📷 受损的LP代币 📷

由这些金库铸造的所有Wasabi/Spicy LP份额代币应被视为受损——支持它们的基础资产已被耗尽或处于风险之中，而Wasabi: Deployer密钥（0x5c629f8c…fb0c8）仍然有效。持有这些代币的最终用户显示的是账面价值，但赎回价值为0（或迅速接近0）。我们强烈建议客户（a）在其用户界面中将这些代币标记为受损，（b）提示对Wasabi金库合约有活跃授权的用户立即撤销授权。

以太坊受损金库合约：
• 0x630ed8220f9cbc98358a2e2ecb0727d7b9d61397 (wWETH)
• 0x7d7bb40f523266b63319bc3e3f6f351b9e389e8f (sUSDC)
• 0xb533c682553f518a3961eeec2bfdc645c60289f0 (sREKT)
• 0xb86510bfdcd229a66f0617162ef1c45db1ceaba8 (wPEPE)
• 0x8d48b8d948726d4636aa15a9d6124422f461e153 (wMog)
• 0x127d3615a8865812f76ff8f214f9955c3a74820a (wBITCOIN)
• 0x10432bc30396e70f792b538d7e810c83dd7bfe71 (sZYN)
• 0xd2502e8e253a48d229df0e642a404c5bbff1c1b4
• 0x8e0edfd6d15f858adbb41677b82ab64797d5afc0 (Long Pool)

Base受损金库合约：
• 0x1c4a802fd6b591bb71daa01d8335e43719048b24 (sUSDC)
• 0x197d5c29072c1444acb4f0935c219738a47e4a18 (wWETH)
• 0xb152e957ab1210153ba0ef07c52f5b559f1ad8c9 (sBTC/cbBTC)
• 0x833fd94958e35d55f2921f45bee4ae8ac82766b6 (sVIRTUAL)
• 0xb8da93ded809ac035c72b543ab728a55017239a0 (sAERO)
• 0x95c81f13d78449b3a02b39e41f26b18a5597fe95 (sBRETT)
• 0xe6c109b1f8052f1977c572a952f66677f49962a2 (sWELL)
• 0x078b931f7759ec09d74dd31316c610e09aac94fc (sSKI)

根本原因：Wasabi部署者密钥（wasabideployer.eth 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8，PerpManager OZ AccessManager中唯一的ADMIN_ROLE持有者）的泄露。
调用的函数是grantRole(roleId=0 ADMIN, account=orchestrator, delay=0)，这使得攻击者的协调者成为管理员，并绕过了WasabiVault.strategyDeposit的onlyAdmin修饰符。单一EOA管理员，没有时间锁/多重签名。相同的攻击者/相同的协调者+策略字节码攻击了Wasabi。

授权角色交易

以太坊

Base

Bera

Blast

担心收到的硬件钱包已经被人动过手脚？

Keystone 3 Pro 配备了 PCI 级拆机自毁功能，当检测设备可能遭到物理拆解或篡改时，会触发擦除内部芯片数据，同时设备将不再可用 🧱。

全方位的硬件钱包安全，不仅要防范网络攻击，也要考虑设备的物理攻击风险。🔐

听到最近的漏洞事件我们深感悲痛，也能想象这对所有相关人员来说是多么艰难。

THORChain 像比特币、以太坊和 BNB Chain 一样去中心化且无需许可。

在处理已知被盗资金时，比特币、以太坊和 BNB Chain 应承担什么责任？

@star_okx @GracyBitget

@BnbLabubu 你可能已被利用，损失了110万美元。被盗资金已存入Tornado Cash。盗窃地址：0x18D6c39aE9E537F948AA2212d44D8c23944fc188

🤡攻击者利用伪造的求职面试 '编程任务' 进行社会工程攻击，诱导 DevOps 工程师克隆 GitHub 仓库并运行 terraform init；此操作会从仿冒 HashiCorp 注册表的恶意源拉取 Terraform Provider，进而植入名为 FLATROOF 和 ROOFDECK 的 macOS 后门。 🧐植入程序会窃取浏览器数据、钥匙串（Keychain）机密信息及云服务 API 密钥，随后利用这些凭据在 AWS 和 GCP 环境中进行权限提升。 同样的攻击链曾用于针对 LayerZero 和 KelpDAO 的攻击（涉及约 2.92 亿美元资金损失）

关于 Claude 扫出来的结果，简单来讲：

1. Trilium 本身是干净的。问题不在软件，在「登录他们的同步服务器」。登上去的瞬间，本地的笔记库整个是从对方服务器 workgroup[.]llc 拉下来的

2. Trilium 有个功能：笔记可以是代码，打上 run=backendStartup 标签就会在每次启动时以完整系统权限自动执行。对方的库里有两条这样的笔记，一条叫「Sample」一条叫「LLM」。

3. 「Sample」正文前面塞了 505 个空行，点开看是空的，往下翻到底才是代码：判断系统，macOS 就 curl 下载远程脚本直接管道给 sh 执行，Windows 就静默安装一个 MSI。下载地址用 base64 编码藏着。

