新聞熱度趨勢
項目概述
Code 是一家加密貨幣支付平臺，它開發了一款應用程序來實現互聯網最古老的夢想之一：小額支付，即花費少量價值購買數字商品的能力（例如訪問博客文章、直播或數字藝術）。 Code 基於 kin (KIN) 加密貨幣構建。
自託管提案擬要求RIA明確加密資產破產保護
Fox Business 加密記者在 X 平臺發文表示，一項自託管提案重點關注破產保護，擬要求註冊投資顧問與客戶簽署書面協議，明確顧問自託管的加密資產將依據《統一商法典》第 8 條被視爲金融資產。此舉或旨在降低顧問資不抵債時客戶失去加密資產的風險。
AI 3D公司VAST完成約30億元B輪及B+輪融資，經緯創投領投
AI 3D 公司 VAST（三啓萬物）宣佈完成約 30 億元人民幣 B 輪和 B+輪融資，經緯創投領投。完美世界、藍色光標、芯動能投資、延趣遊戲、中科創達、三七互娛，以及鼎暉 VGC、中金資本、CMC 資本等聯合參投，老股東達晨財智、春華資本、渶策資本等持續追投。據官方介紹，VAST 不到半年時間累計融資約 50 億元人民幣。據悉，VAST 還發布旗艦 3D 基座模型 Tripo P 系列最新版本 Tripo P2.0，本輪融資資金將投入 3D 原生模型與數據能力迭代、訓練與推理基礎設施擴建、產品開發與商業化落地。（新浪財經）
AI 代碼驗證創企 Blacksmith 完成 4500 萬美元 B 輪融資，Peak XV Partners 領投
據 TechCrunch 報道，AI 代碼驗證初創公司 Blacksmith 宣佈完成 4500 萬美元 B 輪融資，Peak XV Partners 領投，GV和 Y Combinator 跟投，公司估值達到 5.5 億美元。
AI編程初創公司Cognition完成超10億美元融資，估值升至250億美元
AI 編程初創公司 Cognition 宣佈完成超過 10 億美元新一輪融資，投前估值升至 250 億美元，較 8 個月前 102 億美元的投後估值實現翻倍增長。本輪融資由 Lux Capital 與 General Catalyst 領投，Founders Fund、8VC 繼續跟投，Ribbit Capital、Atreides 及 Layer Global 等新投資方參與。官方披露數據顯示，旗下 AI 程序員產品 Devin 過去 6 個月企業用戶使用量實現 50%的月度環比增長，目前公司年化收入運行率（ARR）已達 4.92 億美元，客戶包括梅賽德斯-奔馳、NASA、高盛及桑坦德銀行等大型機構。在 Anthropic Claude Code、OpenAI Codex 及谷歌 Jules 等原生 AI 編程工具競爭下，Cognition 表示，Devin 的持續增長及對 Windsurf 資產的收購，證明獨立 AI 編程代理仍具備商業化空間。
幣安錢包遭利用EIP-7702委託轉向惡意代碼，攻擊者授權來源尚未確認
據 Bitcoin News 監測，攻擊者據稱利用 EIP-7702 委託將幣安錢包指向惡意代碼，進而轉移資金。攻擊者如何獲得授權仍在調查中，目前有兩種可能：私鑰被盜，或攻擊者通過遭到入侵的簽名流程獲取惡意授權簽名。兩種情況均未得到確認。若私鑰未被盜，此次攻擊可能暴露出交易所在交易授權機制方面的重大漏洞，而非私鑰安全方面的問題。
馬來西亞一男子加密錢包疑遭入侵，損失約 305 萬美元
據 Bernama 報道，馬來西亞霹靂州一名男子的加密錢包疑遭入侵，損失約 1,247 萬林吉特（約合 305 萬美元）。霹靂州總警長表示，受害者於 10 月 9 日下午發現，其加密資產在未經授權的情況下被轉出。初步調查顯示，相關交易通過區塊鏈網絡進行。警方正與商業罪案調查部加密貨幣部門合作，追蹤資金流向並調查涉案人員。案件目前依據馬來西亞《刑事法典》第 420 條有關詐騙的規定展開調查，具體攻擊方式尚未披露。
兩男非法盜電挖礦被捕，警方查獲 30 臺比特幣礦機
