同时关联该项目与事件的快讯
Aave 官方表示，币安安全事件发生后采取的预防性冻结措施现已解除，Aave V3 及 V4 所有市场均已恢复正常。此前，Aave 在收到相关事件的初步消息后暂停了新存款和借款，但用户仍可正常提取资产和偿还贷款。Aave 强调，其智能合约未受此次事件影响，用户头寸始终保持足额抵押。作为持续性预防措施，USDT、USDC、USDT0、POL、WAVAX、sAVAX、XAUT、PAXG 及 OP 的 LTV 将暂时维持在 0，无法作为新增借款的抵押品。
据 Bubblemaps 监测，Polymarket 第三方服务商遭入侵事件已导致超 700 名用户资产被盗，被盗总额约 346 万美元，其中约 270 万美元已换成 POL 转出，约 75 万美元仍留在 Polymarket。
据 Decrypt 报道，Polymarket 因安全事件将交易切换为仅可撤单模式并暂停中继操作，多名用户称资产被未经授权转出，疑似攻击者地址持有约 265 万美元 POL。
Polygon Labs 宣布，Bor v2.10.3 版本现已正式发布，修复了 BlockSTM V2 并行区块执行中的两项中危拒绝服务漏洞，相关问题均通过 Immunefi 漏洞赏金计划报告。此外，新版本还包含交易过滤、RPC 执行并发限制及待处理交易清理等多项安全与稳定性改进。官方表示，受影响版本为默认启用 BlockSTM V2 的 Bor v2.10.1 和 v2.10.2，目前尚未发现上述漏洞在主网或 Amoy 测试网上遭到利用。此次升级不涉及硬分叉，节点可按需逐步升级。
据链上调查员 vxdb 监测，Gamdom 平台遭遇安全攻击。初步统计显示，攻击者在 EVM 兼容链（包括 Ethereum、BSC、Polygon、Arbitrum及 Optimism）上共计盗取约 220 万美元资产。此外，Solana 网络损失约 96.5 万美元，TRON 和比特币网络分别损失约 37.5 万美元和 66.8 万美元，各链被盗总金额已超过 420 万美元。
据 RevokeCash 监测，若用户曾在 Magic Eden 以太坊市场交易 NFT，钱包可能已授权 Limit Break 的 Payment Processor 合约；该合约目前存在已知漏洞，建议撤销授权。Magic Eden 此前表示，当前仍在其平台挂单的 NFT 未受该漏洞影响；约于 2024 年 2 月至 10 月期间通过其 EVM 市场挂单的 NFT 可能受到影响，2024 年 10 月后的挂单原则上不受影响。Magic Eden 正联系协议所有者及维护方 Limit Break，研究包括暂停协议转账在内的其他风险缓解措施，并继续调查实际影响范围。曾在 Magic Eden EVM 市场挂单或交易 NFT 的用户，应在以太坊、Polygon 及 Base 网络撤销相关合约授权，并撤销所有标记为“approved for all”的 NFT 授权。Yuga Labs 区块链副总裁 Quit 表示，Payment Processor 漏洞 NFT 被盗事件的资产申领网站已正式上线；此前被成功保全 NFT 的受影响用户现可申领，但需先撤销对 Payment Processor 的授权。
Magic Eden在 X 平台发文澄清表示，Limit Break 旗下 NFT 交易协议 Payment Processor V2 近期遭遇漏洞利用。Magic Eden 已于 2024年 10 月停止使用该协议，并于 2026 年第一季度彻底关闭 EVM 市场，因此此次漏洞未影响现有 Magic Eden 挂单。不过，2024 年 2 月至 10 月期间在 Magic Eden EVM 市场挂单的 NFT 可能受到影响，用户应在 Ethereum、Polygon和 Base 上撤销对该合约的“Approve for All”授权。此外，Magic Eden 表示正与 Limit Break 合作调查并寻求进一步缓解措施。
据 Cointelegraph 报道，Polygon 披露多项此前未公开的安全漏洞，涉及其 Bor 和 Heimdall 客户端，可能导致拒绝服务（DoS）、验证者资源耗尽，以及检查点和里程碑处理异常等问题。目前相关漏洞已通过 Austin 和 Kyoto 两次硬分叉完成修复。
Polygon 披露了影响其 PoS 网络的多个隐蔽安全漏洞，并通过近期分叉进行了预防性修复，未发现实际利用。