4. 运行日志里显示，我登录后 20 秒（23:43:49），启动脚本触发。「LLM」留下了语法错误的报错记录，证明脚本运行器确实触发；同一批里的「Sample」没报错，所以是成功跑了。对方说「Note 没显示出来要修 bug」的那一刻，正好就是这个时间。

5. 同步是双向的，每 15 分钟往对方服务器同步一次数据，直到卸载前那条连接一直是通的。

读完《区块链黑暗森林自救手册》，不知道为什么@evilcos 为什么不用一些篇幅讲一下yubikey这类物理MFA的作用或者科普，我想这个部份能在很大程度上让普通人的抗黑抗钓鱼能力大幅提升，我确实不太理解为什么完全不提

🚨慢雾警报🚨
💸 @MoonwellDeFi 损失：~$8.7M USD
🔍 根本原因：该协议依赖一个薄市场中的MAMO价格。攻击者操纵了该价格，使得抵押品看起来比实际价值高得多。这使得攻击者能够从mUSDC和mcbBTC市场借入资金，并从虚高的抵押品价值中获利。
📌 攻击者：0x719eae70d4a83f35bf82a2740699f5db84be919d
📌 漏洞合约：0xf877acafa28c19b96727966690b2f44d35ad5976
📌 抵押品市场：0x2f90bb22eb3979f5ffad31ea6c3f0792ca66da32
由 Tx 提供：

🚨 $24.15M USDC 从 Arbitrum 桥被抽走——5个密钥被攻破

5个热验证器签名携带了7,142/10,000的投票权（超过2/3法定人数）。合约完全按照指令执行——密钥是薄弱环节。

两阶段攻击，均在链上可追溯：
1⃣ 提议（携带5个签名+完整7验证器集，投票权总和10,000）
2⃣ 200秒争议窗口→执行（释放24.15M USDC，通过CCTP桥接出去）

签名在提议交易中，而非提款交易中👇
Propose:
Execute:

被盗资金：0x627654B2782bfC57580ecD11d40869b350B6ebAC 现在在ETH链上。12,467.43703738 ETH

模型gpt-5.6-sol的安全审查过严了…一个普通的链上攻击事后分析，5.5很顺，其他几个模型也很顺，5.6-sol很快抛出网络安全风险提醒，还不能轻易饶过这种提醒，需要我去做“网络安全可信访问”实名认证…🤦‍♂️

🚨 SlowMist TI 警报 🚨 💸 @VerusCoin 损失：约$7.5M ⚠️ 与之前的0x6990…b321漏洞不同，该漏洞将验证后的证明与执行的转账负载解耦，本次攻击将转账哈希绑定到CCE，但未能验证CCE的经济支撑；两者都利用了有缺陷的跨链导入验证。🔍 根本原因：VerusProof.checkExportAndTransfers 验证了选定的CCE字段——包括针对攻击者提供的序列化转账的hashReserveTransfers以及源/目标ID——但未强制执行CCE的会计语义。它未能解析或验证totalamounts、totalfees、totalburned、CTxOut nValue，或先前的CCE outpoint是否携带足够的价值和资产来覆盖所声称的转账。因此，匹配的转账哈希被错误地视为释放桥资产的授权，而不仅仅是所请求转账的承诺。📌 攻击者EOA: 0xbda71b58cec0b1c20a8f87ccd52fa0679747855c 📌 受害者桥: 0x71518580f36feceffe0721f06ba4703218cd7f63 📌 有漏洞合约: 0x54e03a1682fd0bb065b669f6296f97028dcfd4ce 📌 资金接收者: 0xcfd0a20703cd11e0b9f665e1c3f1ef989c142d54 影响：攻击者提交了一个后续CCE，锚定到一个已接受的Verus状态根，包含对八个攻击者定义的储备转账的哈希承诺。由于桥未验证CCE的经济字段是否支撑这些转账，它从桥托管中执行了八次向攻击者控制的接收者的支付——释放了ETH、DAI、USDC、USDT和另外四种代币，而未经强制跨链资产支撑。由 Tx 提供

验证了几轮，gpt-5.6-luna 在我的安全分析场景下还没有出现 cybersecurity risk 提醒，速度快，效果还挺不错，得益于 gpt-5.5 时期我给我的 Agent 做了扎实的 Harness 工作。Sol 和 Terra 都有敏感的安全风险提醒，使用时需要悠着点。

目前 AI 和 Web3 最佳结合点：黑客利用 AI 挖 Web3 项目漏洞，月入千万。

@pwguler @evilcos @SlowMist_Team nRF9151 通过 U.FL 连接器接了一根隐藏天线，配合板载 eSIM 接入当地移动网络，直接把助记词数据加密传到攻击者服务器。nRF9151 支持安全存储密钥，所以对固件逆向也不一定能锁定攻击者服务器。

BonkDAO 成为恶意治理提案的目标，导致估计价值 2000 万美元的 BONK 代币从 BonkDAO 资金库中被盗。在调查过程中，BonkDAO 识别出在提案前用于购买 BONK 的交易所钱包。BonkDAO 目前正积极与交易所、跨链桥和 Solana 基金会合作，以最佳方式处理该情况。执法部门已接到通知。BonkDAO 继续与相关方合作，追回资金并查明责任方。