安全审计

ChainCatcher 消息，据官方公告，Blockstream 开发的比特币侧链 Liquid Network 已启动 Elements v23.3.4 独立外部安全审计，为恢复 Peg-out 操作提供额外安全验证。与此同时，Liquid Federation 正协调更新 PAK 列表，包括替换现有密钥条目，并确保所有 Peg-out 密钥均安全存储于冷钱包中。官方表示，后续将公布恢复进展。

ChainCatcher 消息，XRP Ledger 的 Batch V1.1 升级距启动激活流程仅差一票。RippleX 团队在最新审查中修复了 11 个软件缺陷。Batch 功能允许用户将最多八笔关联交易合并为一次操作，例如两人交换代币时可确保双方转账同时完成，避免一方付款而另一方失败的情况。在周二快照中，该升级获得 35 个受信任验证者中 27 个的支持，占比约 77%，而 XRP Ledger 变更需要 80% 的支持率，因此目前一个验证者的投票即可决定成败，再获得一票将启动为期两周的激活倒计时。支持率需在 14 天内保持在该门槛之上，期间验证者可以更改投票。此前，研究人员发现原始 Batch 提案存在漏洞，攻击者可在特定条件下未经授权使用他人账户发起交易，该版本未上线主网。新版本随 xrpld 3.3.0 于 8 月 6 日发布，最新审查又发现涉及签名、授权检查和服务器崩溃的 11 个问题，其中安全公司 Common Prefix 评为严重的一个漏洞可能允许攻击者重复使用用户签名权限执行超出预期的交易。RippleX 表示审查涉及四名资深工程师、Halborn 与 Common Prefix 的审计、公开安全竞赛及自动化测试，并称使用 Batch 的商业项目已签约或在开发中。

ChainCatcher 消息，区块链安全公司 Hacken 发布评估报告指出，流通中约半数 USDT（Tron 网络上约 913 亿美元）由 2-of-3 多重签名合约控制，且该合约没有内置延迟、取消流程或可靠的撤销机制。攻击者只需攻破两个签名密钥，即可更改合约所有权、铸造代币、冻结地址、清除冻结余额或设置转账费用，而无需接触任何用户钱包。Hacken 还发现 Tether 在以太坊、Avalanche 和 Celo 三条链上复用同一组六个签名密钥，风险可能跨链蔓延。与此同时，稳定币评级机构 Bluechip 将 Tether 的公司评级从 D 上调至 C，原因是 KPMG 审计显示截至 2025 年 12 月 31 日 Tether 储备超出负债 68 亿美元。这是 Bluechip 首次采用纳入 Hacken 技术风险分析的扩展 SMIDGE 方法论。不过 Hacken 仅给 USDT 的网络安全评分打了 3.3 分（满分 10 分），并指出 USDT 智能合约没有自动储备证明检查，也没有代币铸造上限，一旦签名者授权交易，合约即可铸造任意数量代币而无需银行储备证明。Hacken 表示尚未对 Circle 的 USDC 完成同等评估，Bluechip 此前给予 USDC 的 B+ 评级基于旧方法论，不能直接作为技术对比。

ChainCatcher 消息，加密钱包项目 SafePal 发布安全事件后续进展，表示正在持续追踪钓鱼网站和冒充账号，并计划引入专业反钓鱼安全公司，加快恶意信息下架处理，以保护用户资产安全。SafePal 表示，目前正在 4 家专业反钓鱼安全公司中进行最终筛选，选定合作伙伴后将进一步提升对仿冒网站、诈骗账号等威胁的处理效率。 团队也在持续监测受影响数据是否被出售或公开，包括暗网论坛和交易市场等渠道。一旦发现相关数据泄露迹象，受影响用户将第一时间收到风险提醒。在安全审计方面，SafePal 称正在 3 家成熟的独立安全机构中进行最终选择，将对订单系统展开全面安全审查。同时，团队正在重新评估订单及物流流程，以减少系统初始阶段需要存储的数据规模，从源头降低潜在风险。 针对受影响用户，SafePal 表示将继续通过官方支持渠道提供一对一协助，并持续更新诈骗防护页面，提供事件进展、常见问题解答以及诈骗案例分析。SafePal 再次提醒用户：官方永远不会要求用户提供助记词（Seed Phrase）。用户不要向任何人透露助记词，不要扫描未知二维码或点击可疑链接，并应通过官方渠道验证信息来源。

