XRP Ledger 修補十年漏洞：差點讓 XRP 無限增發
XRP Ledger 是市值前十大的公鏈，官方長期強調 1,000 億顆的總量上限是信任基礎之一，支撐它作為跨境支付與機構清算工具的定位。但這個上限其實建立在程式碼沒有算術錯誤的假設上，一旦支付引擎的⋯
依日期
跨鏈平台 NEAR Intents 被盜 380 萬美元，揪出駭客後追回
NEAR Intents 是跨鏈換幣平台，使用者只要說想換什麼，由做市方在 35 條區塊鏈之間代為換好，累計處理超過 300 億美元。資金進出要經過一套叫 Omni 的存提款系統。9 月底交易所 Bi⋯
Chainlink 跨鏈協定改版：發行方可加掛自己的驗證關卡
跨鏈橋是把資產從一條區塊鏈搬到另一條的通道，也是駭客最常下手的地方。4 月 Kelp 的 rsETH 經 LayerZero 跨鏈橋被提走 2.92 億美元，事後檢討指向整筆轉帳只靠單一驗證者放行。C⋯
區塊鏈 MultiversX 遭攻擊停擺第五天：倒帶重啟失敗，驗證者再關機
MultiversX（前身 Elrond）是 2020 年上線的分片區塊鏈，代幣是 EGLD。9 月 19 日攻擊者利用虛擬機器的「原子性」漏洞得手。交易本該全部生效或全部作廢，但在邊緣情況下操作順序⋯
花 2 萬美元奪 Neutron 治理權，Cosmos Hub 停機一天
Neutron 是 Cosmos Hub 首條採用 Interchain Security 的 consumer chain，靠共享 ATOM 驗證者換取資安保障，但也讓鏈上治理提案能直接改寫合約管理⋯
SingularityNET 跨鏈橋被闖：雲端權限遭盜，4 種代幣被增發
SingularityNET 是 Ben Goertzel 創辦的 AI 區塊鏈專案，2024 年起代幣併入 Fetch.ai 的 FET。它營運一座連接以太坊與 Cardano 的跨鏈橋，也替 Nu⋯
硬體錢包 Coldcard 被盜的 52 顆比特幣進信託：要實名驗證才領得回
Coldcard 是 Coinkite 出的比特幣硬體錢包，2021 年 3 月起的韌體拿晶片序號這類公開資料當亂數，私鑰因此可以被外人反推出來。攻擊者從 7 月 30 日起照著算、逐一掃空錢包，Ga⋯
追蹤大戶錢包的 App 藏攻擊程式：iPhone 私鑰與助記詞可能外流
手機上追蹤鏈上大戶動向的 App 通常只讀公開資料，不需要連上使用者的錢包。iPhone 把私鑰與助記詞鎖在系統的 Keychain 裡，靠沙盒機制隔離，正常情況下一個 App 讀不到其他 App 的⋯
假求職面試偷走 7 千個加密貨幣錢包：日美澳德聯手點名北韓集團
北韓長期靠網路攻擊與外派 IT 人員賺外匯。這次被點名的 WaterPlum 專挑工程師下手：冒充人工智慧、加密貨幣或 NFT 公司的獵頭，在社群、求職網站與接案平台發出優渥職缺，再以線上技術面試或程⋯
數位銀行 Revolut 外洩案改要門羅幣：300 萬美元，限 24 小時
英國起家的數位銀行 Revolut 有 8,000 萬名個人客戶，App 裡同時放現金與比特幣，開戶時收的護照與驗證自拍也留在平台上。9 月 12 日公司承認，有人用真實政府機關的網域寄出偽造的調資公⋯
以太坊錢包被提走 773 萬美元：問題出在自己加裝的自動化外掛
以太坊的多簽錢包 Safe 可以外掛模組，讓程式代替持有人自動下單，管理流動性部位。模組一裝上就等於拿到動用錢包資產的權限，邊界全靠模組自己寫的檢查。Uniswap 第四版又把資金池邏輯開放給第三方掛⋯
0x 掃 8.4 萬個 Uniswap v4 掛鉤合約：八成報價與成交價不符
