漏洞

ChainCatcher 消息，Immunefi 安全主管 Gonçalo Magalhães 表示，某未具名 Base 金库遭约 600 万美元漏洞利用，事发时金库内仍有约 3170 万美元资产。据简报，攻击者通过 Safe 多签钱包将恶意合约加入金库借贷白名单，随后提取 1783 枚 aBaswstETH，并经 AaveV3 兑换为约 1783 枚 wstETH。Gonçalo Magalhães 指出，白名单限制地址看似安全，但获批准地址即可无抵押取走资产，构成漏洞；该白名单弱点于前一周已被发现，但研究人员缺乏明确披露渠道。事发超过 24 小时后，仍无团队公开认领或披露补救措施。

ChainCatcher 现场报道，在 OKX NOW 全球产品与生态大会（新加坡）现场，以太坊联合创始人 Vitalik Buterin 表示，AI 已展现出强大的渗透与攻防能力，已出现突破沙箱、攻击网站、发现各类软件漏洞与漏洞利用的案例，“任何有漏洞的东西，迟早都会被 AI 发现，GPT-7、Claude 7、DeepSeek 7 都会找到它”。 与此同时，AI 也在帮助以太坊协议发现 Bug、实施复杂密码学，并在协议层和应用层进行形式化验证。Vitalik 认为，更高的安全级别将从“可选”变为“强制”，行业正处于一个迷人但充满挑战的过渡期。

ChainCatcher 消息，跨链意图交易产品 NEAR Intents 总经理 Alex Shevchenko 表示，NEAR Intents 漏洞事件中被盗的 380 万美元已全额归还。他称，资金归还发生在其向已识别主体给出 48 小时还款期限的数小时之后。Shevchenko 写道：“我们正在停止调查。请使用漏洞赏金，而不是中断服务。”他表示，相关调查现已停止。

ChainCatcher 消息，慢雾安全首席信息安全官 23pds 发文称，NEAR Intents 总经理 Alex Shevchenko 表示，NEAR Intents 漏洞利用者向恢复钱包转入 1 BNB，并留言称愿意合作，请对方提供 Signal 联系方式。 该笔转账来自此前转移约 380 万美元资金的同一地址。约一小时前，该地址还在以太坊网络转入 0.295 ETH，并发送相同留言。

ChainCatcher 消息，慢雾发布安全警报称，Aave V3 Loop Safe Module 出现安全漏洞，攻击者通过伪造 Safe 身份验证并利用任意 Module 执行，从两个 Safe 多签钱包中窃取约 114.09 ETH。 攻击者通过伪造始终返回真值的 Safe 绕过认证，并利用可任意控制的 router 和 calldata 执行模块交易，转移 weETH 及 Aave 抵押品。攻击者偿还约 1300 枚 WETH 债务后解锁抵押品。

ChainCatcher 消息，NEAR Protocol在 X 平台发文表示，NEAR 财库公司 SVRN 首席执行官 Sal Ternullo 已在 NEAR 治理论坛推出一项新提案，拟将 NEAR 年度代币最大发行率从 2.5%削减至 1.6%，持续 24 个月，并将质押收益率从目前的约 5.4%降至约 3.5%。 该提案目前正在向验证者、House of Stake 委托者及 NEAR 社区成员征求意见，预计下周公布完整方案供投票表决。 针对此前发生的 NEAR Intents 安全事件，NEAR Protocol 进一步澄清区块链网络运行正常，相关事件并非由 NEAR Protocol 或原生代币 NEAR 的漏洞导致，NEAR Protocol 网络仍在持续出块并处理交易，并未出现停机情况。

ChainCatcher 消息，据 Law360 报道，涉及 Uranium Finance 的加密资产盗窃案已在美国曼哈顿联邦法院开审。 检方指控，马里兰州网络安全顾问 Jonathan Spalletta 于 2021 年利用该协议智能合约漏洞发动攻击，其中第二次攻击从 26 个资金池转出约 5,330 万美元，并导致协议停止运营。相关说法为检方指控，尚非定罪结论。