ChainCatcher 消息，区块链安全审计平台 Sherlock 今日宣布推出 Sherlock Audit Engine。该引擎将目前最强的 AI 安全方法整合为协同审查流程，旨在开启 AI 原生安全审计的新阶段。Sherlock 表示，团队已在非公开环境中投入数月时间构建该引擎，并针对高风险代码进行测试。Audit Engine 现已正式上线，可对智能合约等代码开展协调式 AI 安全审查。

ChainCatcher 消息，Zcash 创始人 Zooko Wilcox 发文表示，感谢 Anthropic 帮助保护 Zcash 用户。 应 Shielded Labs 请求，他们使用 Mythos 对 Zcash 进行了安全审计，结果未在 Zcash 协议中发现其他严重漏洞。Shielded Labs 及其他团队仍在继续推进安全加固工作，后续将发布更新。

ChainCatcher 消息，Zcash 核心开发者 Sean Bowe 发文更新 Ironwood 升级进展称，过去 48 小时内，各组织协议开发者已召开两次会议，并就 Ironwood 的多项规范及实现细节达成一致，包括禁用 Coinbase 交易中的 Orchard 池捆绑、将锚点作为硬件钱包迁移认证数据，以及 ZIP 与规范的处理顺序等内容。目前，Ironwood 电路和 ZIP 2005 集成草案正在评审中。Valar Group 已完成测试网搭建并实施部分钱包端变更。 与此同时，形式化验证工作持续推进，开发团队计划于明日召开会议确定最终验证策略。此外，至少三家主流审计机构正对 Orchard 开展安全审计，多套 AI 审计工具也已同步投入使用。Sean Bowe 表示，目前整体开发进展顺利。

ChainCatcher 消息，比特币 TAP 协议生态项目 BIT (@dmt_bit_) 发布新路线图，宣布将聚焦"比特币安全预算层"叙事，通过代币的每区块发行直接流向比特币矿工，作为矿工补贴的新来源。 BIT 团队披露，TAP 协议目前仅 $NAT 一个代币享有矿工补贴机制，且该机制被硬编码在协议源码中（仅对 dmt-nat 代币生效），其他 DMT 项目无法使用。TAP 协议至今亦未公开第三方安全审计。 BIT 已向 TAP 提交代码升级提案，希望将该机制开放给所有 DMT 代币使用，但被 TAP 官方拒绝。 根据路线图，BIT 接下来将基于 TAP 分叉自主开发新协议——任何 DMT 代币部署方均可通过单条铭文自定义代币的发行规则与矿工分发方式（包括按矿池权重分发、独立矿工大奖累积、混合分发等），不再设置任何项目的硬编码特权。新协议主网上线前将完成第三方安全审计。$BIT 将作为新协议的原生代币，协议生态发展将持续为 $BIT赋能。

ChainCatcher 消息，Aave Labs 公布了 Aave V4 的安全框架，提出“安全优先”的开发模式，在架构设计阶段即嵌入安全验证，而非仅在上线前进行最终审计。该安全计划持续约一年，累计完成约 345 天的安全审查，资金来自 Aave DAO 批准的 150 万美元安全预算。据悉，V4 安全流程结合形式化验证、人工审计、不变量测试、模糊测试（fuzzing）以及公开安全竞赛等多层审计方法，未来协议开发将持续采用五项长期安全措施，包括在开发早期引入形式化验证、实施多层安全审计方法、持续验证机制、长期漏洞赏金计划以及利用 AI 辅助智能合约安全扫描。

ChainCatcher 消息，据官方消息，Aave Labs 发布 Aave V4 安全计划的完整透明度报告，包括方法、流程及结果等方面，Trail of Bits、Blackthorn、Certora 等多家安全机构联合背书。 通过手动审计、形式化验证、不变量测试、模糊测试以及公开安全竞赛，累计进行了约 345 天的安全审查。该计划由 DAO 批准的 150 万美元专门安全预算支持。 Aave Labs 宣布将从 Aave V4 安全计划中延续五项核心承诺：在早期开发阶段嵌入形式化验证，以确保架构设计得到安全方法指导而不仅是验证；采用分层安全方法，包括手动审查、形式化验证、不变量测试、AI 辅助检查、模糊测试及公开安全竞赛，以覆盖更多潜在漏洞；保持持续安全覆盖，形式化验证框架和不变量测试套件将随协议迭代持续运行；设立长期漏洞赏金计划，利用更广泛的安全社区提供持续监控；以及优化 AI 扫描能力，基于现有测试经验不断提升未来版本的智能安全检测水平。

