新闻热度趋势
项目概述
Code 是一家加密货币支付平台，它开发了一款应用程序来实现互联网最古老的梦想之一：小额支付，即花费少量价值购买数字商品的能力（例如访问博客文章、直播或数字艺术）。 Code 基于 kin (KIN) 加密货币构建。
自托管提案拟要求RIA明确加密资产破产保护
Fox Business 加密记者在 X 平台发文表示，一项自托管提案重点关注破产保护，拟要求注册投资顾问与客户签署书面协议，明确顾问自托管的加密资产将依据《统一商法典》第 8 条被视为金融资产。此举或旨在降低顾问资不抵债时客户失去加密资产的风险。
AI 3D公司VAST完成约30亿元B轮及B+轮融资，经纬创投领投
AI 3D 公司 VAST（三启万物）宣布完成约 30 亿元人民币 B 轮和 B+轮融资，经纬创投领投。完美世界、蓝色光标、芯动能投资、延趣游戏、中科创达、三七互娱，以及鼎晖 VGC、中金资本、CMC 资本等联合参投，老股东达晨财智、春华资本、渶策资本等持续追投。据官方介绍，VAST 不到半年时间累计融资约 50 亿元人民币。据悉，VAST 还发布旗舰 3D 基座模型 Tripo P 系列最新版本 Tripo P2.0，本轮融资资金将投入 3D 原生模型与数据能力迭代、训练与推理基础设施扩建、产品开发与商业化落地。（新浪财经）
AI 代码验证创企 Blacksmith 完成 4500 万美元 B 轮融资，Peak XV Partners 领投
据 TechCrunch 报道，AI 代码验证初创公司 Blacksmith 宣布完成 4500 万美元 B 轮融资，Peak XV Partners 领投，GV和 Y Combinator 跟投，公司估值达到 5.5 亿美元。
AI编程初创公司Cognition完成超10亿美元融资，估值升至250亿美元
AI 编程初创公司 Cognition 宣布完成超过 10 亿美元新一轮融资，投前估值升至 250 亿美元，较 8 个月前 102 亿美元的投后估值实现翻倍增长。本轮融资由 Lux Capital 与 General Catalyst 领投，Founders Fund、8VC 继续跟投，Ribbit Capital、Atreides 及 Layer Global 等新投资方参与。官方披露数据显示，旗下 AI 程序员产品 Devin 过去 6 个月企业用户使用量实现 50%的月度环比增长，目前公司年化收入运行率（ARR）已达 4.92 亿美元，客户包括梅赛德斯-奔驰、NASA、高盛及桑坦德银行等大型机构。在 Anthropic Claude Code、OpenAI Codex 及谷歌 Jules 等原生 AI 编程工具竞争下，Cognition 表示，Devin 的持续增长及对 Windsurf 资产的收购，证明独立 AI 编程代理仍具备商业化空间。
币安钱包遭利用EIP-7702委托转向恶意代码，攻击者授权来源尚未确认
据 Bitcoin News 监测，攻击者据称利用 EIP-7702 委托将币安钱包指向恶意代码，进而转移资金。攻击者如何获得授权仍在调查中，目前有两种可能：私钥被盗，或攻击者通过遭到入侵的签名流程获取恶意授权签名。两种情况均未得到确认。若私钥未被盗，此次攻击可能暴露出交易所在交易授权机制方面的重大漏洞，而非私钥安全方面的问题。
马来西亚一男子加密钱包疑遭入侵，损失约 305 万美元
据 Bernama 报道，马来西亚霹雳州一名男子的加密钱包疑遭入侵，损失约 1,247 万林吉特（约合 305 万美元）。霹雳州总警长表示，受害者于 10 月 9 日下午发现，其加密资产在未经授权的情况下被转出。初步调查显示，相关交易通过区块链网络进行。警方正与商业罪案调查部加密货币部门合作，追踪资金流向并调查涉案人员。案件目前依据马来西亚《刑事法典》第 420 条有关诈骗的规定展开调查，具体攻击方式尚未披露。
两男非法盗电挖矿被捕，警方查获 30 台比特币矿机
