與該事件類型相關的快訊
據 Cointelegraph 報道，Immunefi 首席執行官 Mitchell Amador 表示，互聯網用戶仍面臨源自 PHP 漏洞的網絡攻擊風險，尤其是採用上週三發佈升級補丁較慢的小型網站，可能需數週才能完成更新。他稱這是按計劃發生的“漏洞末日”，即發現漏洞成本低廉、修復漏洞成本高昂。Amador 建議未來數週將任何登錄網站視爲可能已被入侵，避免重複使用密碼，謹慎將加密錢包連接網站，並撤銷未識別的代幣授權。此前 PHP 基金會承認因資源短缺延遲修復 2024 年首次發現的關鍵安全漏洞，PHP 開發者同日發佈兩個關鍵漏洞的緊急補丁，但網站仍需自行升級。 Cloudflare 首席執行官 Matthew Prince 稱，漏洞公開後 24 小時內網絡記錄數百萬次利用嘗試，披露前已有數千次嘗試。W3Techs 估計 PHP 爲約 69% 已知服務器端編程語言的網站提供支持。FBI 網絡部門警告，該漏洞可能允許惡意行爲者“在 PHP 核心中遠程執行代碼，可能危及敏感數據和網絡”。
據 Keystone Hardware Wallet（@KeystoneWallet）聲明，其官網於 10 月 20 日遭攻擊者利用第三方監控工具漏洞入侵，約 25,964 條含個人信息的購買記錄、12,873 條未付款結賬記錄及設備 WebAuth 認證密鑰被獲取。助記詞、私鑰及支付信息未受影響。Keystone 將銷燬庫存中 18,835 臺含舊密鑰的設備，暫停官網發貨並改爲預售，同時提醒用戶無需轉移資產，並警惕"召回"等詐騙。
據 PRNewswire 報道，標普全球（NYSE: SPGI）於 10 月 26 日宣佈，已完成對鏈上金融安全標準提供商 OpenZeppelin 的收購。該交易於 9 月 17 日首次公佈，財務條款未披露，預計不會對標普全球的財務業績產生重大影響。 OpenZeppelin 成立於 2015 年，已完成 900 多項安全服務項目，在產品上線前發現 1 萬多個漏洞。其開源智能合約庫 OpenZeppelin Contracts 支撐的價值轉移規模超過 38 萬億美元，涵蓋多種主流穩定幣和代幣化基金。 此次收購將把標普全球的風險評估能力擴展到鏈上技術風險層，雙方計劃共同開發新一代鏈上安全評估與基準。收購後，OpenZeppelin 將繼續以原品牌作爲獨立業務部門運營，創始人 Demian Brener 留任負責人，並向標普全球評級總裁 Yann Le Pallec 彙報。OpenZeppelin Contracts 將繼續保持開源、免費並公開維護。
據 CoinDesk 報道，印度加密貨幣交易所 CoinDCX 確認損失 1600 萬美元。原因是其資金歸集（sweeping）流程未能將客戶存款從 2025 年 7 月遭黑客攻擊的錢包中轉出。該交易所表示將自行承擔這筆損失，並稱活躍用戶的資金仍然安全。
據 Bloom Trading 發文，針對近期發生的錢包資產被盜事件，平臺表示將全額賠償 9 名受影響用戶（共 49 個錢包）的所有資金損失，並將賠償資金直接轉入用戶指定的新安全錢包，無需設立專項賠償基金。
據 Upbit 和 Bithumb 公告，兩家韓國加密貨幣交易所均將 Initia（INIT）列爲交易警示資產，原因是相關錢包或分佈式賬本被發現存在原因尚未查明或尚未解決的黑客攻擊等安全事件，可能導致用戶資產損失。目前，INIT 在兩家交易所的充提服務均已暫停。Upbit 表示，後續恢復時將優先開放提現，充值服務將另行通知。
據 Onchain Lens 監測，Bloom Trading 用戶報告錢包資產遭盜，約 95.4 萬美元資金被轉至疑似盜幣地址。某黑客通過一個盜幣錢包從 49 名受害者處盜取 9408 枚 SOL，最終數量可能更高。單筆被盜金額最高爲 1636 枚 SOL，約合 16.6 萬美元。Onchain Lens 提醒相關用戶立即斷開錢包連接，將剩餘資產轉移至新錢包。
ai16z 創始人 Shaw 在 X 平臺進一步介紹 Pump.fun 智能合約逆向工程計劃，表示其目標並非開發功能相似的合約，而是還原出與原始合約在字節層面完全一致的版本，包括原有代碼中的漏洞及缺陷。他呼籲開發者藉助 AI 工具參與逆向工程，並通過 GitHub 持續提交代碼貢獻。Shaw 指出，智能合約閉源不利於安全審計，並稱過去一年因閉源合約存在嚴重安全漏洞而造成的資金損失超過 4,000 萬美元。他認爲，推動合約開源有助於開發者及 AI 發現和報告潛在漏洞。此外，Shaw 還計劃將此前利用 Meme 幣手續費收入回購的代幣設爲懸賞獎勵，分配給參與逆向工程的貢獻者。此前消息，ai16z 創始人 Shaw 在 X 平臺發文表示，已完成 Pump.fun 全部合約逆向工程工作的 90%，預計今晚全部完成，並稱 "開源一切，否則就會被強制開源。 "
Vitalik 在 X 平臺發文表示，他認爲 Kimi 3.1 在訓練數據中有意排除高端攻擊性網絡能力是可以接受的。與按用戶身份區別對待相比，按用途區別對待的負面程度要低得多；在強大網絡攻擊全面來臨前，社會需要時間做好準備、加固系統、檢查舊代碼並對新代碼進行形式化驗證。Vitalik 還表示，如果未能妥善應對這第一波重大 AI 風險，社會可能走向高度限制模型、普遍實施 KYC 和監控的局面，用戶可能因憑證和國籍而被劃分爲不同等級，獲得不同的模型訪問權限。
