# 安全的所有文章

在 HTX 新聞中心流覽與「安全」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策，提供權威的加密行業洞察。

Humanity Protocol与Kelp DAO被盗资金出现混流——是否为同一攻击者所为？

区块链调查显示，针对Kelp DAO和Humanity Protocol的两次攻击事件出现了新关联。分析人员发现，从这两个不同项目中盗取的资金近期被混合转移，表明资产流经了相同的钱包或交易路径，这揭示了攻击者之间可能存在联系。具体而言，Humanity Protocol的攻击者将价值约2360万美元的15,403 ETH转移到一个新的以太坊地址，随后资金被桥接到比特币网络，并与Kelp DAO漏洞的资金合并。目前，已有超过800万美元的被盗资金被清洗。值得注意的是，这种将不同攻击所得汇集至单一比特币钱包，再通过混币器或场外交易转移的手法，与朝鲜黑客组织Lazarus的典型策略相似。Kelp DAO在2026年4月损失约2.92亿美元，而Humanity Protocol在同年6月损失约3200万美元。此次资金混合降低了内部人员作案的可能性，更指向共同的外部威胁行为者或关联的犯罪网络。事件凸显了DeFi领域持续面临的安全风险，与此同时，ETH价格也在市场整体下跌中触及日内低点。

ambcrypto06/28 11:17

Humanity Protocol与Kelp DAO被盗资金出现混流——是否为同一攻击者所为？

ambcrypto06/28 11:17

2028，RSI降临

AI正从被训练的工具转变为自主进化的实体，递归自我改进（RSI）成为焦点。Anthropic联合创始人Jack Clark预测，到2028年底，AI很可能无需人类干预，自主创造出更强大的下一代AI，概率约为60%。他基于数据推演指出，AI进步速度正超越人类评估上限。同时，谷歌DeepMind负责人Demis Hassabis证实，所有前沿AI实验室都在全力推进RSI，将其视为行业共同方向。他坦言对此深感忧虑，甚至影响睡眠。实际进展支撑了这些预测。例如，Claude Opus 4.7在MirrorCode测试中独立编程19天，成功重建复杂软件，效率远超人类工程师。Anthropic内部数据显示，其代码库超过80%的代码由AI编写，工程师产能提升至8倍，AI在优化自身训练代码时甚至实现52倍加速。 OpenAI也在政策文件中承认RSI的早期迹象，并视其为未来核心安全议题。Sam Altman内部表态称，若RSI临近，公司甚至可能推迟万亿级IPO。综上，多个权威信号表明，AI自主改进的飞轮已开始高速旋转，2028年可能成为关键转折点。行业竞争加剧，但随之而来的治理与安全挑战也亟待应对。

marsbit06/28 10:45

marsbit06/28 10:45

Mysten Labs推出Sui Seal MPC，允许AI代理在无密钥持有状态下进行交易

Mysten Labs于2026年6月在Sui主网上线了Sui Seal MPC系统。该系统旨在让自主AI代理无需直接持有或控制私钥即可执行链上交易。其核心是采用多方计算技术，将密钥份额分布到多个独立节点，消除了单一密钥暴露的风险。此外，系统利用Move智能合约来强制执行可定制的支出与合规策略，例如设置每日交易上限、指定允许的交易对手方等，为AI代理的行为设置了安全护栏。该系统还支持“隐藏出价”功能，适用于AI驱动的交易场景，出价在同步揭晓前可保持加密状态，有助于防止抢跑风险。总体而言，Sui Seal MPC为Sui网络在“智能体网络”叙事中提供了关键基础设施，试图解决AI代理在链上安全持有权限、签署交易和遵守规则这一核心难题。其实用性将取决于后续的开发者采用和用户信任。