据《星报》报道，霹雳州中部地区警方联合国家能源公司（TNB）在 Seri Iskandar 展开行动，捣毁一处非法加密货币挖矿据点，逮捕两名本地男子。涉案人员涉嫌私接电线为比特币矿机供电，警方现场查获 30 台比特币矿机、路由器、桌面交换机及一卷电线。案件依据《刑法》第 427 条及 1990 年《电力供应法》第 37(1) 条展开调查。警方强调，盗电挖矿不仅违法，还可能给电力公司造成重大损失并引发火灾风险。
日本自民党议员团体拟讨论预测市场监管，重点协调赌博相关法律
据 NADA NEWS 报道，日本自由民主党议员团体“数字先进金融议会联盟”拟将预测市场纳入讨论议题，研究其在日本的法律定位及监管方式。日本现行法律尚未对预测市场作出明确规定，相关业务可能涉及《刑法》中的赌博罪。
保加利亚议会通过法案，税务部门将获加密用户完整数据访问权
保加利亚国民议会于 9 月 9 日以 149 票赞成、0 票反对、10 票弃权通过《税收和社会保障程序法》修正案，将允许保加利亚国家税务局获取加密资产用户详细信息。该法案经 240 席议会表决通过。修正案落实两项欧洲联盟（EU）指令，加密资产相关企业须登记并向保加利亚国家税务局报告用户姓名、地址、出生日期和地点、税务居住地及税号，并提交各类加密资产的交易数据，包括收到的毛额、交易数量、法币买卖笔数及加密资产兑换情况。隐私倡议人士批评数据收集范围过广，认为强制披露个人信息可能带来安全风险。加密交易者和小型企业则表示，登记及报告要求将增加合规成本；法案支持者认为其符合欧盟标准，有助于遏制逃税。相关指令要求欧盟成员国在 2025 年 12 月 31 日前完成采用。（Bitcoin.com News）
Sparrow Wallet 发布 2.5.4 版本，AI 辅助代码审查修复多项安全漏洞
据 Decrypt 报道，隐私向比特币钱包 Sparrow Wallet 于 8 月 28 日发布 2.5.4 版本更新。开发者 Craig Raw 表示，此次更新由 AI 辅助代码审查驱动，大部分修复均来源于此次审查。此次审查的背景是此前 Coldcard 发生的种子生成代码漏洞攻击事件，以及中国无限制 AI 模型的发布使大型代码库漏洞搜索能力大幅提升。 主要更新内容包括：验证 Electrum 服务器返回的交易合法性、加强 BitBox02 硬件钱包安全要求（固件版本需 9.4.0 及以上）、修复本地 DNS 泄露、隐藏调试日志中的敏感凭证等。Raw 表示，未发现任何被利用的迹象，用户资金未受威胁，但仍建议所有用户尽快更新。
慢雾：Udesk 客服脚本被植入恶意代码，可窃取用户会话数据并替换充值地址
据慢雾（SlowMist）披露，其安全人员在日常威胁情报排查中，发现 Udesk 客服系统相关脚本 udeskApi.2026-10-16.cached.js 被植入恶意加载器。该加载器通过十六进制编码隐藏地址，异步加载远程脚本 deeps.js（来源为 udeskqlobal[.]com，注意域名以字母 q 开头）。该脚本会读取页面可访问的 Cookie、localStorage 和 sessionStorage，并拦截表单及登录、认证类请求，将数据发送至 udeskqlobal[.]com/c.php，攻击者可能借此冒用会话或接管账户。该数据收集行为不受目标站点规则限制，未匹配的页面同样可能受影响。 据慢雾分析，该脚本还针对 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三类站点，每 200 毫秒扫描一次充值页面，并将识别出的充值地址替换为预设的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同时，脚本通过包装剪贴板 API、替换复制按钮和拦截复制事件，使用户看到并复制的都是被篡改的地址。用户若按该地址转账，资金将流入攻击者地址。
pump.fun已基于Hyperliquid推出永续合约交易服务，每笔订单最高收取0.1%的Builder Fee
