📷 受损的LP代币 📷

由这些金库铸造的所有Wasabi/Spicy LP份额代币应被视为受损——支持它们的基础资产已被耗尽或处于风险之中，而Wasabi: Deployer密钥（0x5c629f8c…fb0c8）仍然有效。持有这些代币的最终用户显示的是账面价值，但赎回价值为0（或迅速接近0）。我们强烈建议客户（a）在其用户界面中将这些代币标记为受损，（b）提示对Wasabi金库合约有活跃授权的用户立即撤销授权。

以太坊受损金库合约：
• 0x630ed8220f9cbc98358a2e2ecb0727d7b9d61397 (wWETH)
• 0x7d7bb40f523266b63319bc3e3f6f351b9e389e8f (sUSDC)
• 0xb533c682553f518a3961eeec2bfdc645c60289f0 (sREKT)
• 0xb86510bfdcd229a66f0617162ef1c45db1ceaba8 (wPEPE)
• 0x8d48b8d948726d4636aa15a9d6124422f461e153 (wMog)
• 0x127d3615a8865812f76ff8f214f9955c3a74820a (wBITCOIN)
• 0x10432bc30396e70f792b538d7e810c83dd7bfe71 (sZYN)
• 0xd2502e8e253a48d229df0e642a404c5bbff1c1b4
• 0x8e0edfd6d15f858adbb41677b82ab64797d5afc0 (Long Pool)

Base受损金库合约：
• 0x1c4a802fd6b591bb71daa01d8335e43719048b24 (sUSDC)
• 0x197d5c29072c1444acb4f0935c219738a47e4a18 (wWETH)
• 0xb152e957ab1210153ba0ef07c52f5b559f1ad8c9 (sBTC/cbBTC)
• 0x833fd94958e35d55f2921f45bee4ae8ac82766b6 (sVIRTUAL)
• 0xb8da93ded809ac035c72b543ab728a55017239a0 (sAERO)
• 0x95c81f13d78449b3a02b39e41f26b18a5597fe95 (sBRETT)
• 0xe6c109b1f8052f1977c572a952f66677f49962a2 (sWELL)
• 0x078b931f7759ec09d74dd31316c610e09aac94fc (sSKI)

根本原因：Wasabi部署者密钥（wasabideployer.eth 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8，PerpManager OZ AccessManager中唯一的ADMIN_ROLE持有者）的泄露。
调用的函数是grantRole(roleId=0 ADMIN, account=orchestrator, delay=0)，这使得攻击者的协调者成为管理员，并绕过了WasabiVault.strategyDeposit的onlyAdmin修饰符。单一EOA管理员，没有时间锁/多重签名。相同的攻击者/相同的协调者+策略字节码攻击了Wasabi。

授权角色交易

以太坊

Base

Bera

Blast

@BnbLabubu 你可能已被利用，损失了110万美元。被盗资金已存入Tornado Cash。盗窃地址：0x18D6c39aE9E537F948AA2212d44D8c23944fc188

🚨慢雾警报🚨
💸 @MoonwellDeFi 损失：~$8.7M USD
🔍 根本原因：该协议依赖一个薄市场中的MAMO价格。攻击者操纵了该价格，使得抵押品看起来比实际价值高得多。这使得攻击者能够从mUSDC和mcbBTC市场借入资金，并从虚高的抵押品价值中获利。
📌 攻击者：0x719eae70d4a83f35bf82a2740699f5db84be919d
📌 漏洞合约：0xf877acafa28c19b96727966690b2f44d35ad5976
📌 抵押品市场：0x2f90bb22eb3979f5ffad31ea6c3f0792ca66da32
由 Tx 提供：

🚨 $24.15M USDC 从 Arbitrum 桥被抽走——5个密钥被攻破

5个热验证器签名携带了7,142/10,000的投票权（超过2/3法定人数）。合约完全按照指令执行——密钥是薄弱环节。

两阶段攻击，均在链上可追溯：
1⃣ 提议（携带5个签名+完整7验证器集，投票权总和10,000）
2⃣ 200秒争议窗口→执行（释放24.15M USDC，通过CCTP桥接出去）

签名在提议交易中，而非提款交易中👇
Propose:
Execute:

