# 漏洞利用的所有文章

在 HTX 新闻中心浏览与「漏洞利用」相关的最新资讯与深度分析。潘盖市场趋势、项目动态、技术进展及监管政策，提供权威的加密行业洞察。

Cardano钱包漏洞事件：SecondFi追踪攻击源于私钥缺陷，警告用户勿恢复助记词

SecondFi已查明近期Cardano钱包攻击事件的根源，其软件签名器中存在**确定性nonce派生漏洞**。该漏洞导致受影响地址在签署交易后，攻击者能够从公开的区块链数据中通过数学方法重构出私钥。此次攻击共影响了**374个钱包**，涉及约**1600万ADA**（价值约240万美元）。 SecondFi警告受影响用户，由于私钥层面已泄露，切勿将受损的助记词恢复到其他钱包或尝试自行转移资金，否则资产可能再次被盗。该公司已启动恢复计划，确认了**两个攻击者团伙**，并已紧急保全约**1.29亿ADA**。目前平台处于维护模式，正接受多家外部安全公司的审计，并设立了专项恢复基金用于用户赔偿。

ambcrypto06/25 16:17

Cardano钱包漏洞事件：SecondFi追踪攻击源于私钥缺陷，警告用户勿恢复助记词

ambcrypto06/25 16:17

旧版Polygon版税合约因奖励逻辑漏洞被利用，造成26.1万美元损失

近日，Polygon平台上一个旧的版税合约遭黑客利用，损失约26.12万美元。安全公司TenArmorAlert于6月23日发现了异常交易并追踪到此次攻击。攻击者通过Polygon区块89,018,051上的交易实施了攻击。据分析，漏洞源于合约奖励计算和记账机制存在缺陷。具体而言，被利用合约中的Royal1155LD.beforeLdaTransfer()函数存在问题，攻击者通过发起多笔零值交易，操纵奖励计算和所有权计数，从而虚增代币余额，最终超额提取了资金。此外，攻击者还使用了闪电贷来扩大攻击收益。此次事件再次凸显了陈旧或处于休眠状态的智能合约所面临的安全风险。安全研究人员建议开发团队对旧版本合约进行审计、更新、停用或彻底移除，以降低潜在攻击威胁。Polygon开发团队确认，此次攻击仅针对特定遗留合约，并未危及Polygon主网区块链的安全。

TheNewsCrypto06/24 12:59

TheNewsCrypto06/24 12:59

臭名昭著的MEV机器人JaredFromSubway被盗取750万美元

以太坊上臭名昭著的MEV机器人“JaredFromSubway”据报道被盗约750万美元。安全公司Blockaid指出，攻击者通过其控制的合约欺骗该机器人的自动化系统，使其批准了恶意交易路径。随后，攻击者利用这些授权从机器人合约中提取了WETH、USDC和USDT资产。此次事件并非以太坊底层协议被黑，也非普通用户使用的主流DeFi应用出现广泛故障，而是针对特定MEV机器人及其在自动交易中与合约交互逻辑的攻击。这凸显了自动化交易系统的一个普遍风险：对速度的追求可能转化为脆弱性。MEV机器人需要比人类交易者行动更快，但也因此更容易落入精心设计的陷阱。该事件对市场的主要影响可能不在金额本身，而在于对MEV基础设施声誉的打击，以及促使机器人运营商更严格地审查其授权逻辑。目前，这应被视为针对交易机器人的定向攻击，而非影响整个网络的安全事件。

bitcoinist06/22 15:31

bitcoinist06/22 15:31

猎手反遭围猎，最能赚钱的MEV Bot被黑了

知名MEV Bot地址Jaredfromsubway.eth近期遭遇针对性的“反MEV蜜罐攻击”，损失超过750万美元。攻击者并非利用传统漏洞，而是通过精心部署66个伪装成主流资产的虚假合约与流动性池，制造套利机会诱骗该Bot自动执行交易并授权，最终利用后门逻辑盗取资产。 Jaredfromsubway.eth是以太坊网络上最活跃、盈利最高的MEV Bot之一，擅长通过“三明治攻击”等策略捕获交易滑点收益，历史累计收益达数千万美元级别，甚至曾狙击过Vitalik Buterin的交易。此次事件表明，即使是链上生态中的顶级“掠食者”也面临日益复杂的安全威胁。攻击者通过长期布局，利用了MEV Bot自动化策略的逻辑缺陷进行精准收割。事后，有冒充账户在社交媒体上虚假宣称悬赏追回资金，相关开发者已提醒用户警惕诈骗风险。