pump.fun 已基于 Hyperliquid 的 Builder Code 机制在其前端推出永续合约交易服务。pump.fun 在官方文档中表示，当用户通过其永续合约功能在 Hyperliquid 上进行交易时，pump.fun 会对用户提交的每笔订单（包括开仓、加仓或平仓订单）的名义价值收取最高 0.10% 的开发者费用（Builder Fee）。此外，对于通过应用内提供的跨链桥向 Hyperliquid 转入或转出资产的每次划转，pump.fun 会收取最高 0.25% 的费用，该费用是在跨链桥运营商自身收取的费用之外额外加收的，且可能会与运营商费用合并显示为一个综合跨链费金额。
马来西亚一男子加密钱包疑遭入侵，损失约 305 万美元
据 Bernama 报道，马来西亚霹雳州一名男子的加密钱包疑遭入侵，损失约 1,247 万林吉特（约合 305 万美元）。霹雳州总警长表示，受害者于 10 月 9 日下午发现，其加密资产在未经授权的情况下被转出。初步调查显示，相关交易通过区块链网络进行。警方正与商业罪案调查部加密货币部门合作，追踪资金流向并调查涉案人员。案件目前依据马来西亚《刑事法典》第 420 条有关诈骗的规定展开调查，具体攻击方式尚未披露。
Refi Hub联合创始人遭Claude恶意链接攻击，受污染技能文件试图窃取凭证
加密项目 Refi Hub 联合创始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下载链接安装转录应用而遭黑客攻击。该链接指向仿冒网站，并捆绑恶意软件，执行后试图窃取其设备中的全部信息。Numa Lunah 称，自己清除并重装了涉事笔记本电脑，未发现敏感信息外泄。随后，他在备份中发现受污染的 Claude Code 技能文件 SKILL.md，该文件伪装成其本人编写的风格指南，并包含每次加载时重新下载恶意软件、窃取凭证的指令。Microsoft Defender Experts 曾警告，攻击者已从搜索引擎优化投毒转向大语言模型回答投毒，相关手段包括推荐攻击者控制的下载链接、AI 品牌仿冒安装程序，以及受污染的代码库和代理技能。加密行业从业者可能持有助记词、私钥文件、热钱包 JSON、具备提现权限的交易所 API 密钥和部署者密钥等不可撤销凭证。（Bitcoin.com News）
BNB Agent Studio正式上线BNB Chain主网
BNB Chain 宣布 AI Agent 开发平台 BNB Agent Studio 正式上线主网。开发者可在 Cursor、Claude Code 等 AI 编程工具中通过一句提示词完成 Agent 的钱包创建、链上身份注册（ERC-8004）与部署，无需分别搭建钱包、身份、支付、托管和 LLM 接入。Agent 部署后可通过 x402 协议从用户预充值钱包中自动扣费续费 LLM 用量，并借助 ERC-8183 任务接口被其他 Agent 发现和调用，全程运行于 AWS Bedrock AgentCore。官方同时推出限时免费试用活动，用户凭 GitHub 账号即可在 BSC 测试网体验完整部署流程。
Bitget 推出新用户合约活动，单人最高解锁 656 USDT
Bitget 推出「代号 0511」新人活动，参与时间为 5 月 11 日至 5 月 18 日。活动期间，用户完成 KYC 即可获得 1 至 5 USDT；完成不少于 100 USDT 的首次充值和合约交易任务，可额外获得 10 USDT。 此外，新用户合约交易量达到指定门槛后，还可领取更多奖励，最高累得 641 USDT。详细规则已在 Bitget 官方平台发布，符合条件的用户点击「立即加入」按钮完成报名后方可参与活动。
Cursor：发现一起与扩展程序相关的安全事件，预计最多影响5000名用户