據《星報》報道，霹靂州中部地區警方聯合國家能源公司（TNB）在 Seri Iskandar 展開行動，搗毀一處非法加密貨幣挖礦據點，逮捕兩名本地男子。涉案人員涉嫌私接電線爲比特幣礦機供電，警方現場查獲 30 臺比特幣礦機、路由器、桌面交換機及一卷電線。案件依據《刑法》第 427 條及 1990 年《電力供應法》第 37(1) 條展開調查。警方強調，盜電挖礦不僅違法，還可能給電力公司造成重大損失並引發火災風險。
日本自民黨議員團體擬討論預測市場監管，重點協調賭博相關法律
據 NADA NEWS 報道，日本自由民主黨議員團體“數字先進金融議會聯盟”擬將預測市場納入討論議題，研究其在日本的法律定位及監管方式。日本現行法律尚未對預測市場作出明確規定，相關業務可能涉及《刑法》中的賭博罪。
保加利亞議會通過法案，稅務部門將獲加密用戶完整數據訪問權
保加利亞國民議會於 9 月 9 日以 149 票贊成、0 票反對、10 票棄權通過《稅收和社會保障程序法》修正案，將允許保加利亞國家稅務局獲取加密資產用戶詳細信息。該法案經 240 席議會表決通過。修正案落實兩項歐洲聯盟（EU）指令，加密資產相關企業須登記並向保加利亞國家稅務局報告用戶姓名、地址、出生日期和地點、稅務居住地及稅號，並提交各類加密資產的交易數據，包括收到的毛額、交易數量、法幣買賣筆數及加密資產兌換情況。隱私倡議人士批評數據收集範圍過廣，認爲強制披露個人信息可能帶來安全風險。加密交易者和小型企業則表示，登記及報告要求將增加合規成本；法案支持者認爲其符合歐盟標準，有助於遏制逃稅。相關指令要求歐盟成員國在 2025 年 12 月 31 日前完成採用。（Bitcoin.com News）
Sparrow Wallet 發佈 2.5.4 版本，AI 輔助代碼審查修復多項安全漏洞
據 Decrypt 報道，隱私向比特幣錢包 Sparrow Wallet 於 8 月 28 日發佈 2.5.4 版本更新。開發者 Craig Raw 表示，此次更新由 AI 輔助代碼審查驅動，大部分修復均來源於此次審查。此次審查的背景是此前 Coldcard 發生的種子生成代碼漏洞攻擊事件，以及中國無限制 AI 模型的發佈使大型代碼庫漏洞搜索能力大幅提升。 主要更新內容包括：驗證 Electrum 服務器返回的交易合法性、加強 BitBox02 硬件錢包安全要求（固件版本需 9.4.0 及以上）、修復本地 DNS 泄露、隱藏調試日誌中的敏感憑證等。Raw 表示，未發現任何被利用的跡象，用戶資金未受威脅，但仍建議所有用戶儘快更新。
慢霧：Udesk 客服腳本被植入惡意代碼，可竊取用戶會話數據並替換充值地址
據慢霧（SlowMist）披露，其安全人員在日常威脅情報排查中，發現 Udesk 客服系統相關腳本 udeskApi.2026-10-16.cached.js 被植入惡意加載器。該加載器通過十六進制編碼隱藏地址，異步加載遠程腳本 deeps.js（來源爲 udeskqlobal[.]com，注意域名以字母 q 開頭）。該腳本會讀取頁面可訪問的 Cookie、localStorage 和 sessionStorage，並攔截表單及登錄、認證類請求，將數據發送至 udeskqlobal[.]com/c.php，攻擊者可能借此冒用會話或接管賬戶。該數據收集行爲不受目標站點規則限制，未匹配的頁面同樣可能受影響。 據慢霧分析，該腳本還針對 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三類站點，每 200 毫秒掃描一次充值頁面，並將識別出的充值地址替換爲預設的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同時，腳本通過包裝剪貼板 API、替換複製按鈕和攔截複製事件，使用戶看到並複製的都是被篡改的地址。用戶若按該地址轉賬，資金將流入攻擊者地址。
pump.fun已基於Hyperliquid推出永續合約交易服務，每筆訂單最高收取0.1%的Builder Fee
