# 漏洞的所有文章

在 HTX 新聞中心流覽與「漏洞」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策，提供權威的加密行業洞察。

至少15名攻击者利用了Coldcard漏洞：Galaxy

加密货币硬件钱包Coldcard遭漏洞攻击，损失持续扩大。据Galaxy Digital研究主管Alex Thorn透露，至少15名不同攻击者利用该漏洞实施攻击，新受害者报告帮助识别出更多攻击者。最新数据显示，经过三轮确认的攻击波次，预估损失已升至1亿美元，若计入疑似第四波攻击，总损失或达1.3亿美元。此次事件引发关于冷钱包安全性的讨论。Dragonfly管理合伙人Haseeb Qureshi指出，约“2美元的AI强化”本可预防该漏洞，并引用社交媒体报告称，部分AI模型在20分钟内重现了该漏洞。但Tokenomist数据主管Tatsapat Saerejittima认为，AI在漏洞公开前独立发现的可能性较低，相关说法缺乏严谨测试。 Castle Labs联合创始人Francesco分析称，AI模型能力的提升正大幅降低发现加密货币漏洞的成本与时间，但Coldcard私钥设置可能加剧了风险：其私钥熵值（40位）低于行业标准（128位），这源于固件缺陷，使得攻击更易实施。他预计，随着AI在网络安全领域应用加深，漏洞发现成本将继续下降。

cointelegraph昨天 14:46

cointelegraph昨天 14:46

执法机构声称CLARITY法案帮助罪犯。行业代表称他们错了

美国全国警长协会致信参议院两党领袖，警告《CLARITY法案》现行版本将为去中心化金融系统的某些参与者提供广泛的注册、KYC（了解你的客户）、反洗钱及制裁法规豁免，可能使不法分子利用旨在隐藏数字资产交易的平台与服务。这是该协会第三次提出类似警告，并联合了多个检察官及警察局长组织，共同指出法案第604条可能为人口贩运、制裁逃避者和洗钱者制造漏洞。该条款通常被称为“区块链监管确定性法案”，旨在保护不托管用户资产的非托管软件开发者。执法机构认为其措辞过于宽泛，可能让实际托管资产或协助洗钱的运营商也获得保护，从而削弱与传统金融机构相比的KYC和反洗钱标准。区块链协会对此提出反驳，称这是对条款的“根本误解”，强调第604条仅解决开发者的错误分类问题，并非为犯罪分子提供豁免，也不限制制裁执行或妨碍针对洗钱等犯罪的起诉。这一分歧成为参议院投票前的关键争议点。执法社区内部意见也不统一：美国黑人执法官员全国组织已公开支持法案，认为其在保留现有执法权限的同时增加了新工具；美国大县警长协会则对第604条的立场从反对转为中立，称持续谈判已澄清条款的实施方式。随着参议院计划在8月休会前表决，关于开发者责任的争议已成为最具细节和重要性的议题之一。

cryptonews.ru昨天 11:46

cryptonews.ru昨天 11:46

比特币服务Boltz因一系列攻击而暂停互换

非托管比特币服务Boltz因遭遇一系列自动化攻击，已无限期暂停其原子互换服务。该公司表示，尽管用户资金安全未受影响，但攻击者利用漏洞的速度已超过其小型团队修复的能力，推测可能有多个资源充足的团体参与，其中或涉及人工智能技术。Boltz服务支持比特币主网、闪电网络和Liquid网络之间的跨链兑换，其非托管模式确保用户在兑换过程中始终掌控资产。目前，其API仍可用于处理退款，客服也保持运行，但团队警告服务不会很快恢复。此事件凸显了基于开放技术栈的比特币服务面临的新安全挑战。据此前报道，2026年上半年加密货币项目因漏洞攻击已损失约11亿美元。

cryptonews.ru昨天 11:16

cryptonews.ru昨天 11:16

Galaxy Research关于Coldcard的警示性声明！钱包损失可能超过2000枚BTC：详情披露

Galaxy Research发布关于Coldcard硬件钱包安全漏洞的警示，称潜在损失可能超过2000比特币，价值逾1.3亿美元。据分析，目前已确认三起大规模攻击和14起小型安全事件，导致约1596 BTC被盗，涉及约7300个比特币地址。漏洞源于Coldcard Mk3、Mk4、Mk5及Q型号设备中随机数生成机制的缺陷。生产商Coinkite已紧急发布软件更新，建议用户立即升级设备。研究指出另有一起疑似同手法攻击尚待确认，若计入则被盗总额可能达2055 BTC。调查团队正与美国联邦调查机构及多家加密货币交易所协作，追踪攻击者及资金流向。值得关注的是，约90%被盗比特币仍存于原始地址，分析认为攻击者可能尚未开始转移或洗钱。