ChainCatcher 消息，全球领先的全栈 Web3 安全公司 ExVul 与高性能金融公链 Pharos 建立长期战略合作，联合设立 125 万美元安全审计 Grants，支持 Pharos 生态内早期创业团队发展。 该 Grants 面向 Pharos 孵化器的早期项目，提供核心智能合约及关键系统模块的完整安全审计服务，同时配套资金与持续的安全顾问支持。Pharos 与 ExVul 建立合作，充分体现了对其专业能力的高度信任，也彰显双方在生态长期建设上的紧密绑定。通过此次合作，ExVul 将为 Pharos 早期项目构建可持续、安全、合规的基础设施，夯实生态长期发展根基。

ChainCatcher 消息，BNB Chain 增长执行总监 Nina Rong 发文表示，已收到关于 BNB Chain Coinmarketcap 账户被盗的报告。目前正在与安全和内部审计团队核实详情，并指出谨慎对待社交媒体上发布的任何投资决策。

ChainCatcher 消息，据 Cointelegraph 报道，Bitcoin Core 通过了其首次第三方安全审计，审计结果证实，保障比特币网络安全的这款软件已高度成熟，未发现任何严重漏洞。此次审计由法国安全公司 Quarkslab 开展，受开放源代码技术改进基金（OSTIF）委托，代表 Bitcoin Core 开发资助组织 Brink 实施。在 5 月至 9 月为期 104 天的审计期间，审查人员对项目中最敏感的组件进行了评估，尤其关注 P2P 层和区块验证逻辑。报告指出，尽管 Bitcoin Core 的代码库规模庞大，包含超过 20 万行 C++ 代码和 1200 多个已部署的测试用例，但审计人员评估认为其“最为成熟且经过充分测试”。团队未发现任何高严重性或中严重性漏洞，仅发现两个低严重性问题，以及一系列主要与模糊测试工具和测试覆盖率相关的改进建议。这些发现均未对共识机制、抗拒绝服务能力或交易验证产生任何影响。

ChainCatcher 消息，GMGN 在 X 平台发文表示，针对近期有关平台遭黑客攻击并导致用户资金损失的虚假传闻，团队已立即展开全面安全审计，确认平台不存在任何安全问题，用户资金完全安全。 GMGN 强调始终将用户安全放在首位，并表示如有疑问可通过官方客服渠道咨询。

ChainCatcher 消息，UXLINK 发布关于 UXLINK 代币合约迁移的最新进展：目前，UXLINK 代币存在未经授权的增发行为，这既违背了 UXLINK 白皮书内容，也破坏了社区共识。已就计划中的代币置换事宜与主要 CEX 合作伙伴进行了沟通，他们均表示全力支持。一份新的智能合约已提交进行安全审计。该新合约将设定固定代币供应量，确保不会再增发任何额外代币。同时，取消了通常用于跨链解决方案、旨在保障社区利益的增发-销毁功能。其还在回应韩国数字资产交易所协会 DAXA 的询问，并将与安全专家合作伙伴共同编写一份全面的事件报告。此前，UXLINK 表示，多签钱包遭遇安全漏洞，资金被非法转移。

ChainCatcher 消息，据 The Block 报道，以太坊基金会启动 Fusaka 升级安全审计竞赛，奖金高达 200 万美元。此次为期四周的审计由 Sherlock 平台主办，Gnosis 和 Lido 协办，旨在上线前发现潜在漏洞。Fusaka 升级包含约 12 项 EIP，主要聚焦安全性、吞吐量和效率提升，其中“节点数据可用性采样”将分散节点间的数据检查，扩大 Rollups 容量。竞赛设有奖励倍增机制：第一周 2 倍，第二周 1.5 倍。该升级目标于 2025 年第四季度部署至主网，但基金会执行主管 Tomasz Stańczak 表示，若协调不够紧密，时间表可能延迟。