网络安全

RecodeX 重构消息，美国法院判处乌克兰籍男子Oleksii Lytvynenko四年监禁，罪名是参与2021年至2022年期间的Conti勒索软件攻击相关的电汇欺诈共谋。

RecodeX 重构消息，Mozilla宣布暂停其漏洞赏金计划三个月。该组织表示，暂停的原因是AI生成的漏洞报告数量大幅增加，给项目处理带来压力。

RecodeX 重构消息，一名乌克兰籍人员因参与臭名昭著的Conti勒索软件团伙活动，被美国法院判处四年监禁。该团伙在2022年停止运作前，曾针对全球超过1000名受害者实施攻击。

RecodeX 重构消息，网络安全公司FAZE Security于9月11日结束隐身模式，目前拥有50家企业客户，其中包括多家《财富》500强公司，并在18个月内实现约20倍的年度经常性收入（ARR）增长。公司同时宣布完成600万美元种子轮融资，由New Era Capital Partners领投，Lockstep VC参投。

RecodeX 重构消息，安全研究人员披露，大疆（DJI）Romo扫地机器人存在一个泄露的访问令牌，攻击者可借此远程控制约7000台设备。该漏洞暴露了家用智能代理设备普遍存在的单点故障风险，一旦令牌泄露，整批设备可能被同一入口接管。目前大疆尚未就此事作出公开回应。

RecodeX 重构消息，2026年9月6日，Liquid Network（@Liquid_BTC）的rangeproof验证环节遭缓存键碰撞漏洞利用。攻击者铸造了约3998.5枚无对应锚定存入的L-BTC，并在数分钟内将其赎回为比特币主网上的真实BTC。

事后约3400枚BTC被归还至联邦锚定钱包，仍有约598.5枚BTC处于攻击者控制之下。SlowMist安全团队通过MistTrack追踪了比特币侧资金流向并完成事件分析。

根本原因在于Elements的rangeproof缓存键将变长字段直接拼接而未加长度前缀，不同参数元组可映射到同一键值，导致缓存命中时跳过secp256k1_rangeproof_verify与最小值校验，从而接受无背书承诺并完成铸造。

RecodeX 重构消息，Anthropic表示，Claude被恶意滥用后，网络攻击的发动时间可被压缩至数小时，同时攻击者可覆盖的受害者规模显著扩大。该公司还披露，有人借助Claude协助设计了一套与马里有关联的本地部署SIM卡监控系统，涉及约2500万行代码。

RecodeX 重构消息，一场针对微信的模拟人工智能网络攻击演示展示了这种新型网络武器的威力，暴露出中国在网络安全方面的脆弱性。该演示加剧了中美两国就人工智能安全议题展开对话的紧迫性。

RecodeX 重构消息，慢雾发布安全警报称，ether.fi 遭受攻击，损失约 15.45 枚 ETH，并已在公告前私下联系 ether.fi 团队进行负责任披露。

分析显示，漏洞根源在于 AtomicQueue 合约的 solve() 函数对调用方传入的 solver 参数缺乏访问控制，既无 solver == msg.sender 校验，也无签名、注册或授权验证。攻击者先通过 updateAtomicRequest() 构造恶意 AtomicRequest，强制受害地址充当 solver，AtomicQueue 随即对受害地址调用 finishSolve 并执行 want.transferFrom(solver, users[i], assetsToUser)，利用受害者此前授予的 ERC-20 授权额度盗取资金。

RecodeX 重构消息，慢雾发布推文称，ether.fi 遭受攻击，损失约 15.45 枚 ETH。慢雾表示，在发布公告前已私下联系 ether.fi 团队，进行负责任披露。

RecodeX 重构消息，安全研究员Chaofan Shou称，其获取了约6TB来自中国某大模型中转（relay）服务的调用日志，其中包含与企业相关的SSH密钥、云服务凭证和令牌。该说法被列为供应链风险指控，目前尚待确认。

RecodeX 重构消息，Web3 IP 版权平台 BeatSwap 遭到攻击，损失 2,984,557 枚 BTX，价值约 77,512 美元。攻击者通过闪电贷借入 6,000,000 枚 BTX 并抛入 Uniswap，操纵 Uniswap V3 现货价格后抽干 BTX 流动性。