SpaceX 旗下 AI 编程工具 Cursor 于 X 发文表示：“我们发现一起安全事件，影响了一款通过我们的 Cursor IDE 扩展市场访问的、被篡改的 Claude Code VS Code 扩展程序，最多会影响 5000 名用户。这个恶意的扩展程序版本并非由 Anthropic 开发，它也不影响从官网、Grok Bot、Grok 或我们的其他 SpaceXSI 产品下载的其他扩展程序。对此，我们已于今天下午关闭了扩展市场，与相关服务商合作清除了恶意软件，并在确认已无后续风险后重新开放了市场。如果受到影响，请查看官方博客文章中的说明，了解如何查找恶意软件包并采取措施减轻任何潜在影响。我们已要求所有客户将 Claude Code for VS Code 更新至 2.1.314 版本。”
币安钱包遭利用EIP-7702委托转向恶意代码，攻击者授权来源尚未确认
据 Bitcoin News 监测，攻击者据称利用 EIP-7702 委托将币安钱包指向恶意代码，进而转移资金。攻击者如何获得授权仍在调查中，目前有两种可能：私钥被盗，或攻击者通过遭到入侵的签名流程获取恶意授权签名。两种情况均未得到确认。若私钥未被盗，此次攻击可能暴露出交易所在交易授权机制方面的重大漏洞，而非私钥安全方面的问题。
美国选举援助委员会网站遭披露存在严重远程代码执行漏洞
网络安全公司 XBOW 发文披露，其在美国选举援助委员会（EAC）的一款公开 Web 应用中发现一个未经身份验证即可利用的严重级别远程代码执行漏洞。该应用用于资源与物流计算，并非投票机或选民登记系统。
Telegram表情贴图曝零点击漏洞，iOS可无交互代码执行
研究人员在东京举行的一场安全会议上披露 Telegram 表情贴图功能存在零点击漏洞，并演示了攻击者无需用户进行任何交互，即可在 iOS 设备上执行代码。不过，Telegram 对该漏洞的风险评估提出异议，此外现有信息尚未说明漏洞的具体影响范围及修复进展。
慢雾：Udesk 客服脚本被植入恶意代码，可窃取用户会话数据并替换充值地址
据慢雾（SlowMist）披露，其安全人员在日常威胁情报排查中，发现 Udesk 客服系统相关脚本 udeskApi.2026-10-16.cached.js 被植入恶意加载器。该加载器通过十六进制编码隐藏地址，异步加载远程脚本 deeps.js（来源为 udeskqlobal[.]com，注意域名以字母 q 开头）。该脚本会读取页面可访问的 Cookie、localStorage 和 sessionStorage，并拦截表单及登录、认证类请求，将数据发送至 udeskqlobal[.]com/c.php，攻击者可能借此冒用会话或接管账户。该数据收集行为不受目标站点规则限制，未匹配的页面同样可能受影响。 据慢雾分析，该脚本还针对 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三类站点，每 200 毫秒扫描一次充值页面，并将识别出的充值地址替换为预设的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同时，脚本通过包装剪贴板 API、替换复制按钮和拦截复制事件，使用户看到并复制的都是被篡改的地址。用户若按该地址转账，资金将流入攻击者地址。
PHP官方紧急敦促用户更新，避免受到严重远程代码执行漏洞影响
PHP 官方发布安全公告，针对此前披露两项严重远程代码执行（RCE）漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619。攻击者可能在未经身份验证的情况下利用相关漏洞执行恶意代码，PHP 官方强烈建议所有用户立即升级。此次漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境，其中 Apache mod_php 风险尤为突出，攻击可在应用程序代码运行前触发。官方已发布修复版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。仍在使用 PHP 8.1 及更早版本的用户应联系发行版或长期支持（LTS）供应商确认补丁情况，或升级至受支持版本。官方强调，临时缓解措施无法完全消除风险，立即安装安全更新才是彻底解决漏洞的方式。
Cursor：发现一起与扩展程序相关的安全事件，预计最多影响5000名用户
