BlockThreat - 2025年第31周周报

多链 | SuperRare | Tornado Cash | Samourai Wallet | Monero

焦点仍然集中在 Samourai Wallet 和 Tornado Cash 的审判上，Samourai 的被告认罪，而 Roman Storm 继续为编写代码的自由而战。一种新的趋势正在出现，像 Base 和 Arbitrum 这样的链运营商开始投资于生态系统安全，为在其网络上构建的项目补贴代码审计。本周只有几起妥协事件，都源于粗心的错误，导致攻击者获得了略高于 200 万美元的收益。让我们仔细看看。

用户在重大漏洞发生后很长时间内仍然会成为攻击的受害者，因为权限撤销经常被忽略。2022 年的多链路由器（前身为 AnySwap）漏洞 允许攻击者绕过预期的权限检查，并从仍然存在未撤销授权的钱包中提取资金，即使在路由器不再活跃的链上也是如此。在最近的一个案例中，一个著名的 MEV 机器人抢先进行了盗窃，并无意中挽救了 401 ETH。有人真的非常幸运！所以请你务必，再三恳求，在 revoke.cash 上撤销你的授权。

你可能会认为在经历了无数次智能合约灾难之后，像权限检查这样的基本原理应该是万无一失的，但 SuperRare 的 Staking 合约证明并非如此。updateMerkleRoot 功能中的一个简单错误允许任何人劫持关键的 Staking 逻辑并耗尽价值 73 万美元的 RARE 代币：

function updateMerkleRoot(bytes32 newRoot) external override {
    if (
        (msg.sender != owner() &&
            msg.sender !=
            address(0xc2F394a45e994bc81EfF678bDE9172e10f7c8ddc))
    ) revert NotAuthorized();

攻击者花了大约两周的时间才发现并利用了这个完全可以预防和粗心的漏洞。

让我们深入了解新闻！

活动

• Defcon - 加密货币村。8 月 8-10 日。以关于钱包、交易所、DeFi 安全的精彩演讲为特色。

新闻

• Arkham 揭露了2020 年中国矿池 LuBian 发生了一起 35 亿美元的 BTC 黑客攻击事件。与传统的热钱包或基础设施 CeFi 妥协不同，这次事件是由于弱私钥生成算法引起的。迟做总比不做好，可以发现并从中学习历史上最大（以美元计算）的加密货币黑客攻击事件。

