同时关联该项目与事件的快讯
GoPlus Security 发布安全警报称，8 月 25 日，Realio Network 旗下 realio[.]fund 遭攻击，攻击者接管平台签名系统，并在以太坊、BNB Chain、Algorand、Stellar 及 Realio 原生链上转移金库与托管钱包资产。此次事件共涉及约 1.279 亿枚 RIO，价值约 620 万美元，攻击者目前已套现约 31.7 万美元。
The Sandbox 发布 8 月 22 日漏洞事件事后分析报告。报告显示，攻击者利用 Base 和 BNB 智能链（BSC）上跨链配置相关合约中的漏洞，从以太坊金库窃取 14,742,341.84 枚 SAND，约占最大供应量的 0.5%，估算经济影响约 149.68 万美元，其中约 98.7 万美元被攻击者实际截留。以太坊主网及 Polygon 网络未受影响。在另行通知前，请勿在 Base 或 BNB 智能链上购买或发送 SAND。部署在 Base 和 BNB 智能链上的合约已永久停用，不会重新开放。The Sandbox 表示，团队已将攻击者钱包地址报告给区块链分析公司 TRM Labs 和 Chainalysis，并直接与相关交易所沟通。The Sandbox 同时宣布补偿计划，将对事发前在 Base 或 BSC 上合法持有跨链 SAND 的钱包，按 1:1 比例以以太坊 SAND 进行补偿。补偿资金将来自 The Sandbox 金库，不会增发新代币，申领流程将在未来两周内开放，并持续开放两周。
Galaxy Research 跟踪发现，6 个自 2011 年、2012 年及 2014 年起长期未活动的比特币钱包，于 8 月 16 日至 26 日转移合计 553.59 枚比特币，按转移时价格计算价值 4015 万美元。其中两个钱包带有与 Noah Doe 纽约诉讼相关的“Salomon Client Dusted”标签。其中一笔转移涉及 40 枚比特币，钱包自 2012 年 5 月 28 日起沉睡，资金于 8 月 26 日转入德国加密货币托管银行 Boerse Stuttgart Digital。按约 5 美元成本计算，该笔资金涨幅约 1535911%。其余转移包括 212 枚、150 枚及 132.31 枚比特币，分别来自 2012 年、2014 年和 2011 年长期未活动的钱包。Noah Doe 诉讼涉及申请认定纽约州 39069 个沉睡比特币地址为遗失财产，另有部分长期持币地址在 7 月 Coldcard 硬件钱包漏洞事件后转移资金。（Decrypt）
硬件钱包厂商 BitBox 表示，8 月信用卡支付销量较此前数周基线约增长 10 倍，增量主要来自北美；Trezor 和 OneKey 也确认同期销量上升，但均未披露具体数据。Trezor、BitBox 和 OneKey 均重新审查了助记词生成、随机数生成器、熵及固件验证流程。Trezor 计划开展核心固件功能渗透测试，并公开相关安全审计报告；OneKey 将加强安全关键代码路径和交易签名流程审查。Ledger CTO Charles Guillemet 表示，AI 辅助攻击使补丁发布、漏洞披露和用户教育需要加快。Blockstream Jade 已发布包含多项修复的固件更新，并建议用户同步更新应用、操作系统、设备、路由器及家用电器。（Bitcoin.com News）
L1 区块链 Decred 表示，8 月 16 日至 17 日期间，其主网通胀漏洞被利用，共生成约 2077.97 枚 DCR。该漏洞自 2016 年 2 月主网上线起即存在于共识代码中，源于常规交易树与权益交易树交互时的边缘情况处理不当，允许双重花费输入。该漏洞于 8 月 12 日通过赏金计划提交，但在修复前被利用。Decred 已决定不回滚，以减少对用户的影响。此次增发的约 2000 枚 DCR 不影响 2100 万枚硬顶，且远低于历史因漏投等原因少发的补贴，后者超过 21.5 万枚。目前，团队已开发额外的双重花费监控服务，并计划改进紧急升级信号机制。