pump.fun 已基於 Hyperliquid 的 Builder Code 機制在其前端推出永續合約交易服務。pump.fun 在官方文檔中表示，當用戶通過其永續合約功能在 Hyperliquid 上進行交易時，pump.fun 會對用戶提交的每筆訂單（包括開倉、加倉或平倉訂單）的名義價值收取最高 0.10% 的開發者費用（Builder Fee）。此外，對於通過應用內提供的跨鏈橋向 Hyperliquid 轉入或轉出資產的每次劃轉，pump.fun 會收取最高 0.25% 的費用，該費用是在跨鏈橋運營商自身收取的費用之外額外加收的，且可能會與運營商費用合併顯示爲一個綜合跨鏈費金額。
馬來西亞一男子加密錢包疑遭入侵，損失約 305 萬美元
據 Bernama 報道，馬來西亞霹靂州一名男子的加密錢包疑遭入侵，損失約 1,247 萬林吉特（約合 305 萬美元）。霹靂州總警長表示，受害者於 10 月 9 日下午發現，其加密資產在未經授權的情況下被轉出。初步調查顯示，相關交易通過區塊鏈網絡進行。警方正與商業罪案調查部加密貨幣部門合作，追蹤資金流向並調查涉案人員。案件目前依據馬來西亞《刑事法典》第 420 條有關詐騙的規定展開調查，具體攻擊方式尚未披露。
Refi Hub聯合創始人遭Claude惡意鏈接攻擊，受污染技能文件試圖竊取憑證
加密項目 Refi Hub 聯合創始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下載鏈接安裝轉錄應用而遭黑客攻擊。該鏈接指向仿冒網站，並捆綁惡意軟件，執行後試圖竊取其設備中的全部信息。Numa Lunah 稱，自己清除並重裝了涉事筆記本電腦，未發現敏感信息外泄。隨後，他在備份中發現受污染的 Claude Code 技能文件 SKILL.md，該文件僞裝成其本人編寫的風格指南，幷包含每次加載時重新下載惡意軟件、竊取憑證的指令。Microsoft Defender Experts 曾警告，攻擊者已從搜索引擎優化投毒轉向大語言模型回答投毒，相關手段包括推薦攻擊者控制的下載鏈接、AI 品牌仿冒安裝程序，以及受污染的代碼庫和代理技能。加密行業從業者可能持有助記詞、私鑰文件、熱錢包 JSON、具備提現權限的交易所 API 密鑰和部署者密鑰等不可撤銷憑證。（Bitcoin.com News）
BNB Agent Studio正式上線BNB Chain主網
BNB Chain 宣佈 AI Agent 開發平臺 BNB Agent Studio 正式上線主網。開發者可在 Cursor、Claude Code 等 AI 編程工具中通過一句提示詞完成 Agent 的錢包創建、鏈上身份註冊（ERC-8004）與部署，無需分別搭建錢包、身份、支付、託管和 LLM 接入。Agent 部署後可通過 x402 協議從用戶預充值錢包中自動扣費續費 LLM 用量，並藉助 ERC-8183 任務接口被其他 Agent 發現和調用，全程運行於 AWS Bedrock AgentCore。官方同時推出限時免費試用活動，用戶憑 GitHub 賬號即可在 BSC 測試網體驗完整部署流程。
Bitget 推出新用戶合約活動，單人最高解鎖 656 USDT
Bitget 推出「代號 0511」新人活動，參與時間爲 5 月 11 日至 5 月 18 日。活動期間，用戶完成 KYC 即可獲得 1 至 5 USDT；完成不少於 100 USDT 的首次充值和合約交易任務，可額外獲得 10 USDT。 此外，新用戶合約交易量達到指定門檻後，還可領取更多獎勵，最高累得 641 USDT。詳細規則已在 Bitget 官方平臺發佈，符合條件的用戶點擊「立即加入」按鈕完成報名後方可參與活動。
Cursor：發現一起與擴展程序相關的安全事件，預計最多影響5000名用戶