截至 10 月 21 日，2026 年 DeFi 領域已記錄 43 起價格操縱攻擊，超過此前全年最高紀錄，即 2022 年的 27 起。相關損失合計約 1.99 億美元，低於部分年份的損失規模，其中 Tectonic 一案約佔 1.25 億美元。其餘 42 起中，有 32 起單筆損失不足 100 萬美元。
Bitcoin News 在 X 平臺發文表示，研究人員稱 Tailscale 存在嚴重漏洞，擁有獲批訪問權限的用戶可利用其內置 SSH 獲取設備 root 權限，攻擊還可能擴散至網絡中的其他設備。使用 Tailscale 運行節點的用戶應關閉 Tailscale SSH，並在補丁發佈後及時更新。Tailscale 尚未回應。
據慢霧監測，去中心化交易平臺 Yapeswap 遭攻擊，損失約 2.19 萬美元。根因是 WorkersUnion 治理法定人數爲零，攻擊者僅憑約 0.000055%的投票權便通過提案，將 YapeFactory 的 feeToSetter 權限轉至己方。攻擊者隨後安裝惡意 Registry，使 latestVault() 返回虛假金庫，而 vaults() 仍列出真實金庫。YapePair 將遭挪用的存款計爲 farming 資產，卻未獲得可贖回份額。
CoinDCX 發佈公告稱，其於 10 月 21 日發現系統異常活動，隨後調查確認，異常活動影響了此前因 2025 年 7 月安全事件而棄用的舊錢包基礎設施。CoinDCX 表示，由於自動資金歸集服務在一段時間內發生故障，部分用戶誤轉入舊地址的存款未能及時轉移，最終造成 1,599 萬枚 USDT 損失，相關損失由公司承擔。CoinDCX 強調，現有錢包及交易系統未受影響，用戶資金仍安全存放於隔離的冷錢包中，交易、充值及提現服務均保持正常運行。
據Salus監測，Tether已將9個與CoinDCX安全事件相關的地址列入黑名單，凍結約221.29萬枚USDT。相關調查由一筆異常轉賬引發，後續鏈上證據推動Tether採取凍結措施。
硬件錢包Keystone披露官網安全事件，第三方獲取了部分客戶姓名、聯繫方式、收貨地址及訂單詳情。官方稱，泄露信息不涉及銀行卡信息、助記詞、私鑰或錢包密碼，並提醒用戶警惕後續詐騙。
據 Bitcoin News 監測，Electrum 披露一項高危安全漏洞，惡意服務器可在用戶提高交易手續費時誘使其將比特幣發送至攻擊者地址。攻擊者攔截已廣播的交易，並在錢包歷史記錄中將其替換爲一筆把資金轉至攻擊者控制地址的僞造交易。用戶若通過 Replace-by-Fee（RBF）提高手續費，Electrum 可能會爲該惡意交易簽名。Electrum 確認收到兩起相關事件報告，其中一名用戶損失了資金。攻擊者還生成了與預期收款地址末四位相同的地址。該漏洞影響 4.8.3 之前的版本，已在 4.8.3 版本中修復。Electrum 提醒用戶立即更新，並在簽署交易前核對所有收款地址和金額。
截至目前，三筆攻擊交易已使攻擊者獲得約 485 萬 USDT 及約 55 萬枚 X，Freezer 中仍存有約 1220 萬枚 X。Blockaid 表示，攻擊仍在持續。
Electrum 官方宣佈發佈 4.8.3 版本，稱該版本修復一項嚴重安全問題，並敦促所有用戶升級。漏洞詳細說明將於晚些時候公佈。GitHub 更新日誌將 4.8.3 標註爲安全更新，發佈日期爲 10 月 23 日。Electrum 官網提醒用戶僅從官網下載軟件，並覈驗 GPG 數字簽名，以確認安裝包來源及完整性。
Succinct 旗下零知識證明系統 SP1 曝出高嚴重性可靠性漏洞。該漏洞於 10 月 11 日通過 GitHub 公告 GHSA-p7v2-jjv3-8p8f 披露，影響 SP1 原生 Rust 驗證器 6.0.0 至 6.8.0 版本，使主網 Prover Network 可能接受無效證明：惡意證明者可提交無效執行的證明，而網絡驗證器仍會接受。漏洞原因是驗證器僅讀取數據的標籤（聲明維度），未校驗實際存儲元素數量是否等於維度乘積，攻擊者可僞造標籤使無效證明通過。採用固定形狀 wrap 證明的 Groth16 與 Plonk 檢查不受影響，鏈上 Solidity 檢查器亦安全。Succinct 於 9 月 24 日發佈修復版本 6.8.1，並已部署至主網；該版本新增反序列化長度校驗。漏洞由 Vitalis Salis 發現，並經 Immunefi 漏洞賞金計劃上報。自行運行原生 Rust 驗證器且接受不可信證明者的用戶需升級至 6.8.1。
Initia 稱，攻擊者於 10 月 23 日 22:59（UTC+8）利用 Initia MoveVM 腳本緩存漏洞繞過安全檢查，僞造 MoveVM 狀態，爲自己記入無實際支撐的 WETH、iUSD 和 USDC。相關代幣總供應量未發生變化，INIT 未被增發，總供應量不受影響。