Odaily星球日报06/21 09:15

Odaily星球日报06/21 09:15

Zcash Orchard漏洞四问：曾被利用？资金可追？供应量可验？还有别的吗？

Zcash创始人Zooko Wilcox就近期发现的Orchard隐私池伪造漏洞发表回应，主要澄清了四个核心问题。第一，该漏洞很可能未被利用。漏洞由专业团队使用先进工具发现，且修复迅速，加之历史上类似漏洞会快速变现，目前尚无证据表明漏洞被利用过。第二，如果漏洞未被利用，所有合法的Orchard资金完全可以追回。即使存在伪造，现有机制也会限制其流出量，但谨慎用户仍可考虑将资金转移至Sapling池或透明地址，不过需注意相关风险。第三，目前用户尚无法自行验证Zcash总供应量是否因漏洞而超发。但计划中的Ironwood升级将通过封存Orchard池来彻底解决此问题，恢复用户独立验证供应量健全性的能力。第四，通过多个团队及AI辅助的持续深入审查，目前未发现其他类似的伪造漏洞，但完全确定仍需更多工作。总结而言，官方评估漏洞未被利用的可能性高，资金安全，且正通过升级恢复系统的可验证性。

marsbit06/15 07:50

Zcash Orchard漏洞四问：曾被利用？资金可追？供应量可验？还有别的吗？

近日，隐私项目Zcash的新一代隐私池Orchard被曝曾存在关键伪造漏洞，引发市场对ZEC供应量与资金安全的担忧。Zcash创始人Zooko Wilcox对此发布长文回应，主要围绕四个核心问题展开。首先，关于漏洞是否曾被利用，他认为可能性不大。该漏洞由专业团队使用先进AI工具主动发现，此前未被察觉。开发者在发现后迅速协调矿池冻结Orchard池并修复，限制了攻击窗口。历史上，加密货币漏洞利用多为快速变现，目前未见相关证据。其次，关于合法Orchard资金能否追回，他认为可以。若漏洞未被利用，所有资金可完全追回。即便发生过伪造，现有的转门机制也会限制总迁移量，但用户可能无法追回全部资金。他建议谨慎用户可将资金转移至透明池或Sapling池，但也提示了关联交易暴露、依赖旧可信设置等额外风险。第三，关于用户能否验证ZEC供应量未超标，目前尚不能。但即将到来的Ironwood升级将通过封存Orchard池来解决此问题，届时任何运行节点者都能独立验证流通中的ZEC未超过正确数额，恢复供应量的可验证性。最后，关于是否存在其他伪造漏洞，目前不能完全确定，但持续审查（包括使用AI辅助分析）尚未发现其他类似漏洞，增加了信心。团队正与其他项目合作为此提供更多保证。总结而言，Wilcox评估漏洞很可能未被利用，资金可追回，供应量安全，且暂无其他漏洞迹象。但用户最终不应依赖他人评估，而Ironwood升级将恢复用户自行验证供应量的关键能力。

Odaily星球日报06/15 07:49

TRM称：Token Of Power治理漏洞致158万美元WETH被盗

区块链情报公司TRM Labs披露，Token of Power协议遭遇治理攻击，损失约158万美元的WETH。攻击者利用该协议Aragon DAO设置中缺乏时间锁的漏洞，在单个区块内快速提出、投票并执行恶意治理提案，从而掌控了协议。据分析，攻击者从Tornado Cash提取662 ETH作为资金，购买大量TOP代币以获得多数投票权，随后增发100亿枚TOP代币，并通过Balancer流动性池将其兑换为WETH，最后资金经Tornado Cash转移。此次事件凸显了治理设计本身可能成为安全风险。时间锁的缺失使得恶意行为者能够快速收购投票权并即时执行变更，用户和开发团队没有时间反应。这提醒DeFi用户，风险不仅来自智能合约代码漏洞，治理参数、国库控制和投票门槛等机制同样关键。此外，事件也展示了混币器和流动性池可在攻击中被利用，而它们本身并非被攻击协议。后续需关注被盗资金动向，以及相关方是否会公布进一步的补救细节。从市场角度看，这一事件反映了加密货币领域更广泛的趋势：基础设施、安全、治理和代币效用正变得与短期价格波动同等重要。扎实的报道应基于可信来源，阐明实际风险，并为后续进展留出空间。

