共有 70 条记录
事件描述：Polkadot 官方发布安全警报，称第三方钱包 Fearless Wallet 的浏览器扩展自 2025 年 2 月起被植入恶意代码。用户解锁钱包时，私钥会被发送到攻击者控制的服务器，导致密钥泄露。目前已有 8 名用户报告未授权交易，合计损失 17,286 DOT。官方建议受影响用户立即在其他钱包生成新密钥并转移资产。
损失金额：$ 20000攻击手法：私钥泄漏
事件描述：攻击者利用某 Argent 风格智能钱包恢复模块与执行模块的漏洞，通过设置异常恢复期使 deadline 时间戳回绕到过去，从而在同一交易中完成恢复并更改所有者；同时重放相同签名的 payload 多次执行，在低流动性 MARK/WETH 池中进行交易，盗走约 5.98 万美元。
损失金额：$ 59,800攻击手法：合约漏洞
事件描述：攻击者利用部分 Qubic 钱包种子生成时随机性不足（涉及 iPhone/iPad 任意浏览器、Mac Safari 及 2025 年 7 月前 Qubic iOS 应用创建的种子），成功访问并盗取 1404 个钱包中约 2.94 万亿枚 QU（约 130 万美元）。问题出在种子生成而非协议本身。网络已暂停，大部分资金被冻结，种子生成已在 v4.26.4 修复。
损失金额：$ 1,300,000攻击手法：私钥泄漏
事件描述：Blink Wallet 因软件漏洞被攻击者未授权访问并转走数十个托管账户资金，平台一度暂停服务。非托管钱包及绝大多数资金未受影响。团队当天修复漏洞并恢复未受影响账户服务。9 月 24 日宣布所有被盗账户已按事前余额全额补足；攻击者还访问了约 3,400 名其他用户的账户信息，但未盗取这些账户资金，也未获取姓名、证件或地址。
损失金额：-攻击手法：软件漏洞
事件描述：Startale 的 ERC-7579 智能账户在 Ethereum 上遭攻击。攻击者利用 initializeAccount 函数中的临时存储（transient storage）标志生命周期问题，在同一笔交易中重新初始化账户并注入恶意 bootstrap，从而无签名、无额外资金地逐个清空约 330 个尚未正式部署但已预存资金的 counterfactual 账户，总计损失约 $2,876。Soneium 网络未受影响。
损失金额：$ 2,876攻击手法：合约漏洞
事件描述：DCENT（原 D'CENT）硬件钱包厂商于 2026 年 9 月 16 日发布紧急安全警示，称其移动端 App 软件钱包（App Wallet）出现异常资产转移，已展开紧急调查。初步结果显示问题仅限于 App 钱包，硬件钱包本身暂未受影响。官方强烈建议持有 App 钱包资产、或将同一助记词同时用于 App 钱包与硬件钱包的用户立即将资金转移至安全硬件钱包或其他可信地址，并警惕诈骗。
损失金额：$ 6,570,000攻击手法：未知
事件描述：以太坊上一未知用户的 Gnosis Safe 钱包遭攻击，损失约 $7,730,000。攻击者利用 Router 合约 multicall 授权绕过，通过 Safe 模块 DelegateCall 把钱包内的 aEthrsETH 注入其自建的恶意 Uniswap V4 Hook 池，再兑换赎回为 rsETH 获利。Kelp 随后对接收赃款地址做了 24 小时暂停。
损失金额：$ 7,730,000攻击手法：合约漏洞
事件描述：2026 年 9 月 3 日晚，XRPH Wallet 约 4,011 个用户钱包在短时间内被未经授权转出资金（含 XRP、XRPH、XRPHAI 等），总损失约 45.2 万美元。资金被集中后经跨链转移至以太坊并兑换为 DAI，目前仍停留在单一地址。项目方确认非 XRP Ledger 本身问题，已下线应用并调查中。
损失金额：$ 452,000攻击手法：种子短语泄漏
事件描述：安全公司 Coinspect 披露 RRWallet（RenrenBit 钱包）因依赖存在弱随机数生成漏洞的 CryptoJS 库（Ill Bloom 漏洞，CVE-2026-71851），生成的助记词熵值极低、可被预测，导致用户资产被盗。一名用户因此损失约 200 万美元。
损失金额：$ 2,000,000攻击手法：供应链攻击
事件描述：ZEUS（比特币闪电网络钱包及 LSP 服务商）基础设施在数小时内遭遇网络安全攻击，攻击已缓解；出于谨慎暂停全部服务进行全面系统审计，确认无客户资金损失或风险，LSP 通道关闭用户将获替换通道；事件仅限 ZEUS 自身基础设施，无证据显示由 Lightning 节点软件漏洞引起。
损失金额：0攻击手法：基础设施入侵
