ChainCatcher 消息，慢雾创始人余弦表示，Lottie Player 遭供应链投毒攻击，Ace Drainer 有关钓鱼团伙对知名 Web3 项目依赖的前端脚本模块 Lottie Player 投毒。所幸发现及时，影响面应该不大。 如果项目用到 Lottie Player 模块，注意检查下，是否有引入恶意代码（当前已知 2.0.4 版本及最新的 2.0.8 版本没有恶意代码）。

ChainCatcher 消息，据慢雾创始人余弦，硬件钱包 Keystone 官方 X 账号被盗，用户需注意相关安全。

ChainCatcher 消息，据慢雾 MistTrack 的分析，Indodax 黑客和 BingX 黑客之间疑似存在联系，他们使用同一个地址 (0x0c74c11443e60e011f884f547729127380ca1992) 进行洗钱。 Indodax Hacker 在 Polygon 进行操作，而 BingX Hacker 在 BