Across Counterfactual & Periphery Updates Diff Audit
OpenZeppelin 对 across-protocol/contracts-v5 与 across-protocol/contracts 两个仓库的 7 个 PR 完成差异审计，共发现 12 个问题，其中 10 个已解决，无严重和高危问题，含 1 个中危（已解决）、4 个低危（已解决）及 7 条备注（5 条已解决）。
#基础设施
OpenZeppelin BlogAI 评分2222
PANewsAI 评分6262 Asia Market Daily: Ledger halts sales across Southeast Asia and Hong Kong over tampering probe (2026/10/14)
Ledger 已要求印尼、新加坡、泰国、菲律宾、越南、马来西亚和香港的分销商暂停销售并下架设备，配合正在进行的供应链篡改调查。公司确认地区分销商 CryptoBilis 售出的一台设备被植入恶意组件，但称没有证据显示其自有基础设施或直销渠道被入侵。Ledger Donjon 安全团队将分析回收设备，以确定篡改发生在分销链的哪个环节。
DecryptAI 评分7171 Ledger Asks Resellers in Seven Asian Markets to Pull Devices After Suspected $86M Drain
Ledger 于周二发推称，已要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚及香港的经销商和分销商暂停销售并下架其硬件钱包，以调查被植入隐藏模块的设备。Ledger 表示目前确认的事件仍集中在东南亚，尚未核实与在其他地区购买的设备相关的盗取；此前其称所有已确认损失均涉及该地区经销商 CryptoBilis 售出的设备。
CointelegraphAI 评分6262 Can crypto users trust the supply chain behind hardware wallets?
Ledger 确认，通过印尼、马来西亚和菲律宾授权经销商 CryptoBilis 售出的一台设备被植入未经授权的硬件，恶意植入物可截取用户助记词并通过蜂窝网络传出。
Crypto BriefingAI 评分4040 Centrifuge formally verifies 1,589 properties of its core protocol
Centrifuge 借助 Certora Prover 对其核心组件完成 1,589 项属性的形式化验证，并分析了 1,445 个变异体以检验验证规则的有效性。验证对象覆盖其跨多条链运行的核心逻辑，涉及资金分配、投资组合管理与投资指令执行，对应其 2026 年 V3.1、V3.2、V3.3 系列所构建的功能。该工作属于安全里程碑，未伴随任何代币相关公告。
UnchainedAI 评分7171 Ledger Wallets Come Off Shelves at MediaMarkt Saturn and Resellers Across Southeast Asia
Ledger 硬件钱包已从欧洲电子零售商 MediaMarkt Saturn 下架，Ledger 同时要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港的经销商暂停销售其设备。
PANewsAI 评分7171 新火研究院：硬件钱包安全神话破灭，机构资金将加速转向持牌合规托管
新火研究院指出，2026 年 10 月初 Ledger 证实其东南亚授权经销商 CryptoBilis 售出的部分设备被植入恶意硬件模块，该模块可在开机初始化阶段从屏幕显示链路读取 24 位助记词并通过 LTE 实时外传，涉及 Nano X 与 Flex 等型号。
PANewsAI 评分5454 比特币闪电网络开发套件LDK修复资金被盗风险，建议生产环境用户升级
比特币闪电网络开发套件 LDK 已修复多项安全漏洞，其中通道重连漏洞可能被恶意对手方利用，导致资金被盗。LDK 官方于 10 月 3 日发布 0.1.13、0.2.7 及 0.3-rc3 版本，建议在生产环境中与不可信通道对手方交互的运营者升级。目前相关披露未确认这些漏洞造成实际损失。
BeInCryptoAI 评分6262 Hardware Wallet Scare: Can Your Kitchen Scale Spot a Tampered Device?