SpaceX 旗下 AI 编程工具 Cursor 于 X 发文表示：“我们发现一起安全事件，影响了一款通过我们的 Cursor IDE 扩展市场访问的、被篡改的 Claude Code VS Code 扩展程序，最多会影响 5000 名用户。这个恶意的扩展程序版本并非由 Anthropic 开发，它也不影响从官网、Grok Bot、Grok 或我们的其他 SpaceXSI 产品下载的其他扩展程序。对此，我们已于今天下午关闭了扩展市场，与相关服务商合作清除了恶意软件，并在确认已无后续风险后重新开放了市场。如果受到影响，请查看官方博客文章中的说明，了解如何查找恶意软件包并采取措施减轻任何潜在影响。我们已要求所有客户将 Claude Code for VS Code 更新至 2.1.314 版本。”
PHP官方紧急敦促用户更新，避免受到严重远程代码执行漏洞影响
PHP 官方发布安全公告，针对此前披露两项严重远程代码执行（RCE）漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619。攻击者可能在未经身份验证的情况下利用相关漏洞执行恶意代码，PHP 官方强烈建议所有用户立即升级。此次漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境，其中 Apache mod_php 风险尤为突出，攻击可在应用程序代码运行前触发。官方已发布修复版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。仍在使用 PHP 8.1 及更早版本的用户应联系发行版或长期支持（LTS）供应商确认补丁情况，或升级至受支持版本。官方强调，临时缓解措施无法完全消除风险，立即安装安全更新才是彻底解决漏洞的方式。
CoreWeave推出Physical AI Launchables，简化物理AI工作负载
AI 云服务商 CoreWeave 宣布推出 Physical AI Launchables，并于 NVIDIA GTC Berlin 活动上公布。该产品提供由 CoreWeave 工程师构建并测试的物理 AI 工作负载模板，面向机器人、自动驾驶汽车及仿真团队，支持通过单条命令启动任务，减少环境配置、存储设置及任务调度等前期准备工作。首批模板覆盖 NVIDIA Isaac Sim、CARLA、MuJoCo、NVIDIA AlpaSim 和 NVIDIA Cosmos 3 五种工具，支持数据生成、模型评估及策略训练等工作流，并集成 Cosmos Data Factory 相关智能体技能，可用于视频、图像和文本数据增强、自动标注及数据整理。该平台还为 Claude Code、Codex 等编程智能体提供专门优化的技能，支持自动启动任务、监控运行状态及获取结果。CoreWeave 同时正与 Cadence、Encord、Voxel51 等物理 AI 软件供应商合作，推动相关产品在其云基础设施上运行。
甲骨文推出行业应用 AI Agent Studio，支持无代码和低代码构建行业智能体
据 Oracle 公告，公司推出行业应用 AI Agent Studio，这是一套面向行业应用的无代码和低代码平台，可用于创建、测试、编排、部署和管理 AI Agent 及多智能体工作流。该平台基于 Oracle AI Agent Studio for Fusion Applications，可调用现有应用数据、工具和业务流程，并支持自然语言及可视化编排、跨应用工作流、Model Context Protocol（MCP）、多种生成式 AI 模型、测试调试、安全控制、生命周期管理和监控等功能。
慢雾安全预警：PHP被曝存在两个严重远程代码执行漏洞，官方补丁预计今晚发布
