，比特币核心开发者的工作是“极其重要的”，此次承诺将为比特币长期安全需求提供“重要的额外资金”。联盟还将作为投资者、公众和媒体在比特币安全领域的可靠信息来源，未来数月计划发布并持续更新比特币安全相关材料。

ChainCatcher 消息，Web3 安全公司 CertiK 发布《2026 上半年扳手攻击报告》。报告显示，2026 年上半年全球共记录 52 起经公开核实的扳手攻击事件，同比增长 33.3%；相关损失约达 1.24 亿美元，较去年同期增长约 11.8 倍。 报告指出，攻击者正从技术漏洞利用转向针对资产持有者及其现实关系网络的攻击，入室抢劫事件由 2025 年上半年的 1 起增至 20 起，占同期事件总量 41%。欧洲成为攻击高发区域，其中法国发生 33 起，占全球案例 63.5%。 CertiK 表示，随着现实世界风险成为数字资产安全的重要挑战，企业和高价值个人需要建立更全面的防护体系。CertiK 已推出运营安全服务，帮助识别身份、家庭、住所及行程轨迹等信息暴露风险；同时通过 CertiK Security Workspace 关联链下情报、链上交易和 AML 风险信号，支持机构追踪并分析网络犯罪活动。 此外，CertiK 正与国际刑警组织、欧洲刑警组织等国际执法机构加强合作，为跨境攻击调查和安全政策研究提供技术支持。

ChainCatcher 消息，加密金融服务公司 Galaxy Digital 宣布设立 500 万美元的 Bitcoin Quantum Readiness Initiative（比特币量子安全准备计划），资助开发者研究应对未来量子计算威胁的解决方案。该计划即日起开放申请，资助方向包括抗量子签名算法、钱包迁移工具及安全审计等。Galaxy 表示，希望吸引更多机构共同投入资金和研究，加速比特币向抗量子密码学过渡。根据 CryptoQuant 数据，若未来量子计算机具备破解比特币现有加密算法的能力，约 690 万枚 BTC（按当前价格约合 4610 亿美元）可能面临被盗风险。尽管业内普遍认为量子计算短期内尚不足以威胁比特币网络，但由于协议升级需要开发者、钱包、交易所和用户长期协作，相关准备工作应尽早启动。

ChainCatcher 消息，据韩媒 Maeil Business 报道，韩国金融监督院资料显示，韩国央行主导的 CBDC 第一阶段试点项目期间，金融当局未进行任何独立安全验证，仅由参与银行自行进行事前安全审查。项目启动前仅对参与银行进行过 IT 漏洞自评，由金融安全院、SK Shields 与友利银行、农协银行自查小组共同执行，形成“被监管者自我检查”的评估模式。央行在试点结果报告中承认外界对存款代币安全性的质疑，并回应称事前审查已充分，但批评者指出该说明属于自我评估，并非独立的第三方验证。

ChainCatcher 消息，据官方消息，ENS DAO 已批准激活新安全委员会的提案，任期两年。该委员会由八名成员组成，拥有否决权，可在恶意提案通过后、执行前的等待期内取消提案。委员会权力限于取消时间锁中的交易，不可动用金库资金、提交提案或重写已批准提案。委员会仅在其章程规定的紧急条件下才可行使权力。ENS 指出治理本身可能成为攻击面——投票权可被借用以发起攻击、提案代码可隐藏恶意行为、凭证泄露可用于推送有害交易。新委员会采用 5-of-8 多签，至少五名成员同意才能取消提案，任期两年后需 DAO 投票延长。

ChainCatcher 消息，据 GlobeNewswire 报道，AI 安全初创公司 Neo 宣布完成 1 亿美元融资，本轮融资由风险投资机构 Andreessen Horowitz（a16z）和 Bessemer Venture Partners 领投，Craft Ventures 和 Merlin Ventures 参与投资。 据悉，该公司定位为 “代理式软件控制公司”（Agentic Software Control），致力于为企业构建实时控制层，帮助安全运营团队（SecOps）管理和保护快速普及的 AI 代理（AI Agents）、AI 应用、浏览器、身份系统以及传统软件中的智能化能力，新资金将用于扩大工程和市场团队，加速企业客户拓展。

ChainCatcher 消息，据 Bits.media 报道，卡巴斯基安全研究人员发现新的恶意软件 OkoBot，通过约 20 个模块窃取加密钱包助记词和凭证。攻击者利用 ClickFix 社会工程学技术诱骗用户运行恶意命令，并通过伪装成 SQL Server Management Studio 等合法工具的 GitHub 仓库传播。 OkoBot 的模块包括：SeedHunter 注入 Trezor 和 Ledger 等硬件钱包，在恢复助记词时显示虚假界面；MC Keylogger 记录键盘和剪贴板活动；OkoSpyware 追踪钱包密码并录制窗口视频。 一旦攻击者获得助记词，即可完全控制受害者的加密资产，资金几乎无法追回。卡巴斯基表示，OkoBot 已存在超过一年，多数受害者分布于巴西、越南、加拿大、墨西哥和土耳其。攻击者还对俄罗斯和独联体国家的 IP 地址实施了地理封锁。

