🚨 安全警報 | 多名 Ledger 用戶報告懷疑錢包遭盜，損失超過 8600 萬美元 💸 10 月 9 日，東南亞地區多名透過 Ledger 授權經銷商 CryptoBilis 購買設備的 Ledger 硬體錢包用戶，報告了未經授權的資產轉帳事件。 鏈上公開調查估計，涉及比特幣、以太坊和 TRON 等多個網路的總盜竊金額可能超過 8600 萬美元。 Ledger 已確認正在進行調查，並要求 CryptoBilis 暫停銷售及發貨所有 Ledger 設備。目前尚未有官方確認受影響用戶的確切數量及總損失金額。 🔍 關鍵安全發現 鏈上分析發現，多個區塊鏈上的資產轉移存在協調模式。多個 TRON 錢包幾乎同時提交了代幣批准，隨後迅速提領資金。 此模式表明，攻擊者可能已取得多個錢包的簽署控制權。 初始入侵方式仍不明確。潛在攻擊途徑包括分發或配送過程中設備被篡改，以及恢復短語遭竊取。然而，目前尚無確鑿證據顯示 Ledger 的固件或硬體安全機制存在可被利用的漏洞。 ⚠️ 安全建議 Ledger 建議過去 90 天內透過 CryptoBilis 購買設備的用戶採取以下防範措施： 未啟用設備：請勿初始化或使用，直至另行通知。 已啟用設備：建議在可信裝置上生成新的恢復短語，並盡快將資產轉移至新錢包。 恢復短語安全：切勿在新設備上恢復原始恢復短語，亦勿與任何人分享。 ✍️ BitsLab 安全提醒： 硬體錢包的安全性取決於整個生命週期，包括私鑰生成、設備分發至日常使用。 若恢復短語可能已遭洩露，更換硬體錢包或重新安裝錢包應用程式並不能消除風險。資產應轉移至由全新生成恢復短語保護的钱包。 調查仍在進行中，確切的攻擊途徑與總損失金額尚未確認。 #SecurityAlert #Web3Security #Ledger
💸 從 Liquid Network 側流出的約 3.2 億美元異常 Peg-out，可能根本不是密鑰洩露事件。 於 9 月 6 日，近 4,000 BTC 從 Liquid 聯邦錢包中提領。但根據 Liquid 和 SideSwap 的說法，Peg-out 授權密鑰（PAK）並未被入侵，也沒有其他簽名密鑰遭竊。 🔋 這起事件更引人注目的是，該提領仍透過正常的 Peg-out 流程進行，最終至少有 11/15 名職員簽署了比特幣交易。 🛡️ 這表明問題可能並非「攻擊者竊取密鑰並簽署提領」，而是某種本不應被視為有效的狀態被接受為有效，隨後下游組件依照正常規則完成授權與簽署。 🖲️ SideSwap 目前表示，問題似乎源自 Elements 的一個漏洞。這些自稱的白帽人士已透過 OP_RETURN 訊息與 Blockstream 溝通，並表示在所有節點部署修復後，將歸還「大部分」的 BTC。 關鍵重點：如果每位簽署者都在驗證相同的有缺陷狀態，即使密鑰本身完全安全，仍可能產生錯誤結果。 #Bitcoin #LiquidNetwork #Web3Security
🚨 安全警報：AI 代理後端 RCE 🔍 根本原因：攻擊者控制的外部內容進入零售 AI 代理工作流程，形成從間接提示注入 → 提示/工具洩露 → 後端 RCE 的攻擊鏈。 📌 目標：美國前三名零售商的 AI 購物助手 📌 攻擊面：公開的行動介面 📌 研究人員：Netanel Rubin 與 Dan Avraham，Rein Security 📌 披露：Black Hat USA 2026 影響：無需特權存取權限——此漏洞可透過一般消費者使用的相同介面觸發。 AI 代理的安全防護已超越模型操縱層面，提示注入現可成為通往真實後端入侵的途徑。
Balancer V2 部署了一個合約來儲存所有池中的所有代幣。 看起來像單一故障點。 但這正是跨池套利無需移動任何代幣，以及閃電貸款能訪問整個協議流動性的原因。 關於 Vault 的推文 🧵👇 https://t.co/Vj4Dn7mmbQ
🔬 BitsLab 研究最新成果 Balancer V2 部署了一個合約來儲存所有池中的所有代幣。 看起來像單一故障點，但這正是原因： → 跨池套利無需移動任何代幣 → 急貸可訪問整個協議的流動性 → 一個雙代幣交換僅需一次 SSTORE 操作 我們花費數週時間逐行剖析 Vault 合約。我們三部分深度解析 Balancer V2 的第一部分已上線——涵蓋所有 Gas 技巧、所有安全檢查，以及無人談論的權衡（2023 年 8 月的 Boosted Pool 事件並非架構上的意外）。 若您正在開發 DeFi 協議、審計協議，或投資協議——這篇內容值 15 分鐘閱讀。 📖 閱讀第一部分 ↓ https://t.co/4ZHF2BoLUO 第二部分（池子數學）與第三部分（真實漏洞事後分析）即將推出。