https://hacked.slowmist.io/zh/ Sat, 17 Oct 2026 00:08:23 +0000 Rss Everything 360 ea7bce6ec84e4c05eff6cd61e6c1edb0 Thu, 15 Oct 2026 11:26:14 +0000 2026-10-14

被黑目标：UNCX Network V2

事件描述：UNCX Network 的 Vesting V2 智能合约存在股份会计逻辑漏洞（VestingManager.cancel 未正确确保已释放份额被覆盖），攻击者通过直接转账代币降低每股转换率、释放并取消计划等方式，从共享归属池中超额提取其他用户锁定的代币，初始在 Ethereum 损失约 $86000，后续扩散至多链总计约 $149 万。

损失金额：$ 1490000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 6ef04fb54e0f334fc2b9e39ad04c7ef2 Fri, 16 Oct 2026 04:01:21 +0000 2026-10-14

被黑目标：Pirate Chain

事件描述：Pirate Chain 源代码中发现交易验证漏洞，攻击者利用该漏洞未经授权铸造约 3980 万枚 ARRR，使代币总供应量增加约 20%，资金随即转入 Sapling 隐私池。NonKYC 平台发现可疑存款后限制相关账户并阻止提现。该漏洞结合了两个验证失效：绕过增发检查 + 输出脚本解析错误。dPoW 运营商暂停公证，团队请求交易所和矿池暂停相关业务，网络仍在运行并计划制定恢复方案。

损失金额：$ 10,746,000攻击手法：协议层验证漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 362b423d03ff3a92aa1e052ee8ae1c97 Thu, 15 Oct 2026 03:01:41 +0000 2026-10-13

被黑目标：Gamdom

事件描述：加密博彩平台 Gamdom 于 2026 年 10 月 13 日因服务器未授权连接遭攻击，热钱包被盗约 420 万美元，涉及多条区块链，平台随后下线调查并转移剩余资金至冷钱包。

损失金额：$ 4,208,000攻击手法：热钱包服务器入侵

查看参考来源

_{-- Delivered by RssEverything service}

]]> c620ab6c8d2d0ada875042821df4ee27 Tue, 13 Oct 2026 11:08:14 +0000 2026-10-10

被黑目标：Papertrade

事件描述：Papertrade（基于 Hyperliquid HyperEVM 的千倍杠杆合成永续合约平台）于 2026 年 10 月 10 日上线约 8 小时后，一钱包在 Hyperliquid 上买卖大量ETH推动参考价格（BBO 中间价），同时在 Papertrade 上开超高杠杆（最高 1000x）多空仓位，从平台流动性池获利约 128 万美元。平台称因上线初期未平仓上限设置过松，已收紧限制。

损失金额：$ 1,280,000攻击手法：价格操纵

查看参考来源

_{-- Delivered by RssEverything service}

]]> 145872ccd0e8a750e32f7eb18c5f40d2 Fri, 09 Oct 2026 07:15:36 +0000 2026-10-09

被黑目标：BitBay StableVault

事件描述：BitBay 在 Polygon 上的 DAI/USDC 金库 UsdcDaiV4Vault 被攻击。攻击者先调用 reposition()，把金库流动性调成 0；再只赎回 1 个最小份额。合约的 _withdraw() 在 liquidity == 0 时，没有按用户持有份额比例付款，而是把合约里的全部代币转出，于是约 14,838.47 DAI（约 $14,000）被抽走。

损失金额：$ 14,000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> b5641a57090bc20d32ae56fad1aeabbf Fri, 09 Oct 2026 06:39:52 +0000 2026-10-09

被黑目标：EtherVista

事件描述：EtherVista 流动性池因 EtherVistaPair.swap() 中 K 值不变式检查存在整数溢出被攻击。池子两储备为 uint112，相乘会溢出回绕，导致实际储备乘积大幅下降时校验仍可通过。攻击者将自控合约注册为授权路由器，通过两次构造的 swap 抽走池中 WETH 与 VISTA，损失约 18600 美元。

损失金额：$ 18600攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> b894b83f7521aa36f90e821aed1c6a3f Fri, 09 Oct 2026 07:15:33 +0000 2026-10-08

被黑目标：X7 Finance

事件描述：攻击者利用 X7Pioneer 的 claimRewards() 记账错误。该函数每次都把 address(this).balance - lastETHBalance 加进 totalRewards，但只有 claimable > 0 才更新 lastETHBalance。传入空数组时 claimable 为 0，同一笔未入账余额被反复累加，抬高每枚代币奖励。攻击者还先向合约转入 ETH 放大差额，再提走约 6.78 ETH。

损失金额：$ 16,514攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 16a822cc05b25e7eec9319f3126bc3e4 Fri, 09 Oct 2026 07:15:24 +0000 2026-10-07

