Ledger says Southeast Asia reseller linked to $86M draining
Ledger 表示正在调查与东南亚经销商 CryptoBilis 相关的特定问题，该经销商已被要求暂停所有 Ledger 设备的销售和发货。分析师 Specter 和 Tanuki42 追踪被盗地址后估算损失在 7200 万至 8600 万美元以上，涉及 Ethereum、TRON 和 Bitcoin 等多个链上的数百个受害者钱包。
All updates
ProtosAI 评分7272 Finance Magnates CryptoAI 评分2222 Ledger Probes Reseller Supply Chain as Analysts Track $86 Million in Suspected Drains
Ledger 正调查其经销商供应链，此前分析师追踪到约 8600 万美元疑似被盗取资金。该事件涉及硬件钱包经销渠道，具体原因与影响范围尚未公布。
UnchainedAI 评分7474 Ledger Users Reportedly Drained of Over $86 Million Across Several Blockchains
Specter 于 10 月 9 日在 X 上称，通过追踪盗窃地址发现 Ledger 用户钱包被盗损失超过 8600 万美元，资金来自 Ethereum、TRON 和 Bitcoin 等多条主要链上数百个受害者钱包。
OpenZeppelin BlogAI 评分3838 Uniswap Universal Router SwapProxy and Periphery Audit
OpenZeppelin 完成对 Uniswap Universal Router 与 v4 Periphery 的审计，共发现 17 项问题，其中 2 项中危、7 项低危、8 项备注，无严重和高危问题。
OpenZeppelin BlogAI 评分2222 Uniswap Universal Router 2.1 and V4 Periphery Audit
OpenZeppelin 对 Uniswap Universal Router 2.1 和 V4 Periphery 完成差分审计，共发现 2 个问题且均已解决，无 Critical、High 或 Medium 级别漏洞。
OpenZeppelin BlogAI 评分2222 CACEIS EURXT Smart Contract Security Audit
OpenZeppelin 对 CACEIS 的 EURXT 欧元稳定币合约完成安全审计，未发现任何严重、高危或中危问题，仅提出 3 个低危问题。EURXT 是面向 MiCA 框架设计的可升级单发行方欧元稳定币，基于 OpenZeppelin v4.9.4 可升级合约构建，支持 ERC-20、EIP-2612 和 EIP-2771。CACEIS 已确认将在上线版本中修复这 3 个低危问题。
Bitcoin OptechAI 评分2222 Bitcoin Optech Newsletter #425
Eclair v0.13.1 及更早版本存在两个 DoS 漏洞，攻击者仅需完成 BOLT8 握手即可耗尽节点内存或使其在数秒内离线，两者均已在 5 月发布的 Eclair v0.14.0 中修复。Jakub 提议通过不可信存储在不同钱包间同步 BIP329 标签，并以 Nostr 作为参考传输方式，Bitcoin Safe 钱包已采用该方式。
Chainalysis Blog精选AI 评分6666 How AI Helped Chainalysis Investigators Trace the $387 Million North Korea Stole from Bitget
Chainalysis 称其调查人员利用内部 AI 构建定制自动化工具，追踪 9 月 24 日从 Bitget 被盗的 3.87 亿美元资金。攻击发生三小时内，资金经 23 笔转账流向 Ethereum（49.7%）、XRP（40.8%）、Zcash（7.6%）和 Tron（1.8%）四条链，随后通过跨链流动性协议、即时兑换和洗钱服务转移。
Why it matters：Chainalysis reviews the cross-chain tracing process as the investigating party, showing how stolen funds are reconstructed across multiple chains.
Cosmos Hub ForumAI 评分6262 [DISCUSSION] Move the 1,227,121 ATOM recovered after the Neutron exploit to the Neutron recovery multisig
Cosmos Hub 论坛发起讨论，拟提交文本提案授权 Hub 恢复多签的签名者将 1,227,121.37 ATOM 通过 IBC 转至 Neutron 恢复多签 neutron1yr29fd7uzdjp2jsq8hrta8mvyd6ex7vumn0shy。
OpenZeppelin BlogAI 评分4848 Uniswap Token Launcher Audit
OpenZeppelin 对 Uniswap/token-launcher 仓库完成安全审计，共发现 28 个问题（25 个已解决），其中 1 个严重、2 个高危、7 个中危。
OpenZeppelin BlogAI 评分5252 ONCHAINID Audit
OpenZeppelin 对 T-REX-Network/ONCHAINID 仓库 commit d2096509 完成审计，共发现 39 项问题，其中严重 1 项、高危 2 项、中危 9 项、低危 20 项，另有 7 条补充说明，修复已在 commit 4fda205 合并。
Cosmos Hub Forum精选AI 评分8585 Neutron Governance Attack: Cosmos Hub Response and Recovery Update
2026 年 9 月 22 日 Neutron 遭治理攻击，攻击者将约 1.7M ATOM 跨链至 Cosmos Hub，Hub 验证者在高度 33,086,740 停链约 24.5 小时。
Why it matters：Cosmos Labs reviews the Hub halt and recovery as maintainer, helping readers understand validator coordination and the boundaries of fund handling.