cryptonews.ru昨天 07:01

Galaxy Research关于Coldcard的警示性声明！钱包损失可能超过2000枚BTC：详情披露

cryptonews.ru昨天 07:01

在Coldcard被盗案件一线才知道，为什么这次影响比数据上要大的多

5年前的一个漏洞引发了今年比特币最大的盗窃案。7月30日，攻击者利用Coldcard硬件钱包在生成助记词时的弱随机数bug，扫描上千地址盗走近2000枚比特币，价值上亿美元。尽管从数据看并非史上最大，但Coldcard在海外比特币核心信仰群体中口碑极佳，此事件严重打击了社区对开源硬件钱包和安全基础的信心。慢雾创始人余弦指出，问题的核心在于助记词生成的熵值不足，导致种子可被暴力碰撞。令人深思的是，如今强大的AI模型本可帮助发现此类漏洞，但却是黑客率先利用。这揭示了在AI时代，攻防双方存在资源与动力的不对等，未来可能出现更严重的安全事件。对于普通用户，余弦建议：为助记词添加passphrase（密码短语），将大部分资产置于加密码的地址中；定期梳理资产，检查助记词安全性；保持冷静，避免因恐慌而遭遇钓鱼；采用隔离思维，将不确定的资产单独存放。对于非技术用户，选择有实力的中心化交易平台亦是可行方案。此次事件警示，安全永远无法做到100%，持续的警惕和恰当的防护措施至关重要。

marsbit昨天 06:56

marsbit昨天 06:56

7月安全月报：总损失约9700万美元，跨链桥攻击集中爆发超3500万

2026年7月，加密货币领域安全事件总损失约9700万美元，其中黑客攻击造成约9400万美元损失。攻击路径呈现从智能合约漏洞向链下基础设施、签名密钥泄露和治理操纵等非代码层面转移的趋势。跨链桥仍是重灾区，AFX Trade、Verus等多起攻击在数小时内集中爆发，合计损失超3500万美元。主要安全事件包括：Ostium因链下预言机权限被入侵损失约2375万美元；AFX Trade跨链桥因验证密钥泄露损失约2415万美元；BonkDAO因治理投票规则设计缺陷遭操纵，损失约2000万美元；Bonzo Lend遭遇预言机操纵攻击，损失约905万美元；Verus跨链桥遭二次攻击，损失约755万美元；B2 Network因质押合约升级权限被夺取损失约386万美元；Summer.fi因金库配置漏洞损失约604万美元。此外，钓鱼诈骗造成约300万美元损失，出现了仿冒应用、实体信件等高危手段。安全团队建议个人用户警惕不明链接与授权，项目方需强化链下权限管理、治理规则设计及建立监控机制，行业应推动跨链桥安全标准与威胁情报共享。

marsbit昨天 02:21

marsbit昨天 02:21

AI批量轰炸苹果bug赏金计划，审核团队已下线

苹果bug赏金计划因AI冲击陷入审核危机，被迫设置提交限制。为应对日益增多的安全漏洞，苹果自2016年起运行漏洞赏金计划，并在2025年将最高奖金提升至500万美元。然而，AI工具的普及大幅降低了漏洞发现门槛，导致大量业余研究者和AI模型生成的海量报告涌入，其中包含许多无效或虚假的“AI幻觉”漏洞，使得苹果安全团队审核工作量不堪重负。为此，苹果于2026年8月2日对漏洞提交设置了数量上限和30天的“冷静期”。这一困境凸显了AI对安全领域的双重影响。一方面，攻击方利用AI高效发现了严重漏洞。例如，2026年5月，有研究团队借助Claude的先进模型，仅用5天就绕过了苹果号称“史上最重大”的内存安全防护技术（MIE）。另一方面，防御方和供应商正被AI生成的大量低质量报告淹没，curl创始人、Google、Nextcloud、GitHub等均已采取行动限制或调整其漏洞报告计划。作为回应，苹果也开始利用AI进行防御。在2026年7月的macOS安全更新中，苹果首次致谢了包括Claude、Codex Security在内的多个AI工具，并加速了安全补丁的发布节奏。然而，这种高频更新本身也可能带来新的风险，打破了苹果传统的严格发布周期，反映出在AI时代，漏洞发现与修复的竞赛正在急剧加速，对整个生态系统的安全流程构成了全新挑战。