慢雾安全预警称，PHP 于 10 月 20 日发布安全公告，披露两个可能导致远程代码执行（RCE）的严重安全漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分均为 9.2。目前，PHP 官方尚未发布修复补丁，漏洞具体影响版本及利用条件仍待确认。根据现有信息，PHP 官方计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新。慢雾建议相关机构尽快排查服务器及业务系统中的 PHP 版本，重点关注公网暴露的 PHP 服务，并在补丁发布后及时升级；暂时无法升级的系统应限制访问来源，必要时采取隔离措施。
Anthropic 在新加坡开设办公室并与政府签署 MOU
据 Anthropic 官网消息，Anthropic 宣布在新加坡开设亚太地区第五个办公室，并与新加坡数字发展与信息部签署谅解备忘录（MOU），双方将在 AI 安全、模型评估、负责任 AI 采用等领域展开合作。新加坡是 Claude 全球最活跃市场之一，目前已有 GovTech Singapore、DBS、Grab、GIC 等超过千家政府机构及企业部署 Claude。其中，GovTech Singapore 逾1500 名工程师已采用 Claude Code 推进政府系统现代化，Grab 借助 Claude 驱动的销售助手每季度节省约 4 万小时人力。
相关新闻
Cursor 扩展市场现恶意版 Claude Code 扩展，最多 5000 名用户受影响
Cursor 建议受影响用户检查 authorized_keys 中是否存在 svc-telemetry 密钥，运行官方修复脚本，并轮换相关凭据。
Cursor：发现一起与扩展程序相关的安全事件，预计最多影响5000名用户
SpaceX 旗下 AI 编程工具 Cursor 于 X 发文表示：“我们发现一起安全事件，影响了一款通过我们的 Cursor IDE 扩展市场访问的、被篡改的 Claude Code VS Code 扩展程序，最多会影响 5000 名用户。这个恶意的扩展程序版本并非由 Anthropic 开发，它也不影响从官网、Grok Bot、Grok 或我们的其他 SpaceXSI 产品下载的其他扩展程序。对此，我们已于今天下午关闭了扩展市场，与相关服务商合作清除了恶意软件，并在确认已无后续风险后重新开放了市场。如果受到影响，请查看官方博客文章中的说明，了解如何查找恶意软件包并采取措施减轻任何潜在影响。我们已要求所有客户将 Claude Code for VS Code 更新至 2.1.314 版本。”
币安钱包遭利用EIP-7702委托转向恶意代码，攻击者授权来源尚未确认
据 Bitcoin News 监测，攻击者据称利用 EIP-7702 委托将币安钱包指向恶意代码，进而转移资金。攻击者如何获得授权仍在调查中，目前有两种可能：私钥被盗，或攻击者通过遭到入侵的签名流程获取恶意授权签名。两种情况均未得到确认。若私钥未被盗，此次攻击可能暴露出交易所在交易授权机制方面的重大漏洞，而非私钥安全方面的问题。
美国选举援助委员会网站遭披露存在严重远程代码执行漏洞
网络安全公司 XBOW 发文披露，其在美国选举援助委员会（EAC）的一款公开 Web 应用中发现一个未经身份验证即可利用的严重级别远程代码执行漏洞。该应用用于资源与物流计算，并非投票机或选民登记系统。
Anthropic 推出 Claude 智能报告工具，可监控员工使用 AI 的情况与开销
Anthropic 推出面向 Claude Enterprise 用户的智能报告功能，可帮助企业管理者分析团队对 Claude 的使用情况、工作流、产出类型及相关成本。管理员可选择最长 28 天的统计周期，并覆盖 Claude 对话、Claude Code、Claude Cowork 等产品。
Telegram表情贴图曝零点击漏洞，iOS可无交互代码执行
研究人员在东京举行的一场安全会议上披露 Telegram 表情贴图功能存在零点击漏洞，并演示了攻击者无需用户进行任何交互，即可在 iOS 设备上执行代码。不过，Telegram 对该漏洞的风险评估提出异议，此外现有信息尚未说明漏洞的具体影响范围及修复进展。