ChainCatcher 消息，慢雾创始人余弦在 X 平台转发 Claude Code 潜在投毒攻击风险推文并发布针对 Grok Build CLI 及 Claude Code CLI 投毒攻击细节分析。 其中指出，Grok Build CLI 的安全机制没有统一，不同代码路径有不同的信任假设，缝隙之间便是攻击者的通道。攻击者可能通过恶意项目配置文件，在用户不知情的情况下执行任意命令，进而窃取 API 密钥、云端凭证或控制本地设备。 研究人员构造测试环境发现，在 Mac 系统中，如果 Claude Code 受到影响，执行特定测试命令后可触发本地计算器启动，证明存在潜在命令执行风险。 若攻击成功，攻击者可能进一步窃取 Claude、OpenAI 等 AI 服务 API Key 造成账户费用损失，获取 AWS、阿里云、腾讯云等云服务凭证访问服务器和数据，篡改代码仓库植入后门，利用本地设备作为跳板攻击企业内部网络。据悉，相关漏洞已经存在一年。

ChainCatcher 消息，Gate US 宣布携手 SoFi 成为基础设施合作伙伴，助力推动金融未来发展。作为一家全国性特许银行，SoFi 具备雄厚的金融实力、稳健的监管基础和现代化银行基础设施，可促进传统金融与数字资产之间实现更顺畅的连接。通过此次合作，Gate US 已启用 SoFi 的 Big Business Banking 账户，这也是其持续为美国生态构建安全、合规且可扩展金融解决方案的一部分。 与此同时，Gate US 正准备推出 ACH 和 Wire 功能。ACH 服务上线后，预计将允许用户绑定银行账户，并直接向其 Gate US 账户入金；即将上线的 Wire 功能则旨在支持由机构级银行基础设施提供支持的更大额、快速的美国境内转账。两项功能预计将在 Gate US 已获牌照的美国司法辖区推出，凸显 Gate US 合规优先的理念。Gate US 持有 36 个州 MTL 牌照，并在美国 47 个司法辖区开展业务。此外，Gate 旗下多个实体已在马耳他、巴哈马、日本、澳大利亚及迪拜等司法辖区完成相关监管注册、牌照申请或获得授权与批准。未来，Gate US 将继续推进其合规基础设施建设，扩大数字资产服务的可及性，并为用户提供更安全、更顺畅的金融解决方案。

ChainCatcher 消息，风险投资机构 Andreessen Horowitz（a16z）宣布投资 AI 智能体（AI Agent）安全初创公司 Runta，该公司希望帮助企业像“养育孩子”一样管理和约束 AI 智能体，具体投资金额暂未披露。Runta 创始人 Guanlan Dai 曾任职于 Cloudflare 技术团队，并担任 API 连接初创公司 Kong 的创始工程师。他表示，AI 智能体与成长中的儿童存在相似之处：它们具备自主执行任务的能力，但同样需要边界、监督和权限管理。Dai 认为，就像父母会对儿童进行家庭安全保护、限制其接触信用卡一样，企业也需要限制 AI 智能体能够访问的重要文件、允许执行的操作范围以及单次可支配资金规模。Runta 正在开发一套“AI 智能体监护”基础设施，帮助企业管理 AI Agent 的权限、安全风险和行为边界，避免自主 AI 系统在执行任务过程中造成数据泄露、错误操作或资金损失。随着企业越来越多地部署具备自主决策能力的 AI Agent，如何建立可信、安全的代理管理体系正在成为新的基础设施需求。Runta 希望成为 AI Agent 时代的“家长控制层”，为企业提供智能体身份管理、权限控制、风险限制和运行监督等能力。业内认为，随着 AI Agent 从简单助手向能够操作企业系统、处理交易和执行复杂任务的自主实体发展，围绕 Agent 安全、治理和合规的基础设施市场或将迎来快速增长。

ChainCatcher 消息，马斯克表示，待完成安全漏洞审查后，X 将无例外地开源全部代码库。此外，X 还将邀请第三方审查人员核验实际运行的系统，以确认其与公开源代码一致。

ChainCatcher 消息，Cardano 的治理公司 Intersect 在 X 平台发文称，EMURGO 因近期专注于处理 SecondFi 安全事件，无法调配必要资源执行 Token2049 活动，经三方协商，该活动交付责任已正式转移至 Cardano 基金会。 EMURGO 向 Intersect 提出转移请求，经过与 Cardano 基金会讨论后获得各方同意。Intersect 表示，此决定基于活动时间紧迫性和避免交付不确定性的考量。Cardano 基金会已同意按批准范围交付活动，EMURGO 和 Intersect 均认可其过往活动执行能力。Token2049 交付工作现已正式移交，活动仍定于十月举办。 此前 6 月份消息，SecondFi 披露安全事件影响约 1,600 万枚 ADA（当时约 242 万美元）；但慢雾余弦表示，SecondFi 的用户损失可能超过 2,000 万美元。