被黑目标：79th Vault

事件描述：79th Vault 运营热钱包私钥被获取。攻击者用 OPERATOR_ROLE 特权函数，分 7 笔从 PancakeSwap 的 79AU/USDT 池转出 201 万枚 79AU，再经约 95 笔卖回该池，USDT 储备从约 $15,200,000 降至约 $3,900,000，最终换成 16,249 BNB（约 $12,500,000）。41 秒后同一运营密钥又向攻击地址转了 3.79 BNB。

损失金额：$ 12,500,000攻击手法：私钥泄漏

查看参考来源

_{-- Delivered by RssEverything service}

]]> d97bb3d5764b35ec9f5d4a301945af19 Wed, 07 Oct 2026 05:42:46 +0000 2026-10-06

被黑目标：Set Protocol

事件描述：攻击者利用 Set Protocol 的 actualizeFee()：即使没有铸造费用，该函数仍把 unitShares 向上取整，从 4,927 提到 4,928。攻击者在更新前发行份额，更新后按相同数量赎回，从而多提抵押品。Uniswap v4 的 flash accounting 提供了临时流动性，用来放大这次利用。

损失金额：$ 13,700攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 1b7a9e5fbc3ecec87d37b3b3a5dbc505 Wed, 07 Oct 2026 06:00:09 +0000 2026-10-06

被黑目标：MakerDAO ETH-A Liquidation Keeper Bot

事件描述：一个由 Tornado Cash 注资的新地址，调用了休眠 MakerDAO ETH-A 清算 Keeper 上未受 ds-auth 保护的提取函数。该可升级代理曾在 2020 年赢得第 1457–1460 号拍卖、共 200 WETH，但从未调用 deal()，抵押品留在 Flipper。攻击者补调 deal()，经 Vat.flux 把抵押品划到 Keeper，再用 GemJoin.exit() 把 200 WETH 提到自己指定地址并解包为 ETH。漏洞在第三方机器人，不在 MakerDAO 核心。

损失金额：$ 538000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> cfbcd3f1b31909be164a636d4d886042 Fri, 09 Oct 2026 07:15:23 +0000 2026-10-05

被黑目标：Based Visa Card Internal Dashboard

事件描述：Web3 财务平台 Based 发现未授权第三方入侵用于管理 Based Visa 卡项目的内部面板，并在发现后迅速控制。发卡机构收集的部分持卡人 KYC 数据（姓名、身份证件号、出生日期、地址等）可能已被获取；卡号、CVV、PIN、证件照片、活体记录、交易钱包及卡内资金未受影响，卡片正常可用。官方已邮件通知受影响用户并通报监管机构，提醒防范仿冒钓鱼与社工攻击。

损失金额：0攻击手法：内部系统未授权访问

查看参考来源

_{-- Delivered by RssEverything service}

]]> 4e39a34c98809385a4e5ebbe289dae71 Mon, 05 Oct 2026 14:26:15 +0000 2026-10-03

被黑目标：MALT

事件描述：攻击者利用 MALT 协议 swap 函数的逻辑缺陷，以极小输入触发外部 rebalanceHook。该 hook 从协议 Capital Source（金库）取出 DAI 并注入同一池子；随后合约用注入后的余额做不变量校验，把协议资金误当成用户投入，从而超额提取 MALT，损失约 7.2 万美元。

损失金额：$ 72000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 9d62d2bf8bedcb55efe636f324cf2172 Mon, 05 Oct 2026 14:26:07 +0000 2026-10-02

被黑目标：GoldPesa

事件描述：攻击者在 Base 上利用 GoldPesa 的 GPXHooks。该 hook 在共享、按闪兑记账的 PositionManager 里做再平衡，却未检查 GPX/USDC 的 currency delta 是否为零。攻击者先在自己的 unlock 里铸造未结算的 WETH/USDC 仓位，留下约 11.5 万 USDC 的负 delta，再在 GPX 池兑换以触发每小时 reBalance。Hook 销毁真实仓位产生的正信用被拿去抵这笔幻影债务，攻击者随后烧掉自己的仓位，从 PoolManager 直接取走约 114,900 USDC。

损失金额：$ 114900攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 8e3ebd486d8859432188c2d777bb32c7 Thu, 08 Oct 2026 04:06:28 +0000 2026-10-02

被黑目标：Microsoft’s official X account

事件描述：微软官方 X 账号被未授权访问约 30 分钟，攻击者更换头像为 Clippy、关注并转发冒充账号，向约 1300 万粉丝推广未经授权的 Clippy meme coin，并发布随后也被删除的“致歉”帖。微软向 The Verge 等确认账号已夺回、帖文已删除，并表示未授权任何与 Clippy 或 $MSFT 相关的代币。