RecodeX 重构消息，比特币红队（Bitcoin Red Team）安全团队表示，其此前已发现数千个漏洞，并曾就导致一名白帽黑客控制近4000枚BTC的漏洞向Blockstream发出预警。团队负责人Calle强调，Blockstream在事件发生前忽视了他们的邮件。该团队暗示，这一漏洞此前已被披露。

RecodeX 重构消息，韩国政府表示，正在审查谷歌在数字性犯罪内容删除请求中提交的敏感个人信息遭泄露一事上可能承担的法律责任，并要求谷歌披露2018年以来是否发生过类似事件。性别平等与家庭部长官元敏京称，该部正与韩国媒体通信委员会共同审查谷歌是否违反了有关性犯罪处罚、电信业务及信息通信网络的法律。同日，韩国个人信息保护委员会也就此事启动调查，要求谷歌提供材料以查明信息如何泄露并出现在外部网站上。此前在8月25日，该部门发现受害者及人权组织向谷歌提交的部分信息被发布在一个未披露名称的第三方网站上。

RecodeX 重构消息，Solana资产发行平台Sunrise表示，已确认代币化白银SILV发行方Dominion的财库钱包发生安全事件。Sunrise目前不建议用户与SILV代币合约进行交互，并已从Sunrise平台采取相应处置措施。

RecodeX 重构消息，SlowMist安全情报监测显示，OMNI404（O404）代币合约因转账逻辑缺陷被利用，攻击者获利2.4 WETH。漏洞根源在于_transfer()中NFT铸造与销毁数量仅依据ERC20转账前后(balanceOf / units)的整数差值计算。该合约的transfer(address,uint256)将小于等于50的数值视为ERC721代币ID，但同时固定转移1e18个OMNI404单位。Uniswap V3的精确输出兑换在调用transfer(recipient,1至21)时，每次调用可获得1e18个OMNI404，而资金池仅按wei级别记账，攻击者借此配合闪电贷获利。攻击者地址为0xfb26db4eab18cb50d29ff431888dd643a7e9c9f8，受害资金池为0xb3f613b9bc84ddb29d78fa4685b01d98412bba0b，存在漏洞的合约为0xd5c02bb3e40494d4674778306da43a56138a383e。

RecodeX 重构消息，微软发布了一次安全更新，共修复974个安全漏洞，创下该公司单次更新修复漏洞数量的历史最高纪录。此次更新规模超过以往任何一次补丁发布。

RecodeX 重构消息，跨链流动性协议Symbiosis在BNB智能链（BSC）上正遭到攻击。据Blockaid监测，目前已实现约33.6万美元的损失，涉及资产为Wrapped Bitcoin（WBTC）。

RecodeX 重构消息，有安全研究者披露微信存在一处高危漏洞，攻击者仅需发起一通语音通话，即可在无需用户交互的情况下接管账号，导致账号“消失”或被盗用。目前该漏洞的具体技术细节、影响版本范围以及是否已被实际利用尚未公开，腾讯方面也未就此作出回应。

RecodeX 重构消息，电子邮件营销平台Brevo披露，攻击者利用其登录系统的授权边界漏洞访问了138个客户账户。其中6个账户被用于发送网络钓鱼邮件，43个账户的联系人信息被导出，另有93个账户未显示有效活动，Brevo未说明这些类别是否存在重叠。

受影响客户包括加密硬件钱包制造商Trezor、BitBox，以及加密投资组合与税务报告平台CoinTracking。攻击者通过Trezor的Brevo账户，向约34.7万名新闻邮件订阅者发送题为「严重安全警报：STM32熵漏洞」的钓鱼邮件，诱导用户进入应用程序并提交钱包备份信息。Trezor在20分钟内从DNS层封禁相关域名，但此前已有约2500人访问链接。

Trezor表示，其Brevo账户仅存储订阅用户电子邮箱，不含其他客户数据，但目前将全部约34.7万个邮箱地址视为已被攻击者掌握，可能被用于后续钓鱼活动。BitBox暂未发现资金或助记词泄露证据；CoinTracking用户则收到要求刷新API密钥的虚假邮件。

RecodeX 重构消息，安全研究人员披露名为“蓝月”的钓鱼攻击活动，该攻击将谷歌Chrome浏览器漏洞与钓鱼手法串联使用，主要针对Windows 10和Windows 11用户。攻击者通过组合手段诱导用户上钩，进而威胁其系统安全。目前披露信息未说明受影响用户规模及具体漏洞编号。