Blockstream精选AI 评分8787 Liquid Network Security Incident Assessment
Blockstream 发布 Liquid Network 安全事件评估报告，2026 年 9 月 6 日攻击者利用 Elements rangeproof 验证缓存漏洞（Bug A 与 Bug B）。
Why it matters：Blockstream recounts as a party the full chain of the 4000 LBTC凭空 minting on Liquid, including the root cause and recovery timeline.
Golem BlogAI 评分6262 Golem Network Security Review Update
Golem Network 在主动安全审查中评估了 76 份报告，确认并修复 36 个问题，包括 1 个 Critical、6 个 High、15 个 Medium 和 18 个 Low，受影响软件版本和存在漏洞的二进制文件已停止分发。
Trail of Bits BlogAI 评分6262 Auditing in the age of (good enough) AI
Trail of Bits 在审计 Miden zkVM 前，用六个月让 AI 代理从零构建 LSP 服务器、反编译器、静态分析引擎和 Lean 模型，这些工具在正式审计中发现 400 多处类型校验问题和 1 个高危漏洞。
Chainalysis Blog精选AI 评分6666 DPRK and Iran are Leading a 5.2x Surge YoY in Blockchain-Assisted Cyberattacks
Chainalysis 研究显示，威胁行为者正把恶意软件指令写入公链，形成难以查封的“区块链死信箱”（BDD），朝鲜与伊朗国家关联行为者正主导这一趋势。链上恶意写入从中国高容量开源 AI 模型出现前的每天 2.06 次升至 11.1 次，增幅 440%；过去 12 个月 BDD 攻击增长 420%。
Why it matters：Chainalysis uses on-chain data to break down how North Korea and Iran write malicious instructions into public blockchains, helping readers understand the source of persistence behind such attacks.
Solidity BlogAI 评分4848 Spill Slot Collision Across Mutual Recursion Bug
Solidity 在 0.8.37 中修复了 IR pipeline 栈转内存搬运器（stack limit evader）的 spill slot 冲突 bug：当调用图存在互递归时，两个不同函数的变量可能被分配到同一 spill slot 并互相覆盖。
Solidity BlogAI 评分3434 Memory Byte Array Element Delete Clears Whole Word Bug
Solidity 代码生成器存在 bug：对内存中 bytes 数组元素执行 delete 时会写入 32 个零字节，而非只清除该元素，还会连带清除其后最多 31 字节。该 bug 仅影响默认 evmasm 流水线，0.8.36 及之前所有版本均受影响，已在 Solidity 0.8.37 修复。扫描约 87 万份已验证编译结果后，未发现实际受影响的已部署合约。
Solidity BlogAI 评分2222 Misordered Named Parameters in require with Custom Errors Bug
Solidity 0.8.37 修复了 IR 代码生成器中 require 搭配自定义错误时命名参数乱序的 Bug，该问题由 Cantina Security 的 Carl 于 2026 年 2 月 4 日通过以太坊基金会漏洞赏金计划报告。
BlockstreamAI 评分3838 Phishing Alert: Do Not Act on Unsolicited Liquid or Blockstream Messages
Liquid Network 近期发生安全事件后，冒充 Liquid、Blockstream 及客服人员的钓鱼者正通过邮件、仿冒网站和私信诱导用户紧急操作。Blockstream 明确表示，该事件不需要用户转移资金、输入助记词、更新“投资组合”、领取报销、重新锚定资产或安装邮件中的软件，其官方也绝不会索要助记词或 PIN。
BlockstreamAI 评分6262 Core Lightning 26.06.7 Is Out. Upgrade When You Can.