被盗资金：0x627654B2782bfC57580ecD11d40869b350B6ebAC 现在在ETH链上。12,467.43703738 ETH

模型gpt-5.6-sol的安全审查过严了…一个普通的链上攻击事后分析，5.5很顺，其他几个模型也很顺，5.6-sol很快抛出网络安全风险提醒，还不能轻易饶过这种提醒，需要我去做“网络安全可信访问”实名认证…🤦‍♂️

🚨 SlowMist TI 警报 🚨 💸 @VerusCoin 损失：约$7.5M ⚠️ 与之前的0x6990…b321漏洞不同，该漏洞将验证后的证明与执行的转账负载解耦，本次攻击将转账哈希绑定到CCE，但未能验证CCE的经济支撑；两者都利用了有缺陷的跨链导入验证。🔍 根本原因：VerusProof.checkExportAndTransfers 验证了选定的CCE字段——包括针对攻击者提供的序列化转账的hashReserveTransfers以及源/目标ID——但未强制执行CCE的会计语义。它未能解析或验证totalamounts、totalfees、totalburned、CTxOut nValue，或先前的CCE outpoint是否携带足够的价值和资产来覆盖所声称的转账。因此，匹配的转账哈希被错误地视为释放桥资产的授权，而不仅仅是所请求转账的承诺。📌 攻击者EOA: 0xbda71b58cec0b1c20a8f87ccd52fa0679747855c 📌 受害者桥: 0x71518580f36feceffe0721f06ba4703218cd7f63 📌 有漏洞合约: 0x54e03a1682fd0bb065b669f6296f97028dcfd4ce 📌 资金接收者: 0xcfd0a20703cd11e0b9f665e1c3f1ef989c142d54 影响：攻击者提交了一个后续CCE，锚定到一个已接受的Verus状态根，包含对八个攻击者定义的储备转账的哈希承诺。由于桥未验证CCE的经济字段是否支撑这些转账，它从桥托管中执行了八次向攻击者控制的接收者的支付——释放了ETH、DAI、USDC、USDT和另外四种代币，而未经强制跨链资产支撑。由 Tx 提供

目前 AI 和 Web3 最佳结合点：黑客利用 AI 挖 Web3 项目漏洞，月入千万。

BonkDAO 成为恶意治理提案的目标，导致估计价值 2000 万美元的 BONK 代币从 BonkDAO 资金库中被盗。在调查过程中，BonkDAO 识别出在提案前用于购买 BONK 的交易所钱包。BonkDAO 目前正积极与交易所、跨链桥和 Solana 基金会合作，以最佳方式处理该情况。执法部门已接到通知。BonkDAO 继续与相关方合作，追回资金并查明责任方。

我们的视角，最近 DeFi 被黑事件在明显增多，公开的及未公开的，黑帽在卷 AI，白帽也在卷 AI。还是之前的建议：趋于躺平的老去中心化协议们，AI 找漏洞方面，赶在黑帽之前，你们自己得先卷起来。另外，私钥记得换，存在很久的私钥就假设已经泄露。

我们注意到今天凌晨4点（GMT+8）左右，$ASTX代币合约发生了一起漏洞利用事件。目前团队正在调查根本原因。一旦查明所有情况，我们将发布完整的官方事后分析报告。感谢大家在此不幸事件中给予的支持。

gm @EchoProtocol_ 可能在 @monad 上被黑客攻击
有人凭空铸造了1k ebtc，在 @Curvance 上用它最大程度借入wbtc，桥接后通过tornado转移

更新：我们发现一名攻击者能够访问14个bankr钱包。

在我们处理细节时，已暂时锁定一切。我们将全额赔偿所有损失的资金。

有进一步消息会及时更新。

MAP Protocol (@MapProtocol)的代币在主网上被无限增发利用。

主网增发：

BSC增发：

攻击者目前获利52.2 ETH ($110k)：

随便吧。

BIP-110 夭折倒计时…BIP-110 如果真的成为主网共识，比特币就会成为带审查的比特币，也就不再是社区最强共识里的比特币。所以，拭目以待 BIP-110 夭折…

倒计时11小时！最后的倒计时：