与约 9300 万美元被盗相关的硬件钱包篡改事件曝光后，用户开始用厨房秤称重来排查设备。Ledger 确认一台经东南亚经销商 CryptoBilis 售出的设备内藏植入芯片，但称自身系统未被攻破。
ProtosAI 评分7171 Ledger spyware scare spreads beyond Southeast Asia
Ledger 硬件钱包被植入物理间谍软件的事件已从东南亚扩散到亚洲、欧洲和南美多地。上周从马来西亚经销商 CryptoBilis 购买设备的用户被盗超 8600 万美元，前 Mt. Gox CEO Mark Karpelès 发现部分设备中的间谍软件可读取屏幕输出并记录助记词，且能躲过 Ledger 的 Genuine Check 安全协议。
ChainCatcherAI 评分6060 被操纵、被撤资，Papertrade 的千倍杠杆实验开局不顺
基于 HyperEVM 的合成永续协议 Papertrade 于 10 月 10 日正式上线，主打最高 1000 倍杠杆，用户亏损即可获得代币 PAPER，预存款阶段吸引约 1.38 亿美元资金。
PANewsAI 评分5757 Ontology主网恢复出块并回归正常运行，安全事件调查结束
Ontology 宣布针对生态项目安全事件的调查已结束，主网已恢复出块并回归正常运行。Ontology 表示网络核心基础设施仍然安全，网络本身未发生资金损失。此前暂停出块是 Ontology 与共识节点协同采取的预防性措施，旨在配合调查并降低潜在风险。
PANews精选AI 评分8282 Ledger安全疑云持续发酵，多家厂商紧急回应，硬件钱包信任警报拉响
Ledger 供应链攻击事件持续发酵，已确认的资金被盗案例均涉及经销商 CryptoBilis 销售的设备，Ledger 称自身系统及直销渠道未受影响，CryptoBilis 已停止销售所有硬件钱包。
Why it matters：It maps how the Ledger supply-chain attack spread and how hardware wallet makers responded, showing why channel control became the trust issue.
The Daily HodlAI 评分7171 Ledger Updates Investigation After $91,000,000 Reportedly Drained From Users
Ledger 就 10 月 9 日发生的盗取事件更新调查，称约 9100 万美元资金被盗，所有已确认案例均涉及通过东南亚经销商 CryptoBilis 售出的设备，其自身系统与直销渠道未受影响。
吴说区块链AI 评分7474 Liquid Network 恢复运行但赎回暂停，L-BTC 兑 BTC 缺口约 603 枚
Liquid Network 已恢复运行，但 L-BTC 兑回比特币的 peg-out 仍暂停，储备缺口约 603 枚 BTC，Liquid 称须完全覆盖流通中的全部 L-BTC 且完成安全审查后赎回才会恢复。
吴说区块链AI 评分5858 老牌公链 Ontology 收到安全风险报告已暂停出块配合调查
老牌公链 Ontology 官方表示收到紧急报告，称链上某项目可能存在安全风险，或威胁网络资产安全，已协调大多数共识节点暂时停止出块以配合调查。目前调查仍在进行，待确认安全后将恢复出块。官方尚未披露涉事项目名称及具体风险，也未确认是否存在资产损失。Ontology 于 2017 年创立，早期与 NEO（小蚁）生态关系密切，主要聚焦去中心化身份和数据管理。
Crypto BriefingAI 评分7171 Liquid Network halts Bitcoin redemptions with reserves at about 86% coverage
Liquid Network 的 L-BTC 赎回（peg-out）仍处于暂停状态，侧链储备约短缺 603 BTC，储备覆盖率约为 86%。
PANewsAI 评分6262 Ledger供应链攻击疑扩散至欧洲，用户称官方经销商设备发现硬件植入物
安全研究人员 Johannes 披露，一名用户从欧洲官方 Ledger 经销商购买的硬件钱包，在购买数周后被发现内部存在未经授权的硬件植入物，设备内出现正常 Ledger 硬件中不存在的可疑线路，表明销售前可能遭物理篡改。
crypto.newsAI 评分4040 COLDCARD warns Bitcoin users about phishing scam on X
Bitcoin 硬件钱包厂商 COLDCARD 确认其官方 X 账号于 10 月 11 日发布了一条钓鱼链接，谎称新版固件存在助记词生成漏洞，诱导用户通过伪造网站迁移资产，该帖随后被删除。
U.TodayAI 评分6262 Ledger Makes Shocking Discovery in Crypto Theft Probe