慢雾安全团队披露，一个伪装成 Qwen 27B 本地量化模型的 GitHub 仓库被用于传播 StealC 信息窃取恶意软件。攻击者提供的所谓模型文件仅 487KB，而正常的 Q4_K_M 27B 模型权重文件应超过 16GB，压缩包内实际仅包含批处理文件、被重命名的 LuaJIT 解释器及伪装成 cert.txt 的混淆 Lua 脚本。分析显示，该恶意程序可收集主机信息、截取屏幕，并将数据上传至 C2 服务器。值得关注的是，当预设 C2 服务器失效时，恶意程序还会通过 Polygon 链上合约的 eth_call 读取备用 C2 地址，使攻击者能够通过链上交易动态轮换恶意基础设施。后续载荷被归因为 StealC，可窃取浏览器登录信息、Cookie 和历史记录，并针对 Chrome App-Bound Encryption 实施绕过，同时还可获取邮箱、WinSCP、Steam 凭证以及加密钱包相关文件和浏览器扩展数据。慢雾共发现 23 个 GitHub 仓库中的 29 个类似恶意压缩包，并提醒用户警惕异常小体积的 AI 模型文件，在运行前应检查文件大小并解压核查内容。
区块链游戏平台 The Sandbox 表示，将对 8 月 21 日桥接漏洞攻击前在 Base 或 BNB Smart Chain 持有桥接版 SAND 的用户按 1:1 赔付，赔偿将使用项目金库中的以太坊版 SAND，且不会增发代币。此次攻击导致以太坊金库被盗约 1474.4 万枚 SAND，价值约 70 万美元。申领流程预计两周内开放，持续时间为两周；两家中心化交易所持有符合赔付条件余额的 72%以上，将直接向受影响客户发放赔偿。The Sandbox 表示，攻击者利用 SAND 在 Base 和 BNB Chain 合约中的配置漏洞，成为桥接消息的唯一验证者并铸造无储备代币。两条网络上另有超过 339 万亿枚无储备 SAND 被铸造，但已被隔离，无法跨链或兑换；以太坊和 Polygon 上的 SAND 未受影响，受损桥接合约将永久停用。（Cointelegraph）
The Sandbox 发布 8 月 22 日漏洞事件事后分析报告。报告显示，攻击者利用 Base 和 BNB 智能链（BSC）上跨链配置相关合约中的漏洞，从以太坊金库窃取 14,742,341.84 枚 SAND，约占最大供应量的 0.5%，估算经济影响约 149.68 万美元，其中约 98.7 万美元被攻击者实际截留。以太坊主网及 Polygon 网络未受影响。在另行通知前，请勿在 Base 或 BNB 智能链上购买或发送 SAND。部署在 Base 和 BNB 智能链上的合约已永久停用，不会重新开放。The Sandbox 表示，团队已将攻击者钱包地址报告给区块链分析公司 TRM Labs 和 Chainalysis，并直接与相关交易所沟通。The Sandbox 同时宣布补偿计划，将对事发前在 Base 或 BSC 上合法持有跨链 SAND 的钱包，按 1:1 比例以以太坊 SAND 进行补偿。补偿资金将来自 The Sandbox 金库，不会增发新代币，申领流程将在未来两周内开放，并持续开放两周。
慢雾安全团队披露，跨链桥项目 Allbridge 于 2026 年 8 月 19 日遭遇攻击，损失约 19 万美元。值得注意的是，此次攻击并非即时完成，攻击者早在近一个月前便开始布局，并通过伪造跨链消息绕过验证机制。根据慢雾分析，攻击者于 7 月 26 日在 Polygon 链上直接调用 Circle 的 MessageTransmitterV2.sendMessage 函数，构造了一条伪装成 CCTP 风格的跨链消息，声称存在 100 万枚 USDC 转账，但实际上并未发生任何 USDC 销毁操作。随后，Circle 按照正常流程为该完整消息生成了有效验证证明（attestation）。约 24 天后，8 月 19 日，攻击者等待 Base Router 收到一笔真实 CCTP 存款、余额增加至约 19.1 万 USDC 后，仅 6 秒后发起攻击。攻击者利用此前伪造的消息和验证证明调用 Allbridge 的 receiveCctpMessage 函数，由于项目缺少关键校验，系统将虚假跨链消息误认为真实存款，并记录了 100 万 USDC 额度。随后，攻击者通过 Aave 闪电贷临时借入约 80.9 万 USDC，使 Router 余额与伪造金额匹配，并利用内部信用记录调用转账函数，最终转出约 99.9 万 USDC（扣除 0.1%手续费）。归还闪电贷及费用后，攻击者净获利约 18.98 万美元。此次漏洞根源在于 Allbridge 未验证跨链消息发送方和接收方身份，也未确认 USDC 是否真实铸造及余额是否实际增加，而是直接信任攻击者构造的金额和消息哈希数据。慢雾强调，链上消息验证并不等同于真实资产到账。跨链协议不仅需要验证消息真实性，还必须确保消息来源可信、接收方为 Circle 官方 TokenMessengerV2，并在确认资产实际铸造和余额变化后才能进行资产记账。此次事件再次凸显跨链桥在消息验证和资产结算环节中的安全风险。
