与该事件类型相关的快讯
比特币软件钱包 Electrum 于 10 月 24 日发布 4.8.3 版本，修复一项高危漏洞。恶意服务器可利用该漏洞篡改待确认交易，将用户资金导向攻击者地址；该漏洞影响 4.8.3 之前的所有版本。攻击者可拦截用户通过受控服务器广播的付款，并注入显示为零手续费的虚假冲突交易。用户若对看似卡住的交易提高费用，签名并广播的新交易可能将资金发送至攻击者地址。至少一名用户报告称，其于 10 月 18 日因此损失资金。此次补丁会在将待确认交易加入本地记录前，验证钱包自有输入的签名；来自外部发送方、且输入均不属于用户钱包的交易仍未进行签名验证。Electrum 开发者 SomberNight 表示，关闭这一缺口还需要额外工作。（Decrypt）
Bitcoin News 在 X 平台发文表示，Foundation Devices 称，攻击者利用公司认为已删除、但仍保留在历史数据库表中的客户记录，发起了超过 2.3 万次针对其硬件钱包客户的钓鱼邮件尝试。调查人员确认，其中 19,057 封通过 Mailgun 发送，另有 1,503 封通过 Google Workspace 发送；受影响客户人数仍未确定。Foundation Devices 表示，旧版 WooCommerce 数据库迁移后，旧表中的客户姓名、配送信息、退款记录及未完成结账信息仍可被访问；近期 Shopify 订单信息也可能暴露。公司称，尚无证据表明 Passport 硬件钱包或其私钥遭到泄露，调查仍在进行中。
据 Cointelegraph 报道，Immunefi 首席执行官 Mitchell Amador 表示，互联网用户仍面临源自 PHP 漏洞的网络攻击风险，尤其是采用上周三发布升级补丁较慢的小型网站，可能需数周才能完成更新。他称这是按计划发生的“漏洞末日”，即发现漏洞成本低廉、修复漏洞成本高昂。Amador 建议未来数周将任何登录网站视为可能已被入侵，避免重复使用密码，谨慎将加密钱包连接网站，并撤销未识别的代币授权。此前 PHP 基金会承认因资源短缺延迟修复 2024 年首次发现的关键安全漏洞，PHP 开发者同日发布两个关键漏洞的紧急补丁，但网站仍需自行升级。 Cloudflare 首席执行官 Matthew Prince 称，漏洞公开后 24 小时内网络记录数百万次利用尝试，披露前已有数千次尝试。W3Techs 估计 PHP 为约 69% 已知服务器端编程语言的网站提供支持。FBI 网络部门警告，该漏洞可能允许恶意行为者“在 PHP 核心中远程执行代码，可能危及敏感数据和网络”。
据 Keystone Hardware Wallet（@KeystoneWallet）声明，其官网于 10 月 20 日遭攻击者利用第三方监控工具漏洞入侵，约 25,964 条含个人信息的购买记录、12,873 条未付款结账记录及设备 WebAuth 认证密钥被获取。助记词、私钥及支付信息未受影响。Keystone 将销毁库存中 18,835 台含旧密钥的设备，暂停官网发货并改为预售，同时提醒用户无需转移资产，并警惕"召回"等诈骗。
据 PRNewswire 报道，标普全球（NYSE: SPGI）于 10 月 26 日宣布，已完成对链上金融安全标准提供商 OpenZeppelin 的收购。该交易于 9 月 17 日首次公布，财务条款未披露，预计不会对标普全球的财务业绩产生重大影响。 OpenZeppelin 成立于 2015 年，已完成 900 多项安全服务项目，在产品上线前发现 1 万多个漏洞。其开源智能合约库 OpenZeppelin Contracts 支撑的价值转移规模超过 38 万亿美元，涵盖多种主流稳定币和代币化基金。 此次收购将把标普全球的风险评估能力扩展到链上技术风险层，双方计划共同开发新一代链上安全评估与基准。收购后，OpenZeppelin 将继续以原品牌作为独立业务部门运营，创始人 Demian Brener 留任负责人，并向标普全球评级总裁 Yann Le Pallec 汇报。OpenZeppelin Contracts 将继续保持开源、免费并公开维护。
据 CoinDesk 报道，印度加密货币交易所 CoinDCX 确认损失 1600 万美元。原因是其资金归集（sweeping）流程未能将客户存款从 2025 年 7 月遭黑客攻击的钱包中转出。该交易所表示将自行承担这笔损失，并称活跃用户的资金仍然安全。
据 Bloom Trading 发文，针对近期发生的钱包资产被盗事件，平台表示将全额赔偿 9 名受影响用户（共 49 个钱包）的所有资金损失，并将赔偿资金直接转入用户指定的新安全钱包，无需设立专项赔偿基金。
据 Upbit 和 Bithumb 公告，两家韩国加密货币交易所均将 Initia（INIT）列为交易警示资产，原因是相关钱包或分布式账本被发现存在原因尚未查明或尚未解决的黑客攻击等安全事件，可能导致用户资产损失。目前，INIT 在两家交易所的充提服务均已暂停。Upbit 表示，后续恢复时将优先开放提现，充值服务将另行通知。
