BlockThreat 安全周报 - 2025年第40周

Abracadabra | Alt Town | SBI Crypto | Discord | TEE

本周在 6 起事件中，近 500 万美元被盗。在 DeFi 方面，Abracadabra 遭受了第三次攻击，损失了 180 万美元。尤其不幸的是，该协议没有进行防御性编码，其中一个遗漏的 else 语句导致了不想要的状态。

又一个矿池漏洞浮出水面，并且是在事发几周后才被发现的。矿池的中心化性质，加上其大量的常规转账，通常会掩盖被攻击的迹象。这次 SBI Crypto 被盗的 2400 万美元 直到一周后，当被盗资金开始流向通常的洗钱目标时才被注意到。提醒一下，大规模的 35 亿美元 Lubian 矿工被黑事件 在近五年内没有被发现，这引发了人们对还有多少 CeFi 漏洞仍然未知的疑问。

本周更有趣的漏洞之一是存在漏洞的 7702 钱包，攻击者能够盗取超过 30 万美元。该合约有一个未受保护的 pancakeV3SwapCallback 函数，允许任何人要求“偿还”，而这正是攻击者对 USDT.C token 所做的：

pancakeV3SwapCallback(366,671,873,699, -1, 0x96fb784986284cb6d4a8da6dd50dd7e85ef38f5d)

该漏洞很简单，造成的损失有限，但这是一个警告。一个存在漏洞的智能钱包有朝一日可能在整个生态系统中引发数百万美元的损失。请小心你信任的第三方智能钱包合约。

喜欢阅读 BlockThreat 吗？考虑赞助下一期 或 成为付费订阅者，以解锁高级版块，其中包含有关黑客攻击、漏洞、指标、特别报告和可搜索的新闻通讯档案的详细信息。

让我们深入了解新闻！

新闻

• 英特尔和 AMD 可信 enclave，网络安全的基础，受到物理攻击. 新的 Wiretap Fail 攻击需要物理访问，但可以完全破坏英特尔 SGX、英特尔 TDX 和 AMD SEV-SNP。不要惊慌，但请考虑可能滥用物理访问的特定提供商设置。

• 黑客声称 Discord 遭到入侵，暴露了 550 万用户的数据. 另一起涉及外包支持人员的贿赂案件。我们没有从 Coinbase 事件 中吸取教训吗？

• NIRS 火灾摧毁政府的云存储系统，没有可用的备份。Web2 的安全性可能很疯狂，并且提醒我们制定备份策略。

• Roman Storm 提交了对所有指控的无罪释放动议。

• Kim.Fun 是一种有趣的捕捉 DPRK IT 工作者的方法。

• SlowMist：2025 年第三季度 MistTrack 被盗资金分析。

• M-Trends 2025：来自前线的数据、见解和建议，由 Mandiant 提供。

犯罪

• 中国诈骗犯在英国查获近 70 亿美元的比特币后认罪。Zhimin Qian 持有从 12.8 万名受害者那里获得的 61,000 个 BTC。

• 四处游荡的 Lapsus$ Hunters 提供 10 美元的比特币来“无休止地骚扰”高管。这个臭名昭著的威胁行为者在不忙于贿赂外包支持人员时，采取了另一种令人发指的策略。

• “你将永远不需要再工作”：罪犯出钱让记者入侵 BBC.

• 泄露的文件揭露了俄罗斯规避制裁背后价值 80 亿美元的加密网络.

• 哈萨克斯坦在从无牌交易所查获 1670 万美元后，收紧了加密货币规则.

• 小偷偷拍了受害者公寓中的助记词，盗走了 170 万美元的加密货币。

• 泰国当局逮捕了一名与 5.8 亿美元加密货币欺诈案有关的葡萄牙国民。

• Lazarus Group：一个有旗帜的犯罪集团，作者：Christine Barry（Barracuda）。

政策

• 尽管受到美国制裁，俄罗斯支持的 A7A5 稳定币转移了超过 60 亿美元。

钓鱼

• 始于网络钓鱼的 5 大加密货币和 Web3 黑客攻击，作者：Rhythm Jain（Resonance Security）。

• 0G_labs 和 0G_Foundation 的 X 帐户已被盗用。这次攻击显然是由 空投农民 之一实施的。

• BNBCHAIN 的 X 帐户已被盗用.

• ZachXBT 标记了 40 万美元的漏洞：Hypurr NFT 从被盗用的 HyperEVM 钱包中被盗.

诈骗

• HyperVault - Rugged，作者：Rekt。

研究

• 跨函数重入：当函数互相背叛时，作者：Shashank Mudgal (0x00auditor)。

• 正确的 nonce 实现，作者：Sigma Prime。

• MEV 垃圾邮件：隐藏的区块链可扩展性危机，作者：Nefture Security。

• 追踪 340 万美元的加密勒索：调查人员如何追踪区块链足迹。

• 如何使用 npm 并避免被 rekt，作者：The Red Guild Security。

• Awesome Wallet Security，作者：Valkyri Security。

• RISC Zero 安全披露：访客中的任意代码执行.

• LISA 技术报告：智能合约审计的代理框架。

• LLM 作为 Solidity 的验证预言机.

• Web3 中金融伪装的黑暗艺术：洗钱计划和对策。

• 以太坊 PoS 中的秘密领导者选举：对领导者进行 DoS 和审查攻击下 Whisk 和同态排序的实证安全分析。

• BugMagnifier：用于揭示智能合约漏洞的 TON 交易模拟器。

• 使用预训练编程语言模型进行智能合约意图检测。

• PROMFUZZ：利用 LLM 驱动和面向错误的复合分析来检测智能合约中的功能错误。

• 基于 AI 的 NFT 智能合约漏洞分析。

工具

• Wise Signer MetaMask snap，可帮助解码 Patrick Collins 的 calldata。

• rrelayer - 一种用 Rust 构建的开源、强大、高性能的区块链交易中继服务，旨在与任何 EVM 兼容网络无缝集成。

• The Recon Extension：现在有更多 Halmos，作者：Recon。

• Breadcrumbs 调查工具。

• • *

喜欢阅读 BlockThreat 吗？考虑赞助下一期 或 成为付费订阅者，以解锁高级版块，其中包含有关黑客攻击、漏洞、指标、特别报告和可搜索的新闻通讯档案的详细信息。

• 原文链接： newsletter.blockthreat.i...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～