Ledger 在 10 月 10 日发布的更新中称，在 CryptoBilis 安全事件受影响用户的一台设备内发现了被植入的恶意硬件，这是调查中首个硬件被篡改的实物证据。
PANewsAI 评分6262 XRP Ledger发现超10年的严重漏洞，可致XRP超量增发，已修复并完成升级
RippleX 工程负责人 J. Ayo Akinyele 表示，XRP Ledger 支付引擎存在超 10 年的严重漏洞，可导致 XRP 超出固定供应量被增发。
吴说区块链AI 评分6565 OneKey 分析 Ledger 硬件供应链攻击路径，宣布五项改进措施
OneKey 创始人 Yishi 发文分析 CryptoBilis 渠道售出的 Ledger 设备疑遭篡改、导致约 9000 万美元资产被盗的攻击路径，称 OneKey 截至 10 月 10 日未收到相关受损报告。
ChainCatcher同新闻AI 评分7676 Ledger 今日被盗事件为其最大规模安全事件，假应用曾致 950 万美元被盗
硬件钱包厂商 Ledger 今日再次出现安全事件，第三方安全机构估算本次损失接近 9000 万美元。Ledger 正在调查与东南亚授权经销商 CryptoBilis 售出设备相关的资金损失，已要求该经销商暂停销售与发货，并建议近 90 天内通过该渠道购买设备的用户谨慎操作或转移资产。事件原因尚未最终确认，疑似涉及供应链或设备篡改风险。
同一新闻，精选展示《Ledger 调查 8600 万美元加密资产流失，东南亚经销商 CryptoBilis 供应链疑云升温》
CryptoPotato精选AI 评分8282 Ledger Investigates $86M Crypto Drain as Reseller Supply-Chain Fears Grow
Ledger 正调查一起涉及授权东南亚经销商 CryptoBilis 的加密资产流失事件，链上研究员估算损失在 7200 万至 8600 万美元之间，涉及 BTC、ETH 和 TRX。
Why it matters：This article outlines loss estimates and official response recommendations for the Ledger authorized reseller supply chain attack, helping readers understand risks in hardware wallet distribution.
ChainCatcherAI 评分7474 Ledger 确认受影响用户设备存在未经授权的硬件植入，经销商 CryptoBilis 暂停库存销售
Ledger Support 发布更新称，已确认一名受影响用户的设备中存在未经授权的硬件植入，正联系受影响用户并持续调查，同时与执法部门合作追责。经销商 CryptoBilis 已确认暂停销售所有硬件钱包库存直至调查结束，Ledger 表示目前没有迹象表明其安全基础设施、系统或服务遭到入侵。
吴说区块链AI 评分6767 Ledger 确认一用户设备遭硬件植入，经销商 CryptoBilis 停售硬件钱包
Ledger 发布安全事件调查进展，确认一名受影响用户的 Ledger 设备中发现未经授权的硬件植入装置，表明事件涉及硬件层面的篡改。Ledger 表示尚无迹象表明其自身安全基础设施、系统或服务遭到入侵，正联系受影响用户并与执法部门合作调查。
Sky ForumAI 评分2222 Diamond PAU: Independent Formal Assurance and Adversarial Verification using Certora Prover, Halmos, & Foundry
针对 Sky 分配架构中的安全关键模块 Diamond PAU，一项独立属性驱动验证活动结合 Certora Prover、Halmos、Foundry、变异判别与部署字节码绑定，完成 21 项属性清单，其中 4 项在记录假设下通过 Certora 证明、2 项部分验证、8 项获多引擎保证，另有 4 项因模型不可信或不可处理而标记为 UNKNOWN。
Blockstream精选AI 评分8787 Liquid Network Security Incident Assessment
Blockstream 发布 Liquid Network 安全事件评估报告，2026 年 9 月 6 日攻击者利用 Elements rangeproof 验证缓存漏洞（Bug A 与 Bug B）。
Why it matters：Blockstream recounts as a party the full chain of the 4000 LBTC凭空 minting on Liquid, including the root cause and recovery timeline.
