# 漏洞的所有文章

在 HTX 新闻中心浏览与「漏洞」相关的最新资讯与深度分析。潘盖市场趋势、项目动态、技术进展及监管政策，提供权威的加密行业洞察。

Raydium 被盗事件启示：DeFi 新隐患，藏在被人遗忘的旧合约中

Raydium 因旧版 V3 AMM 资金池漏洞被盗约 134 万美元，暴露了 DeFi 领域一个普遍但被忽视的风险：项目已停用的老旧合约（常被称为“僵尸合约”）在链上仍可调用，且因缺乏维护而成为攻击目标。自 2025 年 3 月以来，公开报告显示至少已发生 8 起同类攻击，累计损失约 1080 万美元。若算上相关旧资金池事故，总损失约达 2250 万美元。这类问题的根源并非代码漏洞，而是合约生命周期管理缺失——项目方往往仅在产品层面宣布下线，却未在技术层面彻底关闭调用权限、转移闲置资产或持续监控。当前的安全事故分类多聚焦技术漏洞，导致此类管理问题被掩盖。研究表明，需将“僵尸合约”列为独立风险类别，并将合约下线流程标准化，纳入与代码审计同等重要的安全管控环节。建议的标准化流程包括：转移所有资产、关闭关键功能、撤销权限、更新前端、持续监控、文档化归档及社区公告。若仅文档标注“已停用”而不实质关停，风险将持续存在，最终损失往往由项目金库承担。DeFi 项目的安全不仅关乎当下活跃合约，也系于其历史遗留的“合约坟场”，必须实施全生命周期管理以有效防御。

Foresight News11小时前

Foresight News11小时前

公开版Mythos正式上线：解析AI智能合约审计的优势与局限

近日，Anthropic正式推出公开版AI审计工具Mythos（Claude Fable 5）。AI在代码审计领域展现出显著优势，尤其在模式匹配与批量初筛方面效率惊人。例如，在Zcash事件中，研究员借助AI在数小时内发现了一个潜伏四年的人工审计未察觉的严重漏洞。另一个案例中，AI迅速识别出因存储布局冲突导致的“存储槽碰撞”漏洞，该类漏洞因涉及第三方库细节而容易被人工审计忽略。然而，AI审计也存在明显局限。在复现Curve LlamaLend sDOLA等复杂跨协议攻击事件时，Fable 5未能识别其核心风险。这类漏洞依赖于多个协议间的组合与业务逻辑联动，考验对整体经济模型和业务语义的理解，目前仍是AI的短板。综上所述，AI在标准化、细节化的单合约漏洞挖掘中优势突出，能有效补充人工审计的盲点；但在处理复杂的跨协议组合攻击与业务逻辑分析时，仍需依赖安全审计专家的主导。业界正逐步形成“AI辅助筛查+专家深度分析”的协同工作流程，以提升审计的效率和全面性。

marsbit前天 08:05

marsbit前天 08:05

恢复加密隐私：Zcash (ZEC) 在暴跌50%后采取行动

Zcash (ZEC) 在经历因严重漏洞引发的超50%价格暴跌后，正采取措施重振市场对其隐私网络的信心。此次漏洞存在于其Orchard零知识证明电路中，可能导致攻击者在未被察觉的情况下制造假ZEC。开发团队紧急修复了漏洞，币价随后反弹超70%。然而，由于Orchard池的隐私特性，目前无法验证漏洞被利用前是否已有假币生成。为解决此问题，Zcash生态系统相关方提出了名为“Ironwood”的新提案。该方案旨在让每个节点用户都能独立验证ZEC的流通供应量是否被篡改，并阻止在Orchard池内铸造新币。资金只能通过“旋转门”机制单向流出。此举既能帮助查明漏洞是否曾被利用，也能在发现超额假币企图流出时将其拦截并销毁，从而保护现有流通供应。

bitcoinist前天 05:01

bitcoinist前天 05:01

Beosin：5 月主要安全事件 36 起，共计损失超 7600 万美元

据Beosin监测，2026年5月共发生36起重大安全事件，总损失约7615万美元。主要原因包括合约漏洞（17起）和私钥泄露（10起）。损失最大的事件是Verus-Ethereum跨链桥因合约漏洞被攻击，损失1158万美元。Echo Protocol则因私钥泄露，攻击者铸造了纸面价值7670万美元的资产，实际获利约513万美元。按类型统计，跨链桥损失最高（约2799.5万美元），而DeFi项目被攻击次数最多（14次）。按公链划分，Ethereum链上损失最大（超4876万美元），BNB Chain、Monad、TON等链也均有事件发生，呈现多链攻击态势。报告分析了三个典型案例：1）Verus跨链桥因未有效验证原始资金数据，存在与历史知名桥接攻击类似的缺陷；2）Trusted Volumes因签名参数校验不一致导致资产被转移；3）StablR等多起私钥泄露事件，暴露出项目在运营安全（如多签阈值过低、缺乏时间锁）上的严重不足。趋势上，Web3安全攻击面正系统性扩大，涵盖代码、基础设施及人为流程。报告建议项目方需重视持续运营安全，并检查或妥善处理老旧合约；用户应定期取消不必要的合约授权。

marsbit06/10 09:26

marsbit06/10 09:26

当AI开始审计世界：从Claude发现ZEC漏洞，看加密行业正在进入“递归安全时代”