损失金额：0攻击手法：X 账号被黑

查看参考来源

_{-- Delivered by RssEverything service}

]]> 45c994d9f4be6b8626f2d30a7c10e085 Thu, 01 Oct 2026 14:31:10 +0000 2026-10-01

被黑目标：NEAR Intents

事件描述：NEAR Intents 因 Omni 充提基础设施与其智能合约交互存在漏洞遭遇安全事件，初步损失约 380 万美元。合约侧漏洞已修复，核心服务预计很快恢复，项目方承诺全额赔付，并已报案并展开链上追踪。

损失金额：$ 3,800,000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 2177c29164301d02570504ebcb49cd99 Fri, 02 Oct 2026 03:10:32 +0000 2026-10-01

被黑目标：FlashLoopAdapter（Aave V3 Loop Safe Module）

事件描述：攻击者利用 FlashLoopAdapter 的访问控制漏洞，通过伪造 Safe 身份绕过模块授权检查，并控制 swapRouter 和 swapCalldata，将受害 Safe 作为调用目标执行 execTransactionFromModule()，从而未经授权提取 Aave V3 抵押品。攻击者同时利用 Morpho WETH 闪电贷偿还受害 Safe 的 Aave 债务以释放抵押品，最终从两个 Safe 中转移 weETH，并获得约 114.09 ETH、价值约 $305,000 的资产。

损失金额：$ 305,000攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> 24b105671af0bc25f30665f6e7fb1f0e Wed, 30 Sep 2026 07:16:42 +0000 2026-09-30

被黑目标：MCN Labs

事件描述：MCN Labs 相关 LPBonus 合约在奖励记账时使用了不一致的 MSN 储备值：累计奖励时按当时储备更新指数，提取时又按提取瞬间的储备计算用户权重。攻击者先把储备压到约 89.33 MSN 完成累计，再把储备抬到约 491.11 MSN 后调用 UserRemoveLp，使新注册 LP 领走约 1,442,165.71 FIST，而对应区间实际注入奖励仅约 940,041.61 FIST，造成约 9.26 万美元损失。

损失金额：$ 92,600攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> ac860dd4d9b851d09abc1fe533cb385d Wed, 30 Sep 2026 07:31:29 +0000 2026-09-30

被黑目标：MUSystem

事件描述：MUSystem 的 deposit() 把首存奖励同时计入即时 ETH 退款和用户 MUS 份额，withdraw() 又允许在同一笔交易里赎回，且未把可取回 ETH 限制为实际存入金额。攻击者用 16 个新地址反复“存款—同笔赎回”，从合约中抽走 ETH，损失约 3.69 万美元。

损失金额：$ 36,900攻击手法：合约漏洞

查看参考来源

_{-- Delivered by RssEverything service}

]]> c8f06f90af271dcf49c2bc2bd1e69b95 Wed, 30 Sep 2026 07:31:28 +0000 2026-09-26

被黑目标：Fake GIWA Bridge

事件描述：攻击者搭建了一条假冒 GIWA 主网的 L2 网络（使用官方预留 Chain ID 9134），并部署可正常工作的假跨链桥与 batcher。社区传播“ GIWA 主网 RPC 已泄露”的虚假信息后，约 1,335 个地址主动向假桥桥接约 767.65 ETH。攻击者随后一次性抽走约 766.25 ETH（约 200 万美元），大部分资金进入 Tornado Cash。真正的 GIWA 主网当时尚未上线。去中心化交易所 DYORSWAP 因 Chain ID 匹配而误将其列为支持网络，事后用自有资金向部分受害者补偿超过 200 ETH。

损失金额：$ 2,000,000攻击手法：假链/假跨链桥诈骗

查看参考来源

_{-- Delivered by RssEverything service}

]]> f82f43a97cd79faf85ac874e92c3e927 Mon, 28 Sep 2026 04:02:21 +0000 2026-09-24

被黑目标：Duelbits

事件描述：加密赌场兼体育博彩平台 Duelbits 的多链热钱包在约一小时内被清空，资金从以太坊、BNB Chain、波场、Solana 和比特币网络转出。项目方确认损失约 700 万美元，并紧急下线网站。安全机构认为这是热钱包私钥失窃，而非智能合约被黑。攻击者随后通过跨链桥和兑换，把大部分赃款换成 ETH 并集中到一个地址。项目方称用户账户余额未变，9 月 27 日平台已重新上线，并准备了约 800 万美元热/冷钱包资金用于兑付；被盗资金本身暂未看到追回。

损失金额：$ 7,000,000攻击手法：私钥泄漏

查看参考来源

_{-- Delivered by RssEverything service}

]]>