Uniswap v4 讓任何人替資金池掛上一段自訂合約，業界叫 hook，可以做動態手續費或限制誰能交易。交易聚合器、錢包與交易介面替使用者找最好價格時，會先向這些資金池詢價，再決定把單子送到哪裡。問⋯
跨鏈橋 Symbiosis 遭駭損失 9.97 顆比特幣：協議承諾全額補償
Symbiosis 是把資產在不同區塊鏈之間搬運的跨鏈橋，收下比特幣後在目標鏈上鑄出等量的憑證代幣 syBTC。9 月 11 日有人繞過檢查，一口氣鑄出沒有資產撐著的 syBTC，倒進交易池換走真資產⋯
比特幣節點軟體 32.0 改版：預設換新交易格式，舊錢包可能讀不了
交易所、託管商與錢包後端跑的比特幣節點程式，多數是同一套叫 Bitcoin Core 的軟體，它決定節點怎麼驗證區塊、怎麼組裝交易。開發者每年切一次大版本，這次輪到 32.0。大版本不動共識規則，也就⋯
北韓找第三國工程師代考面試：月薪 500 美元，用加密貨幣付
北韓派 IT 工作者假冒他國身分應徵遠端職缺、把薪水匯回平壤，已經是加密貨幣公司徵才時要防的固定風險。美國聯邦調查局與財政部近年連續示警，企業也開始在視訊面試加上身分辨識步驟。這套防線的前提是：坐在鏡⋯
歐盟要求加密貨幣錢包業者 24 小時通報漏洞：最高罰年營收 2.5%
歐盟 2024 年通過的網路韌性法案（Cyber Resilience Act）管的是「含數位元件的產品」，法規自己的定義是任何軟體或硬體產品。整部法規要到 2027 年 12 月 11 日才全面適用⋯
以太幣被盜後遭機器人搶走：失主告上法院，要質押服務商退還手續費
以太坊的交易誰先被打包，看的是誰願意付更高的優先手續費。錢包金鑰一旦外洩，搶救方和竊賊常常各自派機器人互相加價，搶著先把同一筆錢轉走，墊高的手續費最後進了打包區塊的驗證者口袋。Lido 是以太坊最大的⋯
比特幣側鏈 Liquid 拒付贖金：598 顆比特幣改走法律追討
比特幣側鏈 Liquid 由 Blockstream 推出，交易所把比特幣鎖進十五家業者共管的聯邦錢包，在側鏈換成等值的 L-BTC 拿去結算。9 月 6 日有人利用底層軟體 Elements 的驗證⋯
Trezor 揭露釣魚信外洩規模：34.7 萬個訂閱信箱可能外流
硬體錢包把私鑰存在不連網的裝置裡，Trezor 是最老牌的品牌之一。這類公司最脆弱的地方常常不在裝置，而在外包出去的環節。出貨名單留在物流商手上，行銷信的寄件權限握在電子郵件平台手上。9 月 9 日 ⋯
破解比特幣與以太坊簽章的量子成本砍半：新電路只要 1,151 個量子位元
比特幣與以太坊都用同一條橢圓曲線 secp256k1 替交易簽名。只要地址的公鑰曾公開在鏈上，未來夠強的量子電腦就可能反推出私鑰。Google 今年 3 月把這種攻擊最吃資源的一步換算成分數，量子位元⋯
Osmosis 的比特幣憑證三成六沒有幣撐著：鑄造與贖回全部暫停
跨鏈橋讓比特幣能在別條鏈上流通，做法是把真幣鎖在託管方手上，另一條鏈發出等值憑證。Cosmos 生態的去中心化交易所 Osmosis 把幾家橋接商發的比特幣憑證合併成一種資產 allBTC，其中一家是⋯
Liquid 側鏈追回 3,400 顆比特幣：598 顆沒還，網路仍停擺
Liquid 是 Blockstream 在 2018 年推出的比特幣側鏈，交易所把比特幣鎖進由十五家業者共管的聯邦錢包，換成等額的 L-BTC 拿去結算。9 月 6 日有客戶把 4,000 顆 L-⋯
Crypto.com 公鏈倒轉區塊救回九成：919 萬美元追不回來
Cronos 是 Crypto.com 主導的公鏈。8 月 30 日有人操縱鏈上借貸協議 Tectonic 的抵押品報價，先把治理代幣 TONIC 的價格拉高，再拿它當抵押品跨九個市場借走資產。驗證者⋯