RecodeX 重构消息，安全研究员寿超璠称，他从一家中国头部大模型中转站购得约6TB的Fable模型调用数据，其中包含SSH密钥、VPN配置、阿里云密钥、GitLab令牌等敏感凭证。他表示，这些密钥足以进入19家中国头部企业及7个中国和独联体政府相关机构的服务器或内部系统，涉及华为、小米、蔚来和MiniMax。

大模型中转站位于用户与Claude等模型之间，请求与回复均经其转发，可看到完整明文。开发者若将SSH Key、API Key、VPN配置等放入Agent上下文，中转站保存或出售记录时，企业系统密钥也会随之流出。

寿超璠是区块链安全公司Fuzzland联合创始人。他参与的4月论文测试了428个LLM中转站，发现9个会主动注入恶意代码，17个在获取研究人员故意放入的AWS测试密钥后实际调用了AWS，另有1个转走测试钱包中的ETH。

RecodeX 重构消息，开源数据发布工具Datasette发布两个安全修复版本1.0a39和0.65.4，分别面向当前alpha系列与稳定的0.65.x系列。官方建议在公网运行Datasette实例的用户尽快升级，尤其是同时包含公开表与私有表的实例。

此次修复源于Sevban Dönmez、Alex Garcia报告的问题。开发团队使用Claude Fable 5.1、GPT-5.6和GPT-6 Astra对Datasette进行了全面安全审计，随后用近一周时间协作审查并修复了若干隐蔽漏洞。团队表示，今后将把前沿模型安全审计纳入全部开发工作。

RecodeX 重构消息，Bitcoin Policy Institute（BPI）发布警告称，近期有人冒充其员工发送可能包含恶意链接和附件的邮件。BPI 指出，这些邮件来自与其无关的域名 btcpolicyinstitut...，提醒收件人注意甄别，避免点击可疑链接或打开附件。

RecodeX 重构消息，比特币硬件钱包制造商Trezor警告称，其用于发送新闻通讯的第三方营销平台Brevo发生数据泄露，攻击者利用该平台向34.7万名Trezor客户发送了钓鱼邮件。邮件借助Trezor域名发送，内含恶意链接，诱导用户下载应用并输入钱包备份，已有约2500人点击。Trezor表示已在20分钟内于DNS层面关闭该域名，并暂停Brevo账户以阻止邮件继续发送，其他Trezor系统未受影响。Trezor强调从不要求客户提供钱包备份。此前Trezor上月披露第三方履约合作伙伴ShipMonk遭攻击，导致11742名客户数据泄露，上周又称另有6.7万名美国客户的姓名、邮箱、电话、收货地址及订单号曝光。

RecodeX 重构消息，黑客在窃取Blockstream约3.2亿美元比特币后，向该公司索要10%的赏金，并称其贪婪、傲慢。Blockstream联合创始人Adam Back（@excellion）公开回应，警告攻击者已留下线索，不会逍遥法外。

RecodeX 重构消息，美国国会议员呼吁美国政府将三家印度“雇佣黑客”公司列入黑名单。议员方面认为，这些公司提供针对性的网络攻击服务，构成安全威胁，要求将其纳入制裁或限制名单。

RecodeX 重构消息，OpenAI首席执行官萨姆·奥特曼与多家美国主要电力公用事业公司高管会面，讨论保障电网安全事宜，并提出可借助OpenAI的网络安全服务作为解决方案之一。相关会谈举行之际，外界正持续披露OpenAI自身产品在一起大规模网络攻击中所扮演的角色。

RecodeX 重构消息，Anthropic 表示已发现并阻断多起来自俄罗斯和中国的 AI 驱动网络行动，这些行动以该公司旗下的 Claude 模型为目标。相关行动利用自动化手段对 Claude 发起攻击，Anthropic 已采取措施予以干扰和阻断。

RecodeX 重构消息，安全研究人员发现，威胁行为者正通过语音呼叫结合自带设备（BYOD）方式入侵企业环境，进而访问微软365及企业内部数据。攻击者利用微软Graph API识别高价值目标，随后将已获取的访问权限转交给ShinyHunters等勒索团伙实施勒索。