SpaceX 旗下 AI 編程工具 Cursor 於 X 發文表示：“我們發現一起安全事件，影響了一款通過我們的 Cursor IDE 擴展市場訪問的、被篡改的 Claude Code VS Code 擴展程序，最多會影響 5000 名用戶。這個惡意的擴展程序版本並非由 Anthropic 開發，它也不影響從官網、Grok Bot、Grok 或我們的其他 SpaceXSI 產品下載的其他擴展程序。對此，我們已於今天下午關閉了擴展市場，與相關服務商合作清除了惡意軟件，並在確認已無後續風險後重新開放了市場。如果受到影響，請查看官方博客文章中的說明，瞭解如何查找惡意軟件包並採取措施減輕任何潛在影響。我們已要求所有客戶將 Claude Code for VS Code 更新至 2.1.314 版本。”
幣安錢包遭利用EIP-7702委託轉向惡意代碼，攻擊者授權來源尚未確認
據 Bitcoin News 監測，攻擊者據稱利用 EIP-7702 委託將幣安錢包指向惡意代碼，進而轉移資金。攻擊者如何獲得授權仍在調查中，目前有兩種可能：私鑰被盜，或攻擊者通過遭到入侵的簽名流程獲取惡意授權簽名。兩種情況均未得到確認。若私鑰未被盜，此次攻擊可能暴露出交易所在交易授權機制方面的重大漏洞，而非私鑰安全方面的問題。
美國選舉援助委員會網站遭披露存在嚴重遠程代碼執行漏洞
網絡安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。
Telegram表情貼圖曝零點擊漏洞，iOS可無交互代碼執行
研究人員在東京舉行的一場安全會議上披露 Telegram 表情貼圖功能存在零點擊漏洞，並演示了攻擊者無需用戶進行任何交互，即可在 iOS 設備上執行代碼。不過，Telegram 對該漏洞的風險評估提出異議，此外現有信息尚未說明漏洞的具體影響範圍及修復進展。
慢霧：Udesk 客服腳本被植入惡意代碼，可竊取用戶會話數據並替換充值地址
據慢霧（SlowMist）披露，其安全人員在日常威脅情報排查中，發現 Udesk 客服系統相關腳本 udeskApi.2026-10-16.cached.js 被植入惡意加載器。該加載器通過十六進制編碼隱藏地址，異步加載遠程腳本 deeps.js（來源爲 udeskqlobal[.]com，注意域名以字母 q 開頭）。該腳本會讀取頁面可訪問的 Cookie、localStorage 和 sessionStorage，並攔截表單及登錄、認證類請求，將數據發送至 udeskqlobal[.]com/c.php，攻擊者可能借此冒用會話或接管賬戶。該數據收集行爲不受目標站點規則限制，未匹配的頁面同樣可能受影響。 據慢霧分析，該腳本還針對 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三類站點，每 200 毫秒掃描一次充值頁面，並將識別出的充值地址替換爲預設的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同時，腳本通過包裝剪貼板 API、替換複製按鈕和攔截複製事件，使用戶看到並複製的都是被篡改的地址。用戶若按該地址轉賬，資金將流入攻擊者地址。
PHP官方緊急敦促用戶更新，避免受到嚴重遠程代碼執行漏洞影響
PHP 官方發佈安全公告，針對此前披露兩項嚴重遠程代碼執行（RCE）漏洞，分別爲 CVE-2026-109618 和 CVE-2026-109619。攻擊者可能在未經身份驗證的情況下利用相關漏洞執行惡意代碼，PHP 官方強烈建議所有用戶立即升級。此次漏洞影響 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等處理 Web 請求的 PHP 環境，其中 Apache mod_php 風險尤爲突出，攻擊可在應用程序代碼運行前觸發。官方已發佈修復版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。仍在使用 PHP 8.1 及更早版本的用戶應聯繫發行版或長期支持（LTS）供應商確認補丁情況，或升級至受支持版本。官方強調，臨時緩解措施無法完全消除風險，立即安裝安全更新纔是徹底解決漏洞的方式。