ChainCatcher 消息，Zcash 创始人 Zooko 发文表示，Zcash 本轮发放了超过 800 万美元的追溯性资助，其中数百万美元授予了今年 AI 漏洞危机期间为保护所有用户付出的人员。此次资助更重要的意义在于，Zcash 再次证明其自筹资金与自我治理体系具有可持续性、抗俘获能力，并能够不断演进。Zcash 今后每年都将开展多轮类似资助，同时持续改进机制。

ChainCatcher 消息，Zcash 第三季度代币持有者定向追溯性资助计划投票结果显示，针对 Orchard 假币漏洞发现者 Taylor Hornby 的两项赏金提案均获通过。其中一项为其申请的 75 万美元漏洞赏金，另一项为社区成员提名的 75 万美元追加奖金，合计 150 万美元。获资助者后续仍需完成 KYC 和资金发放流程。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，iOS 27 版本之前的系统正被部分黑灰产团伙利用漏洞盗窃 iPhone 用户加密钱包。其提醒用户及时将 iPhone、iPad、Mac 等设备更新至最新版本，谨慎安装来源不明的 App，并谨慎通过 Safari 及 App 内置浏览器打开不明链接。

ChainCatcher 消息，据 Ark Invest Tracker 报道，Ark Invest 表示 AI 黑客攻击正波及一切。风险远不止比特币，因为 AI 使软件漏洞更容易被发现和利用。比特币和硬件钱包可能最先受到冲击，但社交媒体、税务和银行网站也可能面临同样威胁。信任一个大品牌，仍意味着信任该公司在 AI 日益强大时不会犯错。ARK 预计大型托管机构也将成为目标，AI 可能以前所未有的速度发现并利用漏洞。

ChainCatcher 消息，Bitget 大中华区负责人谢家印近日在直播中直面社区关切。他回顾道，Bitget 成立 8 年来，始终将用户资产安全置于最高优先级，成功抵御了多次网络攻击尝试，保持了长期的安全运营记录。此次事件是平台 8 年发展历程中的首次安全危机。 经完整溯源，本次事件属于一起针对第三方安全软件供应链的特殊攻击，攻击者利用第三方产品漏洞获取内网凭证，但私钥未泄漏、冷钱包资产未受任何影响。目前，Bitget 已联合安全机构 Mandiant 和 SlowMist 开展独立审查，并将全面升级对第三方组件的监控与管理标准。我们不仅致力于推动此次事件后的全面恢复，也将通过持续的技术迭代与体系升级，为行业更加安全、稳健和健康的发展贡献力量。

ChainCatcher 消息，在今日的社区直播中，Bitget CEO Gracy 就近期安全事件及平台财务状况进行回应。她坦诚表示，这是 Bitget 成立 8 年来遭遇的首次安全事件。经过完整溯源，黑客通过第三方安全产品的漏洞窃取了内网权限凭证，向钱包系统伪造提现命令，欺骗钱包执行了绕过风险校验的异常转账。Gracy 强调，此次事件中私钥未泄漏、冷钱包未受影响，具体技术细节将在正式发布的安全报告中详细披露。 Gracy 指出，本次事件核实后的损失处于保护基金覆盖范围内，用户资金安全不受影响。平台自有资金超过 14 亿美元，其中包括约 4.64 亿美元的用户保护基金。平台将继续践行 2022 年设立保护基金时的安全承诺，计划在一周内将基金规模持续补足至 3 亿美元的基准线。 “保护基金不是一句口号，而是在极端安全事件发生时，为用户提供切实保障的重要机制。”Gracy 表示，面对突发安全挑战，平台的综合实力以及主动承担责任的能力，是衡量其风险应对能力与长期可信度的重要标准。Bitget 将持续践行用户利益优先的长期承诺。