bitcoinist06/27 17:37

Mysten Labs推出Sui Seal MPC，允许AI代理在无密钥持有状态下进行交易

bitcoinist06/27 17:37

Cardano钱包遭遇SecondFi漏洞攻击，私钥缺陷引发安全警告

Cardano生态钱包服务商SecondFi（前身为Yoroi钱包关联品牌）因其专有的网页版钱包生成软件存在关键漏洞，已暂停服务。该漏洞导致用户私钥暴露，并引发了大规模的ADA代币盗窃事件。初步报告显示，约有374个钱包被盗走约1600万ADA（当时价值约240万美元）。而安全公司SlowMist警告，总损失可能超过1.29亿ADA（价值超2000万美元）。核心问题是SecondFi的私钥生成过程存在缺陷，这使得攻击者能够直接访问相关钱包。需要明确的是，此次事件是SecondFi钱包软件层面的安全漏洞，并非Cardano区块链协议本身被黑客攻击。这对市场和用户的理解至关重要。安全人员向受影响用户发出强烈警告：切勿将已泄露的助记词（种子短语）导入其他钱包，因为这只会将已暴露的私钥转移到新界面，无法解决问题。同时，用户应警惕虚假的恢复链接或第三方退款平台，谨防二次诈骗，并仅依赖官方渠道的信息。此次事件提醒Cardano社区，区块链安全不仅在于底层协议，钱包生成、浏览器界面、助记词处理等环节同样可能成为关键风险点。目前，事件仍在发展中，最终影响范围和后续处理方案有待官方进一步确认。

bitcoinist06/27 03:01

bitcoinist06/27 03:01

黑客40天内盗走近1700万美元，“僵尸合约”正变成黑客的提款机

过去40天内，黑客针对五个已被弃用但仍在链上运行的智能合约发动攻击，盗取资金总额约1690万美元。其中最严重的案例是DxSale，其旧版流动性锁定合约因一条旧控制路径被重新利用，损失约730万美元。这些合约虽已不再主动维护，但仍保留经济价值、操作权限或资金入口，因此成为攻击目标。其他受害项目包括TrustedVolumes、Huma Finance V1、Raydium Legacy AMM池以及Aztec Connect。分析指出，问题核心并非单一漏洞，而在于旧合约退役不彻底。随着团队注意力转移，旧合约的监控减弱、安全假设过时，但其链上代码和历史数据公开，正日益成为自动化攻击工具低成本扫描的目标。当前DeFi安全审计侧重于项目上线，而合约的退出、迁移与彻底退役缺乏同等严格的管理规程。只有当所有资金、权限和可调用入口均被移除，一个合约才算真正“退休”。

marsbit06/26 09:13

marsbit06/26 09:13

万万没想到，AI x Crypto 最先落地的是安全审计

AI正深刻改变加密领域安全审计的格局。数据显示，2026年上半年DeFi领域安全事件频发，累计损失约9.42亿美元，其中第二季度尤为严重。传统观点认为安全审计需求稳定，但以Claude Mythos为代表的新一代AI工具大幅降低了发现智能合约漏洞的门槛，攻击者可快速扫描并利用漏洞，使得传统审计报告的有效期急剧缩短。攻击不再局限于小型协议，即使经过多家知名机构审计的头部协议也频繁遭殃。攻击手段扩展到社会工程学、基础设施配置缺陷等领域，显示代码审计的覆盖范围存在局限。例如，Drift Protocol和KelpDAO均因非代码层面的漏洞导致重大损失。同时，AI也在辅助攻击者挖掘多年前部署的旧合约漏洞，使历史审计的保护价值归零。OpenZeppelin联合创始人甚至公开表示“所有DeFi都不安全”，引发行业广泛讨论。面对挑战，项目方开始基于新标准进行防御性的重复审计，但这更多是应对风险的被动支出。审计机构则加速转型，一方面研发AI辅助审计系统提升效率，如OpenZeppelin推出Skills系统将安全防线前移；另一方面，商业模式正从一次性报告交付转向提供持续监控、形式化验证等嵌入式服务。例如，AI原生审计工具Firepan在已被多重人工审计的Curve合约中发现了新的组合型漏洞，展现了AI在防守端的潜力。总之，AI加剧了攻防两端的竞赛。对于项目方，安全已成为需要持续投入的基础设施；对于审计机构，唯有加快技术和服务模式的重构，才能适应新时代的竞争。安全审计赛道正从红利模式转向激烈的竞争模式。