TAC 发推表示，8 月 22 日，一名攻击者利用 Cosmos EVM 预编译层漏洞，从 TAC 网络上的单一账户转移 2,985,651,403 枚 TAC。项目方随后在区块高度 24,671,475 暂停网络，以阻止攻击继续。
以太坊客户端 Besu 已在 7 月 27 日发布的 26.7.1 版本中修复区块链安全公司 CertiK 发现的 5 项安全漏洞，并于 8 月 14 日发布 4 份详细安全公告。漏洞细节延后披露，以便节点运营者完成升级部署。CertiK 安全工程总监兼高级审计合伙人 Jialiang Chang 表示，补丁先行、细节后置的安排提供了 18 天缓冲期，节点运营者可识别受影响部署、测试新版本，并协调验证者或联盟参与方完成升级。相关漏洞涉及区块广播处理、未来高度共识提案缓存、WebSocket 订阅限制及 JSON-RPC 过滤器创建。若未修复，攻击者可能耗尽节点内存或线程资源，影响节点可用性及共识处理。CertiK 通过 Chain Scan 方法，在私有多节点测试网络中对点对点、HTTP RPC、WebSocket RPC 及共识接口进行对抗性测试，并向 Besu 团队提供可复现测试工具。CertiK 正在更新 Chain Scan，以扩大对公链网络的全天候多节点测试。（Bitcoin.com News）
慢雾安全团队披露，跨链桥项目 Allbridge 于 2026 年 8 月 19 日遭遇攻击，损失约 19 万美元。值得注意的是，此次攻击并非即时完成，攻击者早在近一个月前便开始布局，并通过伪造跨链消息绕过验证机制。根据慢雾分析，攻击者于 7 月 26 日在 Polygon 链上直接调用 Circle 的 MessageTransmitterV2.sendMessage 函数，构造了一条伪装成 CCTP 风格的跨链消息，声称存在 100 万枚 USDC 转账，但实际上并未发生任何 USDC 销毁操作。随后，Circle 按照正常流程为该完整消息生成了有效验证证明（attestation）。约 24 天后，8 月 19 日，攻击者等待 Base Router 收到一笔真实 CCTP 存款、余额增加至约 19.1 万 USDC 后，仅 6 秒后发起攻击。攻击者利用此前伪造的消息和验证证明调用 Allbridge 的 receiveCctpMessage 函数，由于项目缺少关键校验，系统将虚假跨链消息误认为真实存款，并记录了 100 万 USDC 额度。随后，攻击者通过 Aave 闪电贷临时借入约 80.9 万 USDC，使 Router 余额与伪造金额匹配，并利用内部信用记录调用转账函数，最终转出约 99.9 万 USDC（扣除 0.1%手续费）。归还闪电贷及费用后，攻击者净获利约 18.98 万美元。此次漏洞根源在于 Allbridge 未验证跨链消息发送方和接收方身份，也未确认 USDC 是否真实铸造及余额是否实际增加，而是直接信任攻击者构造的金额和消息哈希数据。慢雾强调，链上消息验证并不等同于真实资产到账。跨链协议不仅需要验证消息真实性，还必须确保消息来源可信、接收方为 Circle 官方 TokenMessengerV2，并在确认资产实际铸造和余额变化后才能进行资产记账。此次事件再次凸显跨链桥在消息验证和资产结算环节中的安全风险。
元宇宙游戏平台 The Sandbox 确认，其跨链桥存在漏洞，攻击者在 Base 和 BNB Smart Chain 上增发无抵押 SAND。区块链安全公司 PeckShield 于 8 月 21 日发现，两个地址累计增发约 149 亿枚 SAND，The Sandbox 随后关闭两条网络的桥接功能。The Sandbox 表示，受影响的是 Base 和 BNB Smart Chain 上的桥接资产，Ethereum 和 Polygon 上的 SAND、用户钱包资产及用于支撑代币的 Ethereum 锁定资产未受影响。此次事件涉及真实抵押资产的比例低于 SAND 总供应量的 0.01%。The Sandbox 正在为受影响的流动性提供者制定补偿方案，并建议用户在桥接功能恢复前不要交易 Base 或 BNB Smart Chain 上的 SAND。Coinbase 计划于 8 月 26 日下架包括 SAND 在内的 10 个永续期货合约，届时未平仓头寸将自动结算。（Bitcoin.com News）