ChainCatcher 消息，ENS DAO 发起提案，拟根据 EP 6.50 选举结果设立新一届安全理事会，任期为两年，至 2028 年 7 月 16 日 结束。 根据提案说明，新一届安全理事会将继承现有职责，继续负责取消 ENS DAO 中的恶意提案，不具备发起、修改或主动推动治理提案的权限。该提案将通过向 DAO 的 TimelockController 授予相应权限的方式完成配置。 提案还显示，两年期满后，若 DAO 未通过新提案延期，任何地址均可调用相关函数撤销其取消提案权限。

ChainCatcher 消息，据 Qubic 官方 X 账号 (@Qubic) 发布公告，Qubic GitHub 组织于 7 月 13 日发生安全事件，一个被入侵的账号访问了代码库并提取了敏感信息，官方已介入处置。官方建议以下用户立即采取行动：网络守护者（Network Guardian）应立即轮换种子（seed）；Web 钱包用户若曾在当日 03:00–10:00 UTC 期间解锁钱包，请迁移至新身份；若不确定上次解锁时间，同样建议迁移；开发者在官方确认审计完成前，应暂停从 Qubic 代码库拉取或部署代码。官方表示，完整细节及后续更新将在官方 Discord 频道发布，提醒用户切勿轻信非官方渠道信息，并警告任何人不得以任何理由索取用户种子。事件善后报告将于处置完成后发布。

ChainCatcher 消息，据 Bitcoin.com 报道，Coinbase 首席政策官 Faryar Shirzad 在 X 发文回应美国参议员 Elizabeth Warren 对 CLARITY Act 的批评，称该法案不会削弱国家安全，而是将数字资产平台纳入更强监管。Elizabeth Warren 此前表示，CLARITY Act 当前草案可能为规避制裁提供机会。 Faryar Shirzad 称，该法案将要求加密平台遵守更严格的国家安全标准，并允许平台在执法部门要求时冻结可疑交易。 美国参议员 Cynthia Lummis 此前表示，CLARITY Act 包含 16 项非法金融防护措施，并警告该法案可能是美国国会在 2030 年前通过全面数字资产规则的最后主要机会。

ChainCatcher 消息，Strategy 创始人 Michael Saylor 发文表示，比特币是一个自发演化而成的网络体系，其中钱包的影响力由持有的聪数量决定，节点的影响力由商业活动决定，矿工的影响力由算力决定，而资本、共识与网络安全则共同维持着一种动态平衡。

ChainCatcher 消息，Injective 官方在 X 平台发文表示，近期有媒体报道了“涉及 Injective npm 软件包潜在安全隐患”的新闻，目前该问题已被立即发现并解决。用户资金从未面临风险，也未遭受任何损失。 官方表示，其安全监控系统第一时间检测到了该问题，并迅速将受影响的软件包版本标记为废弃，同时替换为新版本，从而在恶意包被下载之前就阻断了风险。 因此，该恶意软件包的下载量为零，未对用户造成任何影响，用户的资金安全也未受威胁。Injective 的 npm 软件包是加密货币领域应用最广泛的 SDK 之一，官方现已实施优化措施，确保此类攻击企图将无法再次发生。

ChainCatcher 消息，Gate 近日就客户 9****6 反映的安全项变更及资金损失事件发布详细核查说明。经内部复盘，平台确认申请方提交了与客户账户高度匹配的 Email、手机号、实名信息、交易流水及支付宝录屏等材料。平台指出，支付宝录屏需访问客户支付宝账户并成功通过多重身份验证，表明申请方不仅掌握账号信息，还提前获取了客户的外部实名信息、支付宝账号及设备权限。 平台强调其安全解绑审核执行“多渠道提前通知 + 系统风控初筛 + 人工多层复核 + 时间保护”四重校验流程，在双通道通知客户后等待两天无异议才处理申请，修改后另有 24 小时禁止提现保护。经排查，平台内部不存在信息泄露日志，部分申请方提供的敏感身份信息为平台此前不掌握的外部信息。 资金追偿方面，平台已梳理资金流向，联动多部门开展链上分析与资产追踪，正对接 Tether 等第三方推进冻结流程，后续将配合司法调查。平台建议客户对设备进行全面安全加固，并对客户在三天通知期内未联系平台表示遗憾。

ChainCatcher 消息，据 The Block 报道，托管机构 BitGo 宣布将为 Bitcoin 机构钱包推出新一代量子安全工具，帮助机构评估、管理和降低 UTXO 模式钱包的量子相关风险。BitGo 称，该方案在其多重签名架构基础上，引入按地址分组和优先级排序 UTXO 的新方法（已提交临时专利申请），以减少部分花费资金带来的公钥暴露风险。该方法不覆盖一开始即暴露公钥的地址类型（如 Taproot、Pay-to-Public-Key），相关地址需采用单独的安全措施。