ChainCatcher 消息，隐私区块链 Zano 发布网络更新公告称，核心团队发现 Gateway Address 存在严重漏洞，导致未经授权的 ZANO 和 fUSD 进入流通。调查显示，钱包的支付密钥或普通交易的隐私未受侵害，Zano 的核心共识机制也未受影响。团队已制定解决方案，通过协调网络升级清除所有未授权活动。为确保网络完整性，Zano 区块链已从区块高度 3,833,000（即第 6 次硬分叉之前）重启，影响约一个月的链上历史记录。节点、矿工、质押者和相关服务需尽快采用紧急更新。团队表示将与受影响项目合作处理损失，并公布赔偿与索赔流程，力求让社区得到补偿。后续将公开技术原因及相关代码审查结果。

ChainCatcher 消息，Bitget 表示，针对 9 月 24 日发现的安全事件，相关漏洞已确认并修复，平台将在完成进一步安全检查后分阶段恢复提现。谷歌旗下网络安全公司 Mandiant 与慢雾科技正协助调查。 恢复安排如下（UTC）： 9 月 28 日 8:00：比特币网络 BTC 9 月 29 日 8:00：以太坊、BNB 智能链、Arbitrum、Base、Optimism 网络 ETH 9 月 30 日 8:00：以太坊、BNB 智能链、Solana、波场网络 USDT 10 月 2 日 8:00：其他代币、法币及点对点交易 Bitget 称，暂停提现属于临时安全措施，与用户资产可用性无关；账户余额未受影响，保护基金将承担此次平台级事件造成的财务影响。目前事件已得到控制，不会再发生未经授权的转账，交易和充值服务仍正常运行。用户无需提前操作，具体开放情况以平台及官方渠道通知为准。

ChainCatcher 消息，Revoke.cash 表示，Limit Break 的支付处理器存在已知漏洞，曾在 Magic Eden 以太坊市场交易 NFT 的用户可能仍保留相关合约授权。该漏洞已由白帽安全研究员 0xQuit 处理，目前 NFT 资产预计未受影响，但用户仍应检查并撤销受影响的授权，以降低后续风险。

ChainCatcher 消息，隐私区块链网络 Zano 披露，涉及 Gateway Addresses 的通胀漏洞迫使其拟回滚区块链约 24 小时历史，并要求用户立即停止与 ZANO 及 Confidential Assets 相关的经济活动。Zano 承诺赔偿回滚造成的损失，但尚未公布回滚目标区块高度、修复版本、赔偿流程、漏洞机制及未经授权创建资产的数量。Gateway Addresses 于 8 月 26 日随 Hard Fork 6 上线。

ChainCatcher 消息，Google 产品安全团队披露内部 AI 代理 PageBreak，用于测试其第一方 Web 应用的安全性。该代理基于 Google 的 Gemini 模型构建，于 2025 年 11 月启动试点，2026 年 1 月转为正式项目，目标是自主扩大漏洞发现规模并减少人工投入。与常见的 AI 扫描工具不同，PageBreak 在发现可疑缺陷后，会将假设交给专门的验证器，在实时运行的应用副本中尝试实际利用，只有确认可利用后才上报，误报率接近零。Google 称，PageBreak 已在其第一方 Web 应用中找出超过 500 个 XSS 漏洞，此类漏洞可被用于劫持登录会话、窃取数据或冒充用户。Google 表示，安全团队近年来被大量由 AI 生成、看似合理却并不成立的漏洞报告淹没，分辨真实缺陷与幻觉已成为主要难题。在针对采用新一代高保障框架构建的应用进行测试时，PageBreak 仅发现两个漏洞。下一步 Google 计划将 PageBreak 与自动修复代理 CodeMender 对接，使已确认的漏洞附带修复方案。

ChainCatcher 消息，Meta 旗下 AI 产品 Muse 被曝存在安全漏洞，可能危及用户数据与虚拟环境安全，公司计划加强风险提示。