据 Onchain Lens 监测，Bloom Trading 用户报告钱包资产遭盗，约 95.4 万美元资金被转至疑似盗币地址。某黑客通过一个盗币钱包从 49 名受害者处盗取 9408 枚 SOL，最终数量可能更高。单笔被盗金额最高为 1636 枚 SOL，约合 16.6 万美元。Onchain Lens 提醒相关用户立即断开钱包连接，将剩余资产转移至新钱包。
ai16z 创始人 Shaw 在 X 平台进一步介绍 Pump.fun 智能合约逆向工程计划，表示其目标并非开发功能相似的合约，而是还原出与原始合约在字节层面完全一致的版本，包括原有代码中的漏洞及缺陷。他呼吁开发者借助 AI 工具参与逆向工程，并通过 GitHub 持续提交代码贡献。Shaw 指出，智能合约闭源不利于安全审计，并称过去一年因闭源合约存在严重安全漏洞而造成的资金损失超过 4,000 万美元。他认为，推动合约开源有助于开发者及 AI 发现和报告潜在漏洞。此外，Shaw 还计划将此前利用 Meme 币手续费收入回购的代币设为悬赏奖励，分配给参与逆向工程的贡献者。此前消息，ai16z 创始人 Shaw 在 X 平台发文表示，已完成 Pump.fun 全部合约逆向工程工作的 90%，预计今晚全部完成，并称 "开源一切，否则就会被强制开源。 "
Vitalik 在 X 平台发文表示，他认为 Kimi 3.1 在训练数据中有意排除高端攻击性网络能力是可以接受的。与按用户身份区别对待相比，按用途区别对待的负面程度要低得多；在强大网络攻击全面来临前，社会需要时间做好准备、加固系统、检查旧代码并对新代码进行形式化验证。Vitalik 还表示，如果未能妥善应对这第一波重大 AI 风险，社会可能走向高度限制模型、普遍实施 KYC 和监控的局面，用户可能因凭证和国籍而被划分为不同等级，获得不同的模型访问权限。
截至 10 月 21 日，2026 年 DeFi 领域已记录 43 起价格操纵攻击，超过此前全年最高纪录，即 2022 年的 27 起。相关损失合计约 1.99 亿美元，低于部分年份的损失规模，其中 Tectonic 一案约占 1.25 亿美元。其余 42 起中，有 32 起单笔损失不足 100 万美元。
Bitcoin News 在 X 平台发文表示，研究人员称 Tailscale 存在严重漏洞，拥有获批访问权限的用户可利用其内置 SSH 获取设备 root 权限，攻击还可能扩散至网络中的其他设备。使用 Tailscale 运行节点的用户应关闭 Tailscale SSH，并在补丁发布后及时更新。Tailscale 尚未回应。
据慢雾监测，去中心化交易平台 Yapeswap 遭攻击，损失约 2.19 万美元。根因是 WorkersUnion 治理法定人数为零，攻击者仅凭约 0.000055%的投票权便通过提案，将 YapeFactory 的 feeToSetter 权限转至己方。攻击者随后安装恶意 Registry，使 latestVault() 返回虚假金库，而 vaults() 仍列出真实金库。YapePair 将遭挪用的存款计为 farming 资产，却未获得可赎回份额。
CoinDCX 发布公告称，其于 10 月 21 日发现系统异常活动，随后调查确认，异常活动影响了此前因 2025 年 7 月安全事件而弃用的旧钱包基础设施。CoinDCX 表示，由于自动资金归集服务在一段时间内发生故障，部分用户误转入旧地址的存款未能及时转移，最终造成 1,599 万枚 USDT 损失，相关损失由公司承担。CoinDCX 强调，现有钱包及交易系统未受影响，用户资金仍安全存放于隔离的冷钱包中，交易、充值及提现服务均保持正常运行。
据Salus监测，Tether已将9个与CoinDCX安全事件相关的地址列入黑名单，冻结约221.29万枚USDT。相关调查由一笔异常转账引发，后续链上证据推动Tether采取冻结措施。
硬件钱包Keystone披露官网安全事件，第三方获取了部分客户姓名、联系方式、收货地址及订单详情。官方称，泄露信息不涉及银行卡信息、助记词、私钥或钱包密码，并提醒用户警惕后续诈骗。
据 Bitcoin News 监测，Electrum 披露一项高危安全漏洞，恶意服务器可在用户提高交易手续费时诱使其将比特币发送至攻击者地址。攻击者拦截已广播的交易，并在钱包历史记录中将其替换为一笔把资金转至攻击者控制地址的伪造交易。用户若通过 Replace-by-Fee（RBF）提高手续费，Electrum 可能会为该恶意交易签名。Electrum 确认收到两起相关事件报告，其中一名用户损失了资金。攻击者还生成了与预期收款地址末四位相同的地址。该漏洞影响 4.8.3 之前的版本，已在 4.8.3 版本中修复。Electrum 提醒用户立即更新，并在签署交易前核对所有收款地址和金额。
截至目前，三笔攻击交易已使攻击者获得约 485 万 USDT 及约 55 万枚 X，Freezer 中仍存有约 1220 万枚 X。Blockaid 表示，攻击仍在持续。
Electrum 官方宣布发布 4.8.3 版本，称该版本修复一项严重安全问题，并敦促所有用户升级。漏洞详细说明将于晚些时候公布。GitHub 更新日志将 4.8.3 标注为安全更新，发布日期为 10 月 23 日。Electrum 官网提醒用户仅从官网下载软件，并核验 GPG 数字签名，以确认安装包来源及完整性。