人工智能正从生产力工具演变为复杂系统的分析者与参与者，其影响正从研发领域延伸至安全领域。近期，Anthropic提出了“递归自我改进”概念，揭示AI已开始协助人类进行模型研发、代码优化等环节，形成加速自身发展的飞轮效应。几乎同时，Claude AI在审计Zcash代码时发现了一个零知识证明系统中的关键漏洞，并促使团队快速修复。这一事件超越了单纯的技术发现，它标志着AI开始深度参与理解、分析和验证复杂系统，尤其可能重塑区块链安全范式。传统的区块链安全高度依赖人工审计与有限工具，面对日益增长的系统复杂度存在瓶颈。AI，特别是大模型，擅长处理海量信息与复杂逻辑关联，能大幅降低风险发现成本、缩短漏洞存在时间，使安全从阶段性检查转向持续监测与响应。这种由AI与人类专家协同驱动、具备持续反馈与进化能力的机制，可被称为“递归安全”。安全行业因其需在庞杂系统中定位少数异常点的特性，成为AI能力释放的优先领域。AI不会消除风险，而是加速了整个攻防体系的信息处理效率，对防御方和攻击方能力均有提升。未来，安全的关键可能不再是漏洞数量，而在于风险发现速度、修复效率及系统韧性。行业竞争维度将转向构建持续的风险管理能力。Claude发现ZEC漏洞正是这一趋势的早期信号，预示着一个由AI驱动、持续演化的“递归安全时代”正在开启。

marsbit06/08 13:20

当AI开始审计世界：从Claude发现ZEC漏洞，看加密行业正在进入“递归安全时代”

marsbit06/08 13:20

Zcash遭遇历史性暴跌，数十亿市值从市场中蒸发

隐私加密货币Zcash近日遭遇历史性暴跌，24小时内价格腰斩，市值蒸发约50亿美元，成为今年加密市场最严重的单日跌幅之一。暴跌主因与近期披露的一个安全漏洞有关。该漏洞存在于Zcash的Orchard隐私池中，自2022年5月起隐藏近四年未被发现。安全研究人员利用人工智能工具成功在本地测试中制造了伪造的ZEC代币。尽管漏洞已于6月2日修复，但由于Zcash的隐私设计，无法验证在修复前是否有伪造代币被秘密铸造，这与比特币可公开验证总供应量的模式形成对比。这种不确定性引发了市场恐慌性抛售。此事件凸显了隐私与透明度之间的根本权衡。为恢复市场信心，Zcash开发团队Shielded Labs正探索一项网络升级提案，旨在让参与者能够验证Zcash总供应量的完整性。项目方强调，其优势在于拥有顶尖的密码学家和安全研究团队，主动寻找漏洞是持续强化网络的一部分。他们将此次事件视为安全流程有效的证明，而非警报，并表示在复杂的Layer-1系统中，漏洞难以完全避免，关键是由顶级研究人员不断测试和加固系统以构建弹性基础设施。截至报道时，ZEC交易价格约为365美元。

bitcoinist06/07 14:01

bitcoinist06/07 14:01

Claude Opus 4.8 找到一个 45 亿美元的 Bug，AI时代正在批量生产黑客

一名安全研究员使用AI模型Claude Opus 4.8在Zcash加密货币的隐私协议Orchard中发现了一个严重的“无限增发”漏洞，导致其市值短时间内蒸发约45亿美元。这一事件并非由Anthropic公司最尖端但受限的Claude Mythos模型完成，而是由已公开发布、进入日常工具的普通模型实现的，凸显了AI正在将发现高危漏洞的能力“民主化”和“廉价化”。 AI降低了漏洞挖掘的门槛，带来了双重影响：一方面，它催生了大量由AI生成的虚假或低质量安全报告，如同“注意力DDoS”攻击，消耗着本就人力匮乏的开源维护者精力；另一方面，它也能更快地找出那些隐藏多年、以往需要专家耗费巨大成本才能发现的真实漏洞。我们的数字世界一直建立在存在诸多潜在缺陷的代码之上，过去的“安全”在相当程度上源于发现成本高昂。然而，能力的扩散并未带来责任的均摊。网络安全行业本就面临巨大的人才缺口，尤其是在复杂分析和应急响应层面。当AI让攻击和漏洞报告变得泛滥时，修复漏洞、守护系统的人力链条却变得更加紧张。破坏可以被自动化脚本轻易复制，但重建信任与安全仍需依赖稀缺的专业人力进行艰苦、细致的修复工作。 AI时代揭示了一个现实：我们习以为常的平稳数字生活，并非理所当然，而是依赖于一条脆弱的人力协作防线在持续对抗风险。未来真正的挑战或许不是找到漏洞，而是是否有足够的人愿意并能够修复它们。