Cursor：發現一起與擴展程序相關的安全事件，預計最多影響5000名用戶
SpaceX 旗下 AI 編程工具 Cursor 於 X 發文表示：“我們發現一起安全事件，影響了一款通過我們的 Cursor IDE 擴展市場訪問的、被篡改的 Claude Code VS Code 擴展程序，最多會影響 5000 名用戶。這個惡意的擴展程序版本並非由 Anthropic 開發，它也不影響從官網、Grok Bot、Grok 或我們的其他 SpaceXSI 產品下載的其他擴展程序。對此，我們已於今天下午關閉了擴展市場，與相關服務商合作清除了惡意軟件，並在確認已無後續風險後重新開放了市場。如果受到影響，請查看官方博客文章中的說明，瞭解如何查找惡意軟件包並採取措施減輕任何潛在影響。我們已要求所有客戶將 Claude Code for VS Code 更新至 2.1.314 版本。”
PHP官方緊急敦促用戶更新，避免受到嚴重遠程代碼執行漏洞影響
PHP 官方發佈安全公告，針對此前披露兩項嚴重遠程代碼執行（RCE）漏洞，分別爲 CVE-2026-109618 和 CVE-2026-109619。攻擊者可能在未經身份驗證的情況下利用相關漏洞執行惡意代碼，PHP 官方強烈建議所有用戶立即升級。此次漏洞影響 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等處理 Web 請求的 PHP 環境，其中 Apache mod_php 風險尤爲突出，攻擊可在應用程序代碼運行前觸發。官方已發佈修復版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。仍在使用 PHP 8.1 及更早版本的用戶應聯繫發行版或長期支持（LTS）供應商確認補丁情況，或升級至受支持版本。官方強調，臨時緩解措施無法完全消除風險，立即安裝安全更新纔是徹底解決漏洞的方式。
CoreWeave推出Physical AI Launchables，簡化物理AI工作負載
AI 雲服務商 CoreWeave 宣佈推出 Physical AI Launchables，並於 NVIDIA GTC Berlin 活動上公佈。該產品提供由 CoreWeave 工程師構建並測試的物理 AI 工作負載模板，面向機器人、自動駕駛汽車及仿真團隊，支持通過單條命令啓動任務，減少環境配置、存儲設置及任務調度等前期準備工作。首批模板覆蓋 NVIDIA Isaac Sim、CARLA、MuJoCo、NVIDIA AlpaSim 和 NVIDIA Cosmos 3 五種工具，支持數據生成、模型評估及策略訓練等工作流，並集成 Cosmos Data Factory 相關智能體技能，可用於視頻、圖像和文本數據增強、自動標註及數據整理。該平臺還爲 Claude Code、Codex 等編程智能體提供專門優化的技能，支持自動啓動任務、監控運行狀態及獲取結果。CoreWeave 同時正與 Cadence、Encord、Voxel51 等物理 AI 軟件供應商合作，推動相關產品在其雲基礎設施上運行。
甲骨文推出行業應用 AI Agent Studio，支持無代碼和低代碼構建行業智能體
據 Oracle 公告，公司推出行業應用 AI Agent Studio，這是一套面向行業應用的無代碼和低代碼平臺，可用於創建、測試、編排、部署和管理 AI Agent 及多智能體工作流。該平臺基於 Oracle AI Agent Studio for Fusion Applications，可調用現有應用數據、工具和業務流程，並支持自然語言及可視化編排、跨應用工作流、Model Context Protocol（MCP）、多種生成式 AI 模型、測試調試、安全控制、生命週期管理和監控等功能。
慢霧安全預警：PHP被曝存在兩個嚴重遠程代碼執行漏洞，官方補丁預計今晚發佈