据 Cryptopolitan 报道，网络安全公司 Adversa AI 披露，xAI 旗下 AI 助手 Grok 存在一种名为"加密上下文注入"的安全漏洞。攻击者可在普通网页中隐藏加密指令，当用户请求 Grok 总结该网页时，Grok 会自动解密并执行隐藏命令，将用户姓名、地理位置、订阅等级及完整聊天记录发送至攻击者服务器。 该漏洞于 2026 年 6 月 3 日通过 HackerOne 平台向 xAI 披露，研究员 Rony Utevsky 分别于 8 月 4 日和 10 日再次跟进，但截至 8 月 19 日，Grok.com 上该漏洞仍未修复，xAI 亦未给出补丁时间表。
据 CryptoSlate 报道，来自 USENIX Security 的研究人员于 8 月 12 日公开披露了一项针对 Solana 历史证明（PoH）机制的时钟攻击漏洞，该漏洞早在 2025 年 12 月已私下告知 Solana 开发团队。研究显示，恶意调度领导者可通过"重新锚定"操控 PoH 逻辑时钟，使逻辑时间推进放缓，从而在物理时间内获得更长的交易选择窗口，并借助 TowerBFT 分叉选择机制孤立诚实领导者的区块，攻击者所需质押比例低于 33%。Anza 旗下 5 万 SOL 奖金的 Alpenglow 安全竞赛已于 8 月 19 日截止，但由于竞赛规则将"仅在 Alpenglow 未激活时可触发的行为"排除在外，该漏洞未被纳入评审范围。 Solana 开发团队表示已知晓相关行为，认为最严重场景在当前条件下发生概率较低，并预期 Alpenglow 升级可从根本上消除攻击前提。目前 Alpenglow 代码已包含于 Agave 4.2 客户端，但尚未在主网激活，预计随 Agave 4.3 正式上线。在此之前，该漏洞的过渡期风险仍未得到公开的实现层面分析与回应。
据安全研究员 V12（@v12sec）披露，Rabby Wallet 浏览器插件存在一个静默签名提取漏洞，攻击者可通过恶意网站在用户无感知的情况下提取钱包签名，进而清空钱包资产。该漏洞触发条件极为有限：用户须同时满足连接至恶意网站、且手动将自动锁定计时器设置为 10 分钟两个条件，其他计时器设置均不受影响，移动端 App 亦不受波及。Rabby Wallet 官方表示，漏洞发现后已于 8 月 11 日发布修复更新，目前未检测到任何实际利用案例，建议用户尽快确认插件已更新至最新版本。
BIP-110 支持者正讨论通过硬分叉将停滞的少数链挖矿算法从 SHA-256d 改为 BLAKE2b。分叉前的交易历史仍由两条链共享，若交易和签名规则一致，同一笔交易可能被复制到另一条链执行，形成回放攻击。BIP-110 的矿工支持率最高约为 2.53%，共识规则于 8 月 8 日生效后，少数链仅连续产出两个区块便停滞，Bitcoin 主链继续运行并扩大区块高度差。BIP-110 提案随后被标记为关闭，支持者转而讨论 BLAKE2b 工作量证明方案。Bitcoin Knots 计划加入新的签名哈希选项，但 RDTS 仍将保留与 Bitcoin Core 现有签名哈希类型的兼容性。普通交易可能继续在两条链上有效，用户需使用新选项，并依赖支持该功能的钱包或硬件签名固件实现资产分离。Luke Dashjr 于 8 月 18 日表示，Bitcoin 应承担回放保护责任，并将其称为“Spamcoin”。若 BLAKE2b 分叉约于 9 月 1 日推进，交易所、钱包及持有者需区分可跨链交易与链专属交易。（Bitcoin.com News）
KITE 基金会通报代币安全事件处置进展，已在以太坊主网部署新的 KITE ERC-20 合约，代币总供应量保持不变，旧 KITE 将按 1:1 比例迁移至新合约，已确认由攻击者控制的地址将被排除，不会获得新代币。迁移快照基于以太坊主网区块高度 25,692,498。普通自托管钱包用户将直接收到新代币，无需进行兑换或授权；交易所用户则由交易所与 KITE 团队协调迁移。跨链通道将在迁移及验证完成前继续暂停。此前 KITE 于 8 月 6 日发现异常转账并确认遭遇黑客攻击，团队表示此次事件未造成用户或项目方资产损失，目前影响已得到控制。