链捕手06/26 07:12

链捕手06/26 07:12

Polymarket 遭300万美元漏洞利用：第三方入侵后用户将获得全额退款

预言市场平台Polymarket因第三方供应商遭入侵，导致前端被注入恶意脚本，约15名用户损失约300万美元加密资产。平台确认核心协议未受影响，属供应链攻击，已移除受损依赖并承诺全额赔付用户。此次事件距上次私钥泄露致70万美元损失不足两月，凸显加密行业第三方依赖的安全风险。Polymarket未透露具体供应商信息，也未发布完整技术分析。

TheNewsCrypto06/26 07:12

TheNewsCrypto06/26 07:12

Tornado Cash 再遭治理攻击：一份假提案盯上了 2300 万美元社区金库

2026年6月25日，Tornado Cash DAO出现一份编号67的治理提案，标题为“建立0.5%费率标准与90%动态通缩销毁方案”，内容看似旨在优化协议经济模型。但安全研究员发现，该提案合约代码未经验证，其真实目的是通过一个隐蔽函数，将协议的管理员地址替换为攻击者控制的地址（0x5efda50f22d34f272c7077689d6abc42f15e285f），该地址与真实治理地址高度相似。若提案通过，攻击者可盗取治理合约中约2300万美元的TORN代币并瘫痪协议。提案创建者的资金来源于隐私协议Railgun，难以追踪。社区及时发现恶意意图后，投票结果呈压倒性反对（27,163 TORN反对，0票赞成）。由于未达到10万TORN的法定投票数，提案预计将失效。这是Tornado Cash第二次遭遇类似治理攻击，上次发生在2023年5月。此次事件再次暴露DAO治理的常见风险。对普通用户而言，需关注安全预警，对未验证合约的提案保持警惕，并考虑委托投票权以提升安全性。对协议而言，引入时间锁（Timelock）机制是重要的防御措施，能为社区审查提供缓冲期。

Foresight News06/26 06:01

Tornado Cash 再遭治理攻击：一份假提案盯上了 2300 万美元社区金库

Foresight News06/26 06:01

第三方服务商遭入侵引发300万美元钓鱼攻击，Polymarket承诺赔付受影响的用户

预测市场平台Polymarket表示，在因第三方供应商遭入侵导致其前端被植入恶意代码后，将全额赔偿受影响的用户。此次事件引发了一场网络钓鱼攻击，区块链安全研究人员估计损失近**300万美元**。 Polymarket在**6月25日**发布的声明中称，已于当日发现供应商遭入侵，并迅速移除了受影响的依赖项，控制了事态。公司表示正在联系受影响的用户并承诺全额退款。此次事件似乎仅影响了在攻击期间与受感染前端交互的用户，平台底层智能合约未受影响。据分析，攻击源于一家遭入侵的第三方供应商，其在平台前端部分注入了恶意脚本。Polymarket尚未公开涉事供应商身份或发布详细的技术分析报告。区块链安全公司PeckShield指出，这起事件疑似针对Polymarket用户的钓鱼活动。攻击者从超过**11个受害钱包**中盗取了价值约**300万美元的PUSD**，随后将被盗资金从Polygon桥接至以太坊，并兑换为约**1,893 ETH**，最终整合至一个被监控的地址。Polymarket未公开确认具体损失金额或受影响钱包数量。与许多用户需自行承担损失的钓鱼事件不同，Polymarket承诺对所有受攻击影响的用户进行赔偿。公司表示正在直接联系受影响用户并继续调查此次入侵事件，但未提供赔偿流程或完整事件报告发布的具体时间表。

ambcrypto06/25 18:04

第三方服务商遭入侵引发300万美元钓鱼攻击，Polymarket承诺赔付受影响的用户