marsbit昨天 01:46

marsbit昨天 01:46

2013年的“比特币鲸鱼”苏醒，在Coldcard担忧加剧之际转移500枚BTC

两日前（8月1日）有报道称，由于Coldcard硬件钱包的固件和随机数生成器漏洞，已导致约1431.97 BTC被盗，这促使部分比特币持有者考虑将资产转移至中心化交易所或托管服务，同时也引发了一批长期休眠钱包的异动。在7月30日至8月1日期间，已有306 BTC从休眠地址转出。这一趋势持续，本周一，一个自2013年12月6日起休眠的地址转移了500 BTC（价值约3132万美元）。该地址创建于比特币首次突破1000美元之时，当初这批比特币价值约52.1万美元。区块链数据显示，接收这笔资金的地址与已知交易所、托管机构或实体无关。对于早期持有者而言，十多年未动的钱包不仅是资产，更代表了2013年那个比特币初破千元、尚属小众时做出的自我托管承诺。他们依赖硬件钱包而非中心化平台，旨在完全掌控私钥。而Coldcard漏洞正动摇了这一根本安全哲学。此次大额转移并非出于市场时机选择，而是持有者意识到旧钱包可能已不符合当前安全标准。随着超1400 BTC已因该漏洞被盗，且近日有数百枚BTC从休眠钱包主动转出，对许多长期持有者来说，选择已很明确：要么相信旧钱包从未被侵入，要么主动转移资产，避免他人代为决定。转移一笔沉寂十年以上的巨额余额，尽管会暴露地址，但这更像是为保全资本而采取的安全措施，而非交易决策。对于最资深的比特币持有者而言，当前优先事项或许是资产保全，而非市场投机。

cryptonews.ru前天 20:35

2013年的“比特币鲸鱼”苏醒，在Coldcard担忧加剧之际转移500枚BTC

cryptonews.ru前天 20:35

ZachXBT拒绝追踪损失达8800万美元的Coldcard黑客攻击案

知名区块链调查员ZachXBT表示，目前不打算调查涉及Coldcard硬件钱包的漏洞事件，总损失已增至约8860万美元。他称其工作重心在重视其贡献的生态，而比特币"最大化主义者"并非其赞助者，因此协助义务较少。此次漏洞源于加拿大制造商Coinkite的Coldcard Mk3固件缺陷（版本4.0.1至4.1.9），导致部分钱包的助记词熵由软件生成而非专用芯片，使其可被推测。首次攻击发生在7月30日，约594枚BTC（当时约3800万美元）在半小时内从近500个闲置地址被窃。尽管Coinkite在两天内发布修复固件，攻击仍持续发生。至8月2日，Galaxy Research统计显示，三波攻击共从4585个地址窃取1367枚BTC。攻击的迅速与精准引发了对自动化工具（或涉及AI）的猜测。事件还暴露出Coinkite在客户数据管理上的争议——公司曾声称90天后删除客户数据并提供匿名购买选项，但此次却向可追溯到2019年的客户邮箱发送漏洞警告，并承认无限期保留邮箱地址，这引发了独立批评。此事动摇了用户对自托管加密货币的信心，可能促使部分投资者转向交易所基金。此外，区块链上甚至出现了直接向黑客发出的公开洗钱提议，使事件演变成一场公开闹剧。随着ZachXBT等主要调查者退出，追踪被盗资金的责任更多地落到了Galaxy Research等机构身上。据悉，该熵错误可追溯至2021年3月的固件版本，这意味着过去四年多在此版本下生成的助记词若未通过更新固件更换，可能仍然脆弱。

cryptonews.ru前天 12:05

cryptonews.ru前天 12:05

建议XRPL节点运营商立即更新至3.2.1版本

Ripple开发总监Vijay Khanna通知XRPL节点运营商近期发布了版本3.2.1，该版本包含对网络的重要修复。此次更新旨在解决一种“验证器清单洪泛”攻击。 2026年7月31日，XRPL网络曾遭遇此类洪泛攻击。在旧版本中，节点会无限制地接收、存储和转发来自未知验证器密钥的清单。版本3.2.1引入了四项关键限制来防止此类攻击： 1. 清单大小限制：超过预期大小的清单将被拒绝。 2. 接收限制：超过限制的传入数据包将被丢弃，而不会断开节点连接。 3. 发送限制：发送给每个新节点的欢迎消息中所附的清单数据包现在受到限制。 4. 缓存限制：在存储100个未知密钥后，新的未知密钥将被拒绝。此外，来自未知密钥的清单将不再被保存到磁盘，这意味着洪泛攻击的效果在节点重启后无法持续。 XRPL 3.2.1通过早期拒绝过大对象、限制对不受信任数据的处理和存储、限制消息大小、限制转发新的不受信任标识符以及防止不受信任信息进入持久存储，显著提高了验证器清单分发的安全性。节点运营商被强烈建议采取以下行动：在常规维护窗口将XRPL升级至版本3.2.1，等待一至两分钟，确认xrpld进程正在运行，最后重启xrpld。

cryptonews.ru前天 09:39