事件描述：Coldcard 硬件钱包（Coinkite）因固件漏洞（自 2021 年 3 月起部分版本种子生成熵不足，Mk3 约 40 位、较新型号约 72 位，远低于预期 128 位），导致私钥可被离线暴力猜测。攻击者无需接触设备，直接扫描并清空大量单签 BTC 地址，多波攻击累计损失超 1 亿美元，事件仍在持续。
损失金额：$ 100000000攻击手法：固件漏洞
事件描述：SecondFi（前 Yoroi）Cardano 钱包因其专有网页钱包生成软件存在漏洞，导致私钥/地址级别暴露。攻击者针对 374 个受影响钱包发起三次攻击，盗取约 1600 万 ADA（$2.4 M）。项目方紧急救援保护了约 1.29 亿 ADA，用户需等待官方恢复流程，受影响钱包永久高风险，建议使用硬件钱包迁移。
损失金额：$ 2,400,000攻击手法：可预测私钥漏洞
事件描述：一款名为 SquidRouterModule 的第三方 Gnosis Safe 模块被利用，导致 86 个 Safe 钱包在以太坊和 Base 链上约 2 小时内被盗取约 300 万美元资金。该模块与官方 Squid Router 无关，仅因合约名称相似引发混淆。受害者此前将此第三方模块添加为可信 Safe Module，赋予其无需签名即可花费 Safe 内资产的权限。攻击者利用模块的验证漏洞执行任意调用，通过伪造 Uniswap V3 交换将真实代币换成无价值代币并提取资金。Squid 官方确认其核心路由合约（0xce16F...）和用户资金未受影响。
损失金额：$ 3,200,000攻击手法：合约漏洞
事件描述：Zerion 一名员工的设备被攻击者通过AI 驱动的社会工程攻击入侵，疑似与 DPRK 相关高级威胁组织有关。攻击者成功获取该员工的已登录会话、账户凭证以及用于内部测试和运营的公司热钱包私钥，进而从多个内部热钱包中转移约 10 万美元资金。本次攻击未影响任何用户资产，Zerion 的产品、移动端应用及后端基础设施均未被入侵。事件仅限于员工设备与公司内部热钱包系统。事件发生后，团队主动下线 Web 应用并执行全面凭证轮换、设备安全检查及基础设施加固措施，以防止进一步风险扩散。
损失金额：$ 100,000攻击手法：AI 驱动社会工程攻击
事件描述：据 ZachXbt 监测，Trust Wallet 的 Discord 短链接 discord[.]gg/trustwallet 已被劫持，目前指向一个钓鱼服务器。用户应避免通过官方渠道（包括官网、Telegram、博客等）提供的链接加入该 Discord。
损失金额：0攻击手法：供应链攻击
事件描述：Holdstation 团队确认其 DeFAI Smart Wallet 产品遭受供应链攻击，攻击者针对应用分发基础设施发起攻击，导致部分用户钱包发生未经授权交易，总损失约 $462,000 USDT。智能合约未被直接利用，团队承诺 100% 补偿用户并加强安全措施。
损失金额：$ 462,000攻击手法：供应链攻击
事件描述：Trust Wallet 发布官方消息，确认了 Trust Wallet 浏览器扩展程序 2.68 版本存在安全风险，提醒所有在使用 2.68 版本的用户应立即禁用该版本并升级至 2.69 版本。据慢雾分析，此次后门事件源于对 Trust Wallet 扩展内部代码库（分析服务逻辑）的恶意源代码修改，而非引入已被篡改的通用第三方包（如恶意 npm 包）。攻击者直接篡改了应用程序自身的代码，利用合法的 PostHog 库将分析数据导向恶意服务器。截止12 月 31 日，该事件已确认影响 2520 个钱包地址，损失总额约 850 万美元。初步调查显示该攻击与 11 月发生的 Sha1-Hulud 行业级供应链事件有关。目前 Trust Wallet 已回滚插件至安全版本 2.69，并启动受害用户赔付流程。
损失金额：$ 8,500,000攻击手法：恶意代码注入攻击
事件描述：硬件钱包 Keystone 的官方 X 账号疑似被黑。请用户们保持警惕，当心风险。
损失金额：-攻击手法：账号被黑
事件描述：据 Scam Sniffer 监测，Ordinals Wallet 的 X 账户遭黑客攻击，并发布网络钓鱼链接。经查看，相关帖子已被删除。
损失金额：-攻击手法：账号被黑
事件描述：据 Wasabi Wallet 在推特上发布的消息，有用户报告称名为 WasabiCoordinator 的协调器通过复杂攻击逐步窃取用户资金。Wasabi Wallet 建议所有连接到该协调器的用户立即停止 CoinJoin 操作，并表示将很快发布一个新版本以防止此类攻击。随后，Wasabi Wallet 发推表示此次事件中有三种攻击：对协调员的攻击，对供应链的攻击和对用户的攻击。
损失金额：-攻击手法：安全漏洞