Liquid 橋接節點完成修補：遭提走的比特幣尚未歸還
Liquid 是 Blockstream 在 2018 年推出的比特幣側鏈。交易所把比特幣鎖進一個由十五家業者共管的聯邦錢包，在 Liquid 上換成等額的 L-BTC 拿去結算與交易，要換回真幣時由⋯
以太坊訂出抗量子期限：2029 年 12 月前還要再過五次升級
量子電腦真的成熟之後，可以從公開的公鑰反推出私鑰，把區塊鏈上的簽章拆開。以太坊的帳戶安全就架在這套簽章上，今年基金會已經把抗量子從長期研究挪到路線圖最前面，但一直沒有對外給出完成日期。下一輪升級 He⋯
假冒 Google 客服騙走 4,100 顆比特幣：22 歲主嫌週二認罪
2024 年 8 月，一名住在華盛頓特區的加密貨幣長期投資人接到自稱 Google 與交易所 Gemini 客服的來電，對方引導他交出安全碼、開放雲端硬碟權限，4,100 多顆比特幣就這樣被轉走，當時⋯
比特幣側鏈 Liquid 停擺：金鑰沒被偷，3,996 顆比特幣照樣被提走
Liquid 是 Blockstream 在 2018 年推出的比特幣側鏈。交易所把比特幣鎖進一個由十五家業者共管的聯邦錢包，在 Liquid 上換成等額的 L-BTC 拿去結算與交易，要換回真幣時由⋯
Harmony 公鏈提議關閉主網，9 月 10 日前要把錢從合約領走
Harmony 是 2019 年上線的公鏈，把網路切成多條分片來壓低手續費，代幣 ONE 原本流通約 150 億顆。它出事不只一次。2022 年跨鏈橋被北韓 Lazarus Group 搬走 1 億美⋯
ZKsync 淘汰舊版底層系統：放在智慧合約裡的錢，六個月內要搬家
ZKsync 是以太坊上的擴容網路，用一套叫 EraVM 的執行引擎跑智慧合約，再靠零知識證明把結果送回以太坊驗證。這套引擎和它的證明系統 Boojum 都是 2023 年的設計，原始碼公開，任何人都⋯
穩定幣評等機構調升 USDT 到 C 級：910 億美元供給只靠兩把金鑰
Bluechip 是專門替穩定幣打安全評等的非營利機構，用字母級距評斷發行方的儲備、治理與贖回安排。USDT 流通規模約 1,834 億美元，是全球最大的穩定幣，卻從 2023 年首度評等以來一直停在⋯
127 億美元流向東南亞詐騙園區：美國財政部要銀行與加密貨幣業者專案通報
東南亞的詐騙園區設在柬埔寨、寮國與緬甸，靠人口販運來的勞力運作。園區的人用假身分跟受害者建立感情或投資關係，再誘導對方把積蓄換成加密貨幣匯出。錢一旦上鏈就換成穩定幣往外跑，凍結銀行帳戶那一套追不上。美⋯
Core DAO 緊急硬分叉：驗證者多領新幣，交易所停轉帳逾 48 小時
Core 是一條把比特幣挖礦算力和質押綁在一起的公鏈，代幣 CORE 的總量上限訂在 21 億顆，新幣只能透過區塊獎勵發給產出區塊的驗證者。這套設計的前提是發行速度由協議決定，沒有人可以自己多拿。8 ⋯
烏克蘭破獲加密貨幣盜領集團：假投資網站每月搬走 100 萬美元
錢包被偷不一定要先交出助記詞。近年常見的手法是把人引到一個假的加密貨幣投資網站，畫面上顯示帳戶獲利穩定成長，再請對方連上自己的錢包、按一次確認交易。那一次確認等於把資產的動用權限交給對方預先埋好的程式⋯
幣安公鏈完成升級：跨鏈橋補掉同一驗證者能重複投票的漏洞
幣安旗下的 BNB 智慧鏈是全球交易筆數最多的公鏈之一。它的跨鏈橋在放行資產之前，要先驗過一組驗證者的共同簽名。過去負責驗證的內建程式只清點簽名數量，沒有檢查同一個驗證者有沒有在名單裡出現兩次，理論上⋯
真實世界資產公鏈 MANTRA 停擺 30 小時後恢復：漏洞出在共用模組