bitcoinist06/14 21:31

bitcoinist06/14 21:31

黑客钱包将盗取的代币兑换为18,510枚ETH与1,548枚BNB

据区块链追踪机构Lookonchain监测，一个与攻击事件相关的钱包已将盗取的资金转换为18,510枚ETH（约合3083万美元）和1,548枚BNB（约合92.4万美元）。攻击者仍持有价值约1400万美元的1.1136亿枚H代币，可能随时出售。此次资金转换值得关注，因为攻击者通常在套现前将难以变现或易于追踪的代币转换为流动性更高、更主流的资产。ETH和BNB因流动性强，常成为此类资金整合的目标。大规模的资金转换可能对相关资产价格产生影响，也可能预示着攻击者后续将通过跨链桥、混币器或交易所转移资金。虽然区块链交易公开可查，但控制者身份往往难以确定。区块链监控服务能在官方完整报告发布前及时披露此类资金动向，为安全团队和研究人员提供追踪线索。不过，资金可能被快速分割或跨链转移，增加追查难度。资金一旦转换为高流动性资产并分散至多链，追回将更具挑战且时间紧迫。

bitcoinist06/13 18:43

bitcoinist06/13 18:43

恢复加密隐私：Zcash (ZEC) 在暴跌50%后采取行动

Zcash (ZEC) 在经历因严重漏洞引发的超50%价格暴跌后，正采取措施重振市场对其隐私网络的信心。此次漏洞存在于其Orchard零知识证明电路中，可能导致攻击者在未被察觉的情况下制造假ZEC。开发团队紧急修复了漏洞，币价随后反弹超70%。然而，由于Orchard池的隐私特性，目前无法验证漏洞被利用前是否已有假币生成。为解决此问题，Zcash生态系统相关方提出了名为“Ironwood”的新提案。该方案旨在让每个节点用户都能独立验证ZEC的流通供应量是否被篡改，并阻止在Orchard池内铸造新币。资金只能通过“旋转门”机制单向流出。此举既能帮助查明漏洞是否曾被利用，也能在发现超额假币企图流出时将其拦截并销毁，从而保护现有流通供应。

bitcoinist06/11 05:01

bitcoinist06/11 05:01

Humanity被盗超3100万美元，背后团队在为新项目铺路？

加密货币项目Humanity Protocol遭遇重大安全事件，超过3100万美元的H代币被盗，导致其价格24小时内暴跌超90%。项目创始人Terence声称事件源于基金会一名成员的私钥泄露。然而，链上侦探ZachXBT等指出此次事件可能系人为策划，而非单纯的黑客攻击。其依据包括：代币抛售集中在去中心化交易所进行，且项目团队过往存在诸多争议。团队核心成员曾被曝光有管理不善、财务违规等“黑历史”，项目本身也经历过“技术外包”、“空投闹剧”等争议。进一步信息显示，Humanity团队已转向其孵化的新项目Everything，后者近期完成了690万美元的融资。这引发了社区质疑，认为此次“被盗”事件可能是团队为转移注意力、甚至为金蝉脱壳为新项目铺路而自导自演。事件真相仍在调查中，但其背后团队的信誉已遭受严重质疑。

Odaily星球日报06/09 04:54

Odaily星球日报06/09 04:54

# 漏洞利用的所有文章

Cardano钱包漏洞事件：SecondFi追踪攻击源于私钥缺陷，警告用户勿恢复助记词

旧版Polygon版税合约因奖励逻辑漏洞被利用，造成26.1万美元损失

臭名昭著的MEV机器人JaredFromSubway被盗取750万美元

猎手反遭围猎，最能赚钱的MEV Bot被黑了

Zcash Orchard漏洞四问：曾被利用？资金可追？供应量可验？还有别的吗？

Zcash Orchard漏洞四问：曾被利用？资金可追？供应量可验？还有别的吗？

TRM称：Token Of Power治理漏洞致158万美元WETH被盗

黑客钱包将盗取的代币兑换为18,510枚ETH与1,548枚BNB

恢复加密隐私：Zcash (ZEC) 在暴跌50%后采取行动

Humanity被盗超3100万美元，背后团队在为新项目铺路？

热门分类

热门标签

项目动态

比特币