• 门罗币面临来自竞争对手区块链 Qubic 的 51% 攻击威胁。

• Samourai Wallet 加密货币混合服务创始人认罪。根据 DoJ 法院文件，这两名开发者积极在暗网论坛和私人聊天中推广该钱包，以隐瞒犯罪收益。

• Coinbase 报告称，由于现货交易量和收入在第二季度下降，数据盗窃造成了 3.07 亿美元的损失。

• 为 Base 构建者推出免费安全审查，由 Base 工程团队提供。作为对已经免费的Hexagate 监控服务的补充，可为链上项目提供服务。

• Arbitrum 基金会计划分配 1400 万美元的 ARB，以补贴网络项目的安全审计。

• SlowMist 月度安全报告：7 月份估计损失为 1.47 亿美元。

• Hacken 2025 半年度 Web3 安全报告。

• 2025 年加密货币犯罪年中更新：Chainalysis 报告称，被盗资金激增，DPRK 创下新纪录。

• 违规报告剖析 - 2025，由 Lab1 提供。一份有趣的研究报告，研究不良行为者的做法，以关联泄露的凭据、KYC、私钥和其他数据来执行攻击。

• 2025 GenAI 代码安全报告 - 评估使用 LLM 进行编码的安全性，由 Veracode 提供。只有 55% 的生成代码是安全的。

• 亚马逊 AI 编码代理被黑客入侵以注入数据擦除命令。

犯罪

• CoinDCX 员工因 4400 万美元的交易所黑客攻击被捕。一个有趣的案例研究，其中一名员工可能因疏忽而被捕并被起诉，即使他们无意作恶。

• 朝鲜派我出国当一名秘密 IT 工作者。我的工资资助了该政权。来自一名叛逃者的罕见内幕。

• 朝鲜黑客利用工作诱饵、云帐户访问和恶意软件窃取了数百万美元的加密货币。

• Cameron Redman，又名 Canadian，因 2022 年 6 月的大规模 X 帐户泄露事件而被定罪。ZachXBT 参与了导致逮捕的调查。

• 中本聪雕像从卢加诺的 Parco Ciani 被盗。

• 南佛罗里达州的加密货币洗钱者寻求涉及截肢的可怕绑架。

• FBI 从新的 Chaos 勒索软件行动中查获了 240 万美元的比特币。

• 虚拟加密资产盗窃行为仍然不受惩罚。德国过时的法律框架导致一名窃贼逃脱了 290 万美元的罪行。

• 塞浦路斯警方调查加密货币盗窃案：电子邮件被黑后，超过 448,000 美元消失。

政策

• 天才还是噱头，由 Rekt 提供。对 GENIUS 法案中不受欢迎的中心化影响的探索。

钓鱼

• ScamSniffer 2025 年 7 月钓鱼报告。损失增加了 153%，达到 709 万美元，受害者增加了 56%（9,143 名受害者）。

• 诈骗者使用的一种新模式，使受损的钱包完全崩溃，因此你无法使用 EIP-7702 发送任何资金进行救援，由 pcaversaccio 提供。

• 如何保护自己免受 Google 表单诈骗，由卡巴斯基提供。

• 这个假的比特币 ATM 计划浪费了诈骗者 4,000 小时的时间。Kitboga 再次出击。

• Telegram 桌面版中可能存在使用一键 RCE 的定向攻击。

恶意软件

• 密封的欺骗链：攻击者利用 Node.JS 发起 JSCeal，由 CheckPoint 提供。从 Facebook 广告到窃取凭据和耗尽钱包的虚假加密货币应用程序。

媒体

• 针对 Tornado Cash 开发者 Roman Storm 的审判：你需要知道的一切，由 The Rage 主持，包括 Taylor Monahan、Molly White、Tim Clancy 和 Amanda Tuminelli。

研究

• Lido 安全披露：CSVerifier 对历史区块 GIndex 的验证较弱。用户资金仍然安全。

• 有人忘记撤销 Multichain Router V4 的授权，导致 MEV 机器人立即黑客攻击了 401 ETH，由 Chaofan Shou 提供。

• 比特币闪电网络漏洞允许通过 LND 节点远程窃取比特币。

• 使用 Halmos 进行现代不变性测试，由 karmacoma 和 Daejun Park (a16z crypto) 提供。

• zkFuzz：用于有效模糊测试零知识电路的基础和框架。

• SEAL 的安全框架 - 钱包安全 部分，由 Piña (Coinspect) 提供。

• Web3 中加密技术的现状，由 Safe Research 提供。

• 使用密钥扫描确保密钥安全，由 Github 提供。

• 代理红队：AI 越狱对决，由 Ayla Croft (Gray Swan) 提供。你可以在这里参与。

• “Commit-Reveal²：随机显示顺序减轻了提交显示中最后显示者的攻击”协议在分布式共识应用程序中的实现。

• 我的智能合约审计思维模型 - 而不是清单！，由 The Caliber 提供。

• 乐观 Rollups。

• 从 Solana 到 Stylus：推出 StylusPort，由 Oak Security 提供。

• Solana 上的压缩 NFT，由 0xmahdirostami 提供。

• 面向 EVM 和 SVM 开发人员的 Sui Move：第 1 部分 - 思维模型，由 Ahmad Khan (Adevar Labs) 提供。

• AI 代理智能合约漏洞利用生成。

• 高价值智能合约漏洞的程序分析：技术和见解。

• “支持区块链的零信任框架，用于保护金融科技生态系统免受内部威胁和网络攻击”。

• SoK：通过对漏洞的系统文献综述，智能合约现实世界攻击中 10 亿美元损失的根本原因。

• 对“区块链三难困境：对去中心化、安全性和可扩展性之间固有权衡的正式证明”的正式反驳。

• 区块链系统中的 DoS 攻击和防御技术：分层分析。

• SAEL：利用具有自适应混合专家的大型语言模型进行智能合约漏洞检测。

• ETrace：通过基于 LLM 的跟踪分析，在智能合约中进行事件驱动的漏洞检测。

工具

• ape-safe - 用于 Ape Framework 的 Safe 多重签名钱包（以前称为 Gnosis Safe）的帐户插件。

• Anchor - 由 Solana Foundation 提供的框架，为编写 Solana 程序提供了一些方便的开发者工具。

• 推出 Solazy – 一款 Solana 静态分析器和逆向工程工具。

• hashcat v7.0.0 发布，包括对 MetaMask 和各种钱包破解的支持。

• 使用密钥扫描保证密钥安全 - GitHub 文档。

• • *

喜欢阅读 BlockThreat 吗？考虑赞助下一期 或成为付费订阅者，以解锁高级部分，其中包含有关黑客攻击、漏洞、指标、特别报告和可搜索的新闻通讯存档的详细信息。

• 原文链接： newsletter.blockthreat.i...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～