MANTRA 是一條主打真實世界資產代幣化的第一層公鏈，把債券、基金、不動產這類鏈下資產搬上鏈，並在協議層內建法遵功能。它的代幣 2025 年 4 月一小時內崩跌逾九成，市值蒸發約 50 億美元。今年⋯
詐騙集團用假錢包 App 騙助記詞：88.5 萬組電話名單含香港
硬體錢包的安全前提，是那串 12 到 24 個英文單字的助記詞只留在裝置上，不輸入到任何軟體。只要使用者願意把它打進電腦，再貴的錢包也擋不住。詐騙集團因此不攻擊裝置，改攻擊使用者的判斷，用假的錢包軟體⋯
加密貨幣支付商 Coinsbuy 遭盜 800 萬美元，用自有資金補回
Coinsbuy 是一家歐洲的加密貨幣支付服務商，主要業務是替企業客戶處理收付款與 B2B 支付閘道。這類業者為了讓客戶隨時出金，錢多半集中在幾個長期連網的熱錢包裡，不像冷錢包可以離線保管。方便的代價⋯
36 家比特幣業者要求 AI 實驗室：把最強模型也給防守方用
AI 模型現在同時是攻擊工具與防守工具。攻擊的一方拿開源模型或繞過限制的手法找漏洞，幾乎不受約束；防守的一方反而常被安全護欄擋住，因為在模型眼中，「找出程式漏洞」和「寫惡意程式」長得很像。維護比特幣核⋯
Ravencoin 挖礦驗證有漏洞：交易所停提，三天交易可能被抹掉
Ravencoin 是 2018 年從比特幣程式碼分支出來的公鏈，讓人在鏈上發行代表實體資產的代幣，市值約 4,700 萬美元。工作量證明的規矩是每個區塊都得先花掉實際算力，節點檢查過才承認。問題出在⋯
北韓駭客組織自架三套離線 AI 環境：專門生成加密貨幣釣魚文件
Kimsuky 是北韓政府支持的駭客組織，長年鎖定南韓與各國的金融、加密貨幣機構，慣用手法是寄出看起來像正常公文或投資報告的檔案，騙收件者打開，這類攻擊叫做釣魚。依 Chainalysis 統計，北韓⋯
假驗證碼騙你貼指令：駭客把惡意程式藏進幣安 BNB 鏈合約
ClickFix 是這兩年最常見的網路詐騙手法之一。攻擊者先入侵正常網站，讓訪客看到一個假的驗證碼畫面，指示他們打開 Windows 的執行對話框、貼上剪貼簿內容再按 Enter，等於親手替駭客跑一段⋯
比特幣收款系統 BTCPay 爆漏洞：商家閃電網路資金被掏空
BTCPay Server 是自架式的比特幣收款軟體，Namecheap 與數百家小商家靠它收比特幣，也用它管理閃電網路（比特幣上的小額即時支付網路）裡的收款資金。它的設計是每個商家自己跑一台伺服器，⋯
志工拿 AI 掃 390 個比特幣專案：27.5 小時挖出 85 個嚴重漏洞
Coldcard 硬體錢包 7 月底爆出亂數產生器瑕疵，多組攻擊者陸續搬走逾 1 億美元的比特幣。這也讓比特幣圈看清一個長年狀態，錢包、節點與周邊工具的開源程式碼，安全審查大多靠少數人義務維護。一群開⋯
加密上半年遭駭 212 次創新高，逾七成損失來自私鑰外洩
加密產業的資安威脅這幾年逐步從「智慧合約被找出漏洞」轉向「營運端的私鑰、簽章、憑證被攻破」。攻擊者不再只鑽程式碼的洞，而是直接偷走管理錢包的鑰匙。資安公司 Blockaid 長期追蹤鏈上攻擊事件，並彙⋯
Zcash Ironwood 主網上線：封存 17 億美元舊護盾池
Zcash 的隱私靠 shielded pool 運作，池內金額與對象都被隱藏。2026 年 5 月，Shielded Labs 工程師 Taylor Hornby 以 AI 輔助稽核，發現主力的 O⋯
泰國 SEC 起訴 Bitkub：涉隱匿 4,700 萬美元遭駭案
Bitkub 是泰國最大加密交易所，市佔一度逾七成，2022 年因泰國最大金控 SCBX 洽談收購而聲名大噪。泰國《數位資產經營法》要求交易所如實申報資產與資安事件，隱匿損失、上報不實數字就踩到刑事紅⋯