Blockstream 发布 Core Lightning 26.06.7，这是一个修复过去三周内收到的已确认漏洞的补丁版本，签名二进制已可下载。源码将在 14 天后即 2026 年 9 月 11 日公开，以便运营者先完成升级；无法立即升级的用户可用 --offline 标志重启节点以切断攻击面。26.06.7 之前的版本已不再受支持，26.09 版本仍按计划于 9 月下旬发布。
BlockstreamAI 评分3636 Reflections on the Coldcard Fallout from the Jade Team
Jade 团队发布 Jade 固件 1.0.41，包含新功能、修复与安全更新，并重申 Jade 不受 Coldcard 随机数生成漏洞影响，因其随机数来自设备内部硬件芯片噪声等多源熵，经 SHA512 混合。该版本升级运行时环境、加强栈保护、更新依赖并审计敏感内存清理，后续 1.0.42 将处理其余较轻问题。团队称已收到数十份 AI 自动扫描及多份人工审查报告，并建议用户保持软件及时更新。
Trail of Bits Blog精选AI 评分6666 State divergence enables unauthorized access
Trail of Bits 在 Provenance Blockchain（基于 Cosmos SDK 的 PoS 公链）发现一个漏洞，任何用户无需持有代币即可为自己授予 marker 账户的管理员权限，影响主网上 82 个承载真实金融资产的 marker，涉及版本 1.28.0 之前。
Why it matters：The article fully discloses the cause of the authorization check reading a stale supply field, the exploit paths of two transactions, and the fix differences, serving as a case reference for on-chain permission validation.
Solidity BlogAI 评分3838 Inheritance Order Reversal On Storage End Warning Bug
Solidity 团队发现编译器分析阶段存在继承顺序反转 Bug，触发条件为合约通过 layout at 声明自定义存储布局且布局落入存储末尾最后 2**64 个 slot 并触发 Warning 3495。
Solidity BlogAI 评分4848 Unsound Spill In Mutual Recursion Bug
Solidity 团队在 Yul 优化器调用图分析中发现一个互递归函数被误判为非递归的漏洞，导致其变量被错误地移入固定内存偏移，影响 0.7.2 至 0.8.35 版本，已在 0.8.36 修复。该漏洞仅影响 IR 管线，需启用 --via-ir，Sourcify 数据库中约 207,000 个合约里 272 个存在误判函数，但暂无已知受影响合约。
DL NewsAI 评分6969 Drift to issue ‘recovery tokens’ in wake of $295m hack
Solana 衍生品交易所 Drift 在 4 月 1 日遭黑客攻击损失 2.95 亿美元后，开发者提出 recovery token 赔付方案，用户将按损失比例获得代表 recovery pool 索取权的代币，该池由协议收入和 Tether 等机构承诺的 1.47 亿美元逐步填充。
DL NewsAI 评分7171 Aave secures emergency hearing to void ‘catastrophic’ restraining order
Aave LLC 就 Arbitrum DAO 冻结的约 7100 万美元被盗加密资产提交紧急申请，要求法院撤销限制令，称该冻结将给 Aave 协议、用户及整个 DeFi 系统带来灾难性损害。
Immunefi BlogAI 评分6060 The Ecosystem Vulnerability Scoreboard: 6 Years of DeFi Loss Data
Immunefi 发布研究报告，追踪 2020 至 2025 年 DeFi 协议因漏洞利用造成的损失，并按各生态 TVL 归一化计算风险比率。报告称行业 DeFi 协议损失从 2022 年峰值 26.2 亿美元降至 2024 年 5.34 亿美元，2025 年回升至 6.8 亿美元，但单起事件损失中位数从 2022 年 600 万美元降至 2025 年 150 万美元。
Immunefi BlogAI 评分4444 Base <> Immunefi Audit Competition
Base 与 Immunefi 于 4 月 21 日启动针对 Base Azul 网络升级的审计竞赛，奖金池最高 25 万美元，持续至 2026 年 5 月 4 日。竞赛面向所有经验水平的安全研究员开放，在主网部署前对核心基础设施代码进行独立审查，发现最具影响力漏洞的研究者将获得最大份额奖励。Immunefi 表示其保护超 1900 亿美元用户资金。
Immunefi BlogAI 评分6262 Nearly Every Long-Running Bug Bounty Program on Immunefi Has Found a Critical Bug
Immunefi 发布基于 2021 年 1 月至 2026 年 2 月、593 个漏洞赏金项目确认并已支付报告的研究，运行五年及以上的项目中 93.9% 至少披露过一个严重级别漏洞，运行 1 年以上为 61.4%，2 年以上 73.9%，3 年以上 87.2%，4 年以上 92.9%。