Golem BlogAI 评分6262 Golem Network Security Review Update
Golem Network 在主动安全审查中评估了 76 份报告，确认并修复 36 个问题，包括 1 个 Critical、6 个 High、15 个 Medium 和 18 个 Low，受影响软件版本和存在漏洞的二进制文件已停止分发。
Solidity BlogAI 评分4848 Spill Slot Collision Across Mutual Recursion Bug
Solidity 在 0.8.37 中修复了 IR pipeline 栈转内存搬运器（stack limit evader）的 spill slot 冲突 bug：当调用图存在互递归时，两个不同函数的变量可能被分配到同一 spill slot 并互相覆盖。
BlockstreamAI 评分6262 Core Lightning 26.06.7 Is Out. Upgrade When You Can.
Blockstream 发布 Core Lightning 26.06.7，这是一个修复过去三周内收到的已确认漏洞的补丁版本，签名二进制已可下载。源码将在 14 天后即 2026 年 9 月 11 日公开，以便运营者先完成升级；无法立即升级的用户可用 --offline 标志重启节点以切断攻击面。26.06.7 之前的版本已不再受支持，26.09 版本仍按计划于 9 月下旬发布。
Trail of Bits Blog精选AI 评分6666 State divergence enables unauthorized access
Trail of Bits 在 Provenance Blockchain（基于 Cosmos SDK 的 PoS 公链）发现一个漏洞，任何用户无需持有代币即可为自己授予 marker 账户的管理员权限，影响主网上 82 个承载真实金融资产的 marker，涉及版本 1.28.0 之前。
Why it matters：The article fully discloses the cause of the authorization check reading a stale supply field, the exploit paths of two transactions, and the fix differences, serving as a case reference for on-chain permission validation.
Solidity BlogAI 评分4848 Unsound Spill In Mutual Recursion Bug
Solidity 团队在 Yul 优化器调用图分析中发现一个互递归函数被误判为非递归的漏洞，导致其变量被错误地移入固定内存偏移，影响 0.7.2 至 0.8.35 版本，已在 0.8.36 修复。该漏洞仅影响 IR 管线，需启用 --via-ir，Sourcify 数据库中约 207,000 个合约里 272 个存在误判函数，但暂无已知受影响合约。
Immunefi BlogAI 评分6060 The Ecosystem Vulnerability Scoreboard: 6 Years of DeFi Loss Data
Immunefi 发布研究报告，追踪 2020 至 2025 年 DeFi 协议因漏洞利用造成的损失，并按各生态 TVL 归一化计算风险比率。报告称行业 DeFi 协议损失从 2022 年峰值 26.2 亿美元降至 2024 年 5.34 亿美元，2025 年回升至 6.8 亿美元，但单起事件损失中位数从 2022 年 600 万美元降至 2025 年 150 万美元。
Immunefi BlogAI 评分4444 Base <> Immunefi Audit Competition
Base 与 Immunefi 于 4 月 21 日启动针对 Base Azul 网络升级的审计竞赛，奖金池最高 25 万美元，持续至 2026 年 5 月 4 日。竞赛面向所有经验水平的安全研究员开放，在主网部署前对核心基础设施代码进行独立审查，发现最具影响力漏洞的研究者将获得最大份额奖励。Immunefi 表示其保护超 1900 亿美元用户资金。