WEMIX$ 合約管理權遭奪：攻擊者憑空鑄 522 萬美元、外流 72 萬
WEMIX 是南韓上市遊戲公司 Wemade 打造的區塊鏈，旗下 WEMIX$ 是與 USDC 全額掛鉤的穩定幣，供應量理應由儲備支撐。穩定幣的信任建立在鑄造權受控上，一旦發行合約的管理權限落入外人手⋯
CertiK：上半年加密扳手攻擊 52 起，損失暴露年增近 12 倍
加密資產最初的風險多半在鏈上，但持幣者愈來愈常在現實世界被盯上。所謂「扳手攻擊」，指歹徒用綁架、闖入住家、持械搶劫或人身脅迫，逼受害者交出加密貨幣、私鑰或錢包權限。資安公司 CertiK 兩年多來持續⋯
九家機構共組比特幣安全聯盟：三年投入 1,500 萬美元備戰量子
量子電腦一旦成熟，可能破解比特幣現行的橢圓曲線簽章，讓舊地址曝露私鑰風險。這個威脅過去多由開發者社群零星討論，缺乏機構級資源投入。持有比特幣部位龐大的資產管理公司與上市公司，開始意識到網路長期安全攸關⋯
AFX Trade 跨鏈橋遭駭：2,415 萬美元 USDC 被搬走
跨鏈橋是把資產在不同區塊鏈之間搬運的通道，因為集中保管的資金龐大、又常靠少數驗證者簽章放行，一直是加密圈被攻擊最頻繁的環節。AFX Trade 是建在 Arbitrum 上的永續合約交易所，它自建、與⋯
SecondFi 錢包遭竊後永久關閉：疑涉北韓 Lazarus
SecondFi 是 EMURGO 旗下 Cardano 錢包 Yoroi 的接班者，Yoroi 上線八年、服務近百萬使用者。6 月下旬 SecondFi 被爆出交易簽章軟體有漏洞，讓攻擊者能直接從公⋯
Zilliqa 暫停原生交易：Ledger 漏洞可從鏈上資料還原私鑰
Zilliqa 的問題不只是新版錢包程式需要修補。官方確認，2019 年以來所有版本的 Zilliqa Ledger app，在原生（非 EVM）交易簽名時會產生帶有固定偏差的 nonce。因為簽名已⋯
Verus 以太坊橋二度遭攻擊：同一類漏洞再被搬走 755 萬美元
跨鏈橋是 DeFi 最常被打穿的環節，「跨鏈訊息驗證過了、但金額沒對上」這類漏洞反覆出現。Verus 的以太坊跨鏈橋今年 5 月才因為少驗來源金額被搬走 1,158 萬美元。7/8 資金一度回補到橋上⋯
Wanchain 跨鏈橋遭攻擊：NIGHT 被搬走約 1,000 萬美元
Wanchain 是加密圈營運最久的跨鏈橋，串起 48 條鏈。NIGHT 是 Cardano 隱私夥伴鏈 Midnight 的原生代幣，先前空投給 ADA 持有者，在 Cardano 的 DEX 交投⋯
Hedera 借貸協議 Bonzo Lend 遭預言機攻擊：900 萬美元被借走
借貸協議靠預言機餵價來估算抵押品值多少，決定使用者能借出多少資產。Bonzo Lend 是 Hedera 鏈上最大的借貸協議，抵押品估值來自第三方預言機 Supra。這類設計的單點風險很清楚：只要預言⋯
BonkDAO 攻擊者藏起 1,900 萬美元：資金轉入 Bonk 2.0 多簽
BONK 是 Solana 上最知名的迷因幣，金庫由 BonkDAO 用代幣加權投票管理。七月六日一名攻擊者花約 440 萬美元買進並借入足夠的 BONK 票數，讓一項偽裝成改革方案的惡意提案以 99⋯
Aptos 修補 Move VM 重大漏洞：模擬攻擊成功率近九成
Aptos 使用的 Move 語言一向以型別安全為賣點，號稱能在虛擬機層面擋下資產被冒用的攻擊。資安公司 Hexens 卻在這道防線找到破口：一個快取過期引發的型別混淆漏洞，可能讓攻擊者把一種鏈上資源⋯