一个于 2012 年创建的比特币钱包在沉寂 14 年后转移 212 枚比特币，按转移时价格计算价值 1372 万美元。该钱包地址创建于 2012 年 8 月 10 日。 这批比特币最初价值 2346 美元，单枚价格为 11.07 美元；按文中价格 64761 美元计算，若全部出售，持有者可实现 584725%的收益。钱包所有者身份仍未知。 212 枚比特币已从旧版 P2PKH 钱包转入未标记的 Bech32 钱包，并分多批到账后集中存放。Coldcard 漏洞导致近 2000 枚比特币被盗，可能促使部分长期持有者转移资产，但该地址未被关联至已知实体。（Bitcoin.com News）
点对点加密货币交易平台 NoOnes 发文表示，平台运营超过三年后将开始逐步关停业务。官方称，此前持续寻求解决并解除针对 NoOnes 的制裁措施，但最终未能成功。相关制裁导致平台失去关键合作伙伴，区块链监测机构也将与 NoOnes 相关的交易标记为高风险，使平台继续正常运营变得越来越困难。 根据安排，业务收缩已于 8 月 17 日启动，P2P 市场将于 8 月 21 日 23:59 UTC 关闭。Swap、NoOnes Visa、法币出金、礼品卡商店和比特币闪电网络等服务也将陆续停止。此后，平台将仅支持提现，用户仍可登录、查看余额并提取剩余资产。官方建议用户尽快完成资产提现，最迟不晚于 8 月 23 日。 此前，NoOnes 于 2025 年 1 月 26 日透露，平台当月早些时候遭遇重大安全漏洞，导致约 800 万美元加密资产损失。首席执行官 Ray Youssef 在链上侦探 ZachXBT 于其 Telegram 频道披露相关黑客攻击后，证实了这一消息。
Decred 官方 X 账号（@decredproject）发布安全通知，Decred（DCR）网络发现一处安全漏洞，补丁修复将于美国东部时间 8 月 18 日上午发布。出于安全考虑，官方建议用户在完成升级前暂停投票和挖矿操作，补丁发布后将第一时间在官方 X 账号同步公告。
加密货币交易所 BitMart 创始人 Sheldon Lee 表示，一则称用户无法提现、部分员工未收到 7 月工资的 X 平台帖文属于“捏造的传闻”，并称该交易所中文账号曾遭黑客攻击。 用户及链上调查员 ZachXBT 等批评者要求 BitMart 恢复提现，或接受独立第三方审计。BitMart 正在逐步结束运营，最终交易日为 8 月 26 日。 陷入困境的投资公司 Echo Base 表示，曾向 BitMart 提出一项有资金支持的重组方案，但未收到回复。该公司警告，若要处理大量客户索赔，相关情况可能需要通过法院程序解决。（CoinDesk）
Tornado Cash 创始人 Roman Storm 表示，若美国司法部（DOJ）针对其案件的逻辑成立，科技公司 Google 和 OpenAI 也应为朝鲜黑客滥用其产品承担责任。相关人员曾使用 ChatGPT 编写代码，并使用 Google Gemini 进行伪造及图像修改。 Roman Storm 于 2025 年 8 月因合谋经营无牌汇款业务被定罪。他指出，Tornado Cash 案件可能形成软件开发者因用户犯罪行为受罚的法律先例，并强调应追究犯罪者，而非工具开发者。 数字资产市场清晰法案（CLARITY Act）拟为软件开发者提供保护，将开发者责任与协议可能被用于非法活动区分开来。但该法案最终审议动议虽已安排表决，当前通过可能性仍较低。（Bitcoin News）
据 Galaxy 研究主管 Alex Thorn 监测，7 月 31 日以来，其已与 190 多名 Coldcard 漏洞攻击受害者沟通，并请尚未与其联系的受害者通过私信联系，以便其提供追踪信息，协助向相关机构报告损失。8 月 6 日以来，尚无新的攻击事件得到确认，但这并不意味着不会发生新的攻击，需保持警惕。