marsbit06/06 09:22

Claude Opus 4.8 找到一个 45 亿美元的 Bug，AI时代正在批量生产黑客

marsbit06/06 09:22

Zcash漏洞本可无限铸造未检测到的ZEC

Zcash的Orchard隐私池中发现一个严重漏洞，可能允许攻击者在未被察觉的情况下无限制造伪造ZEC。该漏洞由安全研究员Taylor Hornby于5月29日发现，并在6月2日前通过紧急响应完成修复。漏洞源于Orchard电路中的一个规则约束不足，使得攻击者能提交虚假输入并通过验证。该漏洞自2022年5月Orchard激活起一直存在。由于Orchard的隐私特性，无法通过密码学方法证明漏洞在修复前是否已被利用。为应对此问题，Shielded Labs正与其他开发者探讨网络升级方案，计划部署新的隐私池并采用闸门式记账，以验证ZEC供应完整性。同时，团队将加速推进对Orchard电路的正式验证工作，以提升系统安全性。事件引发市场担忧，ZEC价格在24小时内下跌近45%。

bitcoinist06/05 12:31

bitcoinist06/05 12:31

隐私币信任危机！ZEC 单日闪崩超 56%

隐私币ZEC于6月5日发生单日暴跌超56%，市值蒸发约50亿美元。此次崩盘源于Zcash最新隐私交易池“Orchard”中一个潜伏四年的零知识证明漏洞，该漏洞理论上允许攻击者在隐私保护下无限伪造ZEC且难以被检测。漏洞由独立安全研究员Taylor Hornby于5月29日利用AI审计工具发现。Zcash开发团队迅速响应，在6月3日通过硬分叉永久修复了该漏洞。然而，由于Orchard池的隐私设计，无法用密码学手段证明过去四年该漏洞从未被利用过，这导致市场对ZEC过去四年的供应总量完整性产生了根本性质疑。尽管官方强调无已知利用发生且总供应量完整，但“无法证伪”的风险动摇了市场信心。BitMEX联合创始人Arthur Hayes宣布清仓全部ZEC持仓，成为压垮市场情绪的关键因素。链上数据显示，合约市场爆仓严重，巨鲸通过空单获利丰厚。此次事件暴露了隐私币的核心困境：绝对的隐私性与可验证的供应完整性之间存在难以调和的矛盾。尽管项目方正计划推出新的审计方案以验证当前供应，但历史潜在风险已成为悬而未决的信任阴影。市场分析认为，此次暴跌不仅是技术危机，更是对隐私叙事价值基础的冲击，共识的修复将远比技术修复更为漫长。

链捕手06/05 10:15

链捕手06/05 10:15

ZEC 暴跌超30%背后：一个无法证明是否被利用过的「无限增发」漏洞

6月5日，Zcash创始人Zooko Wilcox披露，安全研究员Taylor Hornby于5月29日发现Zcash新一代隐私池Orchard存在一个严重伪造漏洞。攻击者可利用此漏洞在Orchard内生成无限且无法被检测的伪造ZEC，且该漏洞自2022年5月Orchard启用以来一直存在。团队在数天内紧急响应，通过软硬分叉升级修复了漏洞并恢复了Orchard功能。然而，由于Orchard的隐私特性，社区无法仅通过密码学方法证明在过去近四年里该漏洞是否已被利用过，即无法确认系统中是否已存在伪造资产。这种对供应量可信度的不确定性导致ZEC价格一度暴跌超30%。 Zcash Foundation表示目前未发现漏洞被利用的证据，并依靠原有机制保护总供应量。但生态支持组织Shielded Labs指出，需要可验证的方案来彻底证明历史清白。为此，社区正研究新升级提案，旨在通过强制迁移和重新验证来重建市场信任。值得注意的是，Taylor在发现漏洞过程中使用了刚刚发布的通用AI模型Claude Opus 4.8作为辅助工具，这表明发现复杂漏洞的能力正在向更广泛的工具链扩散。目前，攻击窗口虽已关闭，但市场仍在等待一个关于历史是否纯净的最终答案。

marsbit06/05 06:51