法國半年 77 起加密綁架勒索：內政部長端出三軸防護計畫
法國是加密綁架（俗稱扳手攻擊）最集中的國家，作案模式從入室挾持、當街擄人到綁架家屬都有，目標是逼受害者交出硬體錢包或私鑰。2025 年全年通報 45 起，執法單位今年已在案發後或預防性行動中逮捕 20⋯
Polymarket 前端遭供應鏈攻擊：300 萬美元被盜，承諾全額賠付
Polymarket 是目前規模最大的鏈上預測市場，使用者用平台自家的美元穩定幣 pUSD 在各種事件結果上下注。這次出問題的不是它的智慧合約，而是網站前端所依賴的第三方供應商。當外部廠商被攻破，惡意⋯
Taiko 橋接善後：官方承諾 1:1 全額補抵押
Taiko 跨鏈橋的安全全押在鏈狀態驗證機制不會被偽造，6 月 22 日這套機制遭攻破，官方停產區塊、要求使用者立即撤資，約 170 萬美元被掏走。根因現已查明：一把用來驗證 Intel SGX en⋯
Taiko 橋接失守：官方停產區塊並要求撤資
Taiko 是以太坊上的 based rollup，主打把排序權交回以太坊主網。它和多數 L2 一樣，靠一套鏈狀態驗證機制證明鏈的目前狀態為真，橋接合約再依這個證明決定能否放行跨鏈提領。整座跨鏈橋的安⋯
MEV 機器人 JaredFromSubway 反遭誘捕：750 萬美元被掏空
JaredFromSubway 是以太坊上最惡名昭彰的三明治攻擊機器人，從 2023 年起夾擊散戶交易，累積吸走數千萬美元，2024 年底到 2025 年秋一度包辦約七成的三明治攻擊。它的優勢在於一套⋯
Axelar 跨 Secret 橋遭盜：467 萬美元七天才發現
跨鏈橋多採「鎖定後鑄造」設計，使用者把真實資產鎖在來源鏈，橋在目標鏈鑄出對應的包裝代幣。只要鑄造端的驗證留有缺口，攻擊者就可能生出沒有抵押的代幣，再換走真實資產。這類橋一直是加密產業最常被鎖定的高風險⋯
Aztec 舊合約二度遭攻擊：410 萬美元被盜
Aztec 現行主推的隱私網路與 AZTEC 代幣運作正常，出事的是團隊多年前停用、且早已交出控制權的兩個舊產品：約三年前下線的 Aztec Connect，以及 2022 年停用的支付橋。兩者都是不⋯
G7 領袖聲明點名北韓加密竊案：首度把竊幣資助武器列為共同安全議題
北韓相關的駭客組織，例如 Lazarus Group，這幾年把交易所、DeFi 協議和加密使用者當成主要目標，被指控竊走的數位資產拿去支應飛彈與核武計畫。過去這類事件多半被當成資安或監管層級的麻煩，由⋯
美國跨國查緝混幣服務 AudiA6：兩人起訴、經手 3.89 億美元
混幣服務把不同來源的加密貨幣混在一起、切斷金流軌跡，也成為網路犯罪洗錢的常見管道。自 2022 年 Tornado Cash 被制裁後，執法機關持續鎖定這類服務。AudiA6 就是其中之一，它在暗網論⋯
Humanity 私鑰遭駭：3600 萬美元失守、H 幣重挫
Humanity Protocol 主打去中心化身分，用掌紋生物辨識加上零知識證明，讓人證明自己是真人卻不洩露個資。6 月 8 日，約 17 個相關錢包被清空、$H 代幣盤中崩約八成五，當時鏈上偵探 ⋯
Raydium 停用多年的舊資金池遭抽走 134 萬美元，金庫全額賠付
Raydium 是 Solana 上交易量最大的去中心化交易所。這次被攻擊的不是主力產品，而是一批 2021 年 Serum 時代留下、早已停用的舊版 AMM V3 資金池。這些池子自停用後就無法透過⋯
Zcash 提出 Ironwood 新護盾池：用閘機會計重建供給可驗證性