慢霧安全預警稱，PHP 於 10 月 20 日發佈安全公告，披露兩個可能導致遠程代碼執行（RCE）的嚴重安全漏洞，編號分別爲 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 評分均爲 9.2。目前，PHP 官方尚未發佈修復補丁，漏洞具體影響版本及利用條件仍待確認。根據現有信息，PHP 官方計劃於 10 月 21 日 14:00 UTC（北京時間 22:00）發佈安全更新。慢霧建議相關機構儘快排查服務器及業務系統中的 PHP 版本，重點關注公網暴露的 PHP 服務，並在補丁發佈後及時升級；暫時無法升級的系統應限制訪問來源，必要時採取隔離措施。
Anthropic 在新加坡開設辦公室並與政府簽署 MOU
據 Anthropic 官網消息，Anthropic 宣佈在新加坡開設亞太地區第五個辦公室，並與新加坡數字發展與信息部簽署諒解備忘錄（MOU），雙方將在 AI 安全、模型評估、負責任 AI 採用等領域展開合作。新加坡是 Claude 全球最活躍市場之一，目前已有 GovTech Singapore、DBS、Grab、GIC 等超過千家政府機構及企業部署 Claude。其中，GovTech Singapore 逾1500 名工程師已採用 Claude Code 推進政府系統現代化，Grab 藉助 Claude 驅動的銷售助手每季度節省約 4 萬小時人力。
相關新聞
Cursor 擴展市場現惡意版 Claude Code 擴展，最多 5000 名用戶受影響
Cursor 建議受影響用戶檢查 authorized_keys 中是否存在 svc-telemetry 密鑰，運行官方修復腳本，並輪換相關憑據。
Cursor：發現一起與擴展程序相關的安全事件，預計最多影響5000名用戶
SpaceX 旗下 AI 編程工具 Cursor 於 X 發文表示：“我們發現一起安全事件，影響了一款通過我們的 Cursor IDE 擴展市場訪問的、被篡改的 Claude Code VS Code 擴展程序，最多會影響 5000 名用戶。這個惡意的擴展程序版本並非由 Anthropic 開發，它也不影響從官網、Grok Bot、Grok 或我們的其他 SpaceXSI 產品下載的其他擴展程序。對此，我們已於今天下午關閉了擴展市場，與相關服務商合作清除了惡意軟件，並在確認已無後續風險後重新開放了市場。如果受到影響，請查看官方博客文章中的說明，瞭解如何查找惡意軟件包並採取措施減輕任何潛在影響。我們已要求所有客戶將 Claude Code for VS Code 更新至 2.1.314 版本。”
幣安錢包遭利用EIP-7702委託轉向惡意代碼，攻擊者授權來源尚未確認
據 Bitcoin News 監測，攻擊者據稱利用 EIP-7702 委託將幣安錢包指向惡意代碼，進而轉移資金。攻擊者如何獲得授權仍在調查中，目前有兩種可能：私鑰被盜，或攻擊者通過遭到入侵的簽名流程獲取惡意授權簽名。兩種情況均未得到確認。若私鑰未被盜，此次攻擊可能暴露出交易所在交易授權機制方面的重大漏洞，而非私鑰安全方面的問題。
美國選舉援助委員會網站遭披露存在嚴重遠程代碼執行漏洞
網絡安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。
Anthropic 推出 Claude 智能報告工具，可監控員工使用 AI 的情況與開銷
Anthropic 推出面向 Claude Enterprise 用戶的智能報告功能，可幫助企業管理者分析團隊對 Claude 的使用情況、工作流、產出類型及相關成本。管理員可選擇最長 28 天的統計週期，並覆蓋 Claude 對話、Claude Code、Claude Cowork 等產品。
Telegram表情貼圖曝零點擊漏洞，iOS可無交互代碼執行
研究人員在東京舉行的一場安全會議上披露 Telegram 表情貼圖功能存在零點擊漏洞，並演示了攻擊者無需用戶進行任何交互，即可在 iOS 設備上執行代碼。不過，Telegram 對該漏洞的風險評估提出異議，此外現有信息尚未說明漏洞的具體影響範圍及修復進展。