元宇宙游戏平台 The Sandbox 确认，其跨链桥存在漏洞，攻击者在 Base 和 BNB Smart Chain 上增发无抵押 SAND。区块链安全公司 PeckShield 于 8 月 21 日发现，两个地址累计增发约 149 亿枚 SAND，The Sandbox 随后关闭两条网络的桥接功能。The Sandbox 表示，受影响的是 Base 和 BNB Smart Chain 上的桥接资产，Ethereum 和 Polygon 上的 SAND、用户钱包资产及用于支撑代币的 Ethereum 锁定资产未受影响。此次事件涉及真实抵押资产的比例低于 SAND 总供应量的 0.01%。The Sandbox 正在为受影响的流动性提供者制定补偿方案，并建议用户在桥接功能恢复前不要交易 Base 或 BNB Smart Chain 上的 SAND。Coinbase 计划于 8 月 26 日下架包括 SAND 在内的 10 个永续期货合约，届时未平仓头寸将自动结算。（Bitcoin.com News）
The Sandbox 官方确认并已完全控制近期发生的 SAND 跨链桥漏洞事件，涉及 Base 和 BNB Smart Chain（BSC）网络。攻击者通过漏洞在两个网络上铸造了无抵押支持的 SAND 代币，但影响范围有限，涉及代币数量不到 SAND 总供应量的 0.01%，以太坊和 Polygon 上的 SAND 及用户钱包均未受影响。目前，The Sandbox 已关闭两个网络的跨链功能，Base 和 BSC 上的 SAND 已被隔离，暂时无法转移或兑换，官方提醒用户不要在上述网络购买、出售或交易 SAND。
DeFi 基础设施公司 Enso 在 7 月 16 日报告中披露一类名为“toxic pools”的恶意流动性池，其通过操纵交易模拟向钱包和 DEX 聚合器返回虚假最优报价，并在链上实际执行时改变逻辑。Enso 表示，相关恶意合约可识别只读模拟环境并返回优化价格，交易广播至链上后则以更差价格执行或导致交易失败。一个被操纵的 Curve 池处理逾 12.9 万笔兑换，造成约 22.5 万美元虚高报价，另有逾 3.7 万笔交易回滚并消耗近 3 万美元 Gas 费。在 Polygon 上，一个恶意 Uniswap v4 hook 以虚假汇率吸引路由系统，随后触发 99.1% 的交易失败率。Enso 称已更新执行保护产品 Enso Shield，以检测 Ethereum 和 Polygon 环境中的虚假报价。
Polymarket 工作人员 Shantikiran Chanal 在 X 平台发文表示，其已关注到与奖励发放相关的安全报告，用户资金与市场结算处于安全状态。调查结果指向一个用于内部运营的钱包发生私钥泄露，并非合约或核心基础设施问题。后续将发布更多更新。此前消息：ZachXBT 称 Polymarket UMA CTF Adapter 合约疑似在 Polygon 上遭到攻击，目前已流出超 52 万美元。
据链上侦探 ZachXBT 监测，Polymarket 的 UMA CTF 适配器合在 Polygon 网络上疑似遭到攻击，截至目前，已损失超过 52 万美元。
THORChain 就Asgard 金库遭入侵事件发布第四份更新，发布 ADR028 提案并开放节点运营者投票。该提案显示，协议将首先通过协议自有流动性（POL）吸收损失，剩余部分由合成资产持有者分摊，具体比例仍在评估中。POL 将因此降至零，提案建议将部分系统收入定向用于逐步补充。该方案不涉及铸造新 RUNE、出售 RUNE 或稀释持有者权益。技术层面，GG20 版本将暂时保留并修补升级，交易将在漏洞修复且成功完成节点轮换后恢复。未来拟采用更慢、更注重安全的发布节奏。关于罚没机制，与攻击者处于同一金库的无关节点将受到保护，攻击者节点被全额罚没。追回的 RUNE 将与受影响金库中可回收资产配对，多余 RUNE 将被销毁。此外，THORChain 向攻击者提供白帽赏金以追回资金，若部分资金被追回，恢复计划将按比例回调。THORChain 强调其保持中立与无需许可特性，交易恢复后不会审查攻击者的兑换行为。目前节点运营者正对提案整体方向与原则进行投票，ADR 中的具体数字为指示性内容，后续将通过 Mimir 机制调整。目标是尽快重启网络，赞成票意味着开发者可继续沿该方向推进。
THORChain 在 X 平台发文表示，其开发者在 Discord 发布事件更新。当前证据指向一个新加入网络的节点 thor16uc...cn84q 与攻击相关，该节点由单一恶意行为者运营。主要推测为攻击者利用 GG20 TSS 实现中的漏洞，使金库参与者的敏感密钥材料随时间泄露，最终重构金库私钥并执行未授权出金交易。网络状态方面，多个节点运营者执行 make pause 后网络已暂停，RUNE 转账及链上观察或于约 12 小时内恢复，但交易、LP 操作、签名及其他敏感操作仍保持暂停。恢复方案讨论中包括罚没受影响节点保证金、由协议自有流动性（POL）承担损失或其他社区驱动方案。THORSec 与 Outrider Analytics 正持续进行调查，Treasury 正在收集取证数据并协调相关执法机构。完整功能恢复预计需数日或更长时间。