Zcash 賣的是隱私，但這次問題卡在隱私本身。Orchard 護盾池 2022 年上線，把交易藏進零知識證明裡。5 月底資安研究員 Taylor Hornby 用 AI 輔助審計，找到一個四年沒被發⋯
Zcash Orchard 漏洞修完才公開：隱私池四年無法證明有沒有被鑄出假 ZEC
Zcash 的賣點是隱私，但這次問題剛好卡在隱私本身。Orchard 護盾池 2022 年 5 月上線，讓交易內容藏在零知識證明裡。Taylor Hornby 5 月 29 日用自建 AI 審計流程搭⋯
Zcash 緊急硬分叉修補 Orchard 雙重支付漏洞：五天內完成史上最緊湊升級
Orchard 是 Zcash 在 2022 年推出、最先進的隱蔽交易池，不需要可信設定儀式，也握有相當比例的流通 ZEC。問題在於它背後是一套零知識證明系統，要修補就得更新密碼學的驗證金鑰，這種改動⋯
Fluid 鏈外獎勵系統金鑰遭入侵：125,000 顆 FLUID 與 51,900 顆 GHO 被領走
Fluid 是借貸協議 Instadapp 改名後的主力產品，把使用者獎勵的發放放在鏈外的 Merkle 分配系統處理，由一組權限金鑰負責提交與核准每一期的獎勵根。這類鏈外環節向來是 DeFi 協議的⋯
TrapDoor 攻擊瞄準 AI 程式工具：34 個惡意套件藏指令讓 Cursor、Claude Code 外洩私鑰
AI 程式工具（Cursor、Claude Code）會讀取專案內的設定檔來理解上下文，但如果設定檔裡藏了用零寬度 Unicode 隱藏的惡意指令，AI 工具會照做，開發者在畫面上完全看不到異狀。 資⋯
StablR 多簽設定僅 1-of-3，一把私鑰被盜即鑄出 1,350 萬美元穩定幣
StablR 是 Tether 2024 年底投資、跟著歐盟 MiCA 框架推出的歐元、美元穩定幣，主打「儲備分離保管、受監管」。5 月 24 日週日，Blockaid 偵測到攻擊者私下入侵 Stab⋯
Polymarket 內部加值錢包私鑰被竊，70 萬美元遭搬光，合約與使用者資金未受影響
Polymarket 5/22 早上被鏈上偵探 ZachXBT 點名：Polygon 上一個和獎勵發放有關的內部錢包正在被持續搬光，Bubblemaps 跟進統計，攻擊者每 30 秒提走 5,000 ⋯
Vitalik 撰文倡議形式驗證：AI 寫程式搭配數學證明，安全性可高於人工
Vitalik 5/18 在自家部落格發了一篇〈A shallow dive into formal verification〉，講法很直接：AI 會讓駭客找漏洞更快，但只要把 AI 寫的程式碼配上「⋯
BNB Chain 測試抗量子簽章：安全升級代價是 TPS 下滑
後量子密碼學不只是一句口號，真正麻煩在於簽章變大、區塊變重、節點傳播變慢。公鏈要抗量子，必須先算清楚安全與效能的交換成本。 BNB Chain 5 月 14 日公布研究，把 ECDSA 換成 ML-D⋯
Anthropic 限定釋出 Claude Mythos：能挖出數千個零日漏洞，Project Glasswing 給 40 家合作方搶先用
Anthropic 4/7 揭露 Claude Mythos Preview，這個模型能自主挖出數千個零日漏洞，其中包括一個塵封 17 年的 FreeBSD 遠端執行漏洞。模型不對外開放，僅透過 Pr⋯
Anthropic 不小心把 Claude Code 51 萬行原始碼塞進 npm 套件，12 小時內被全網鏡像
3 月 31 日凌晨，Anthropic 更新 Claude Code 的 npm 套件時，意外把一份 59.8MB 的 source map 檔打包進去。裡面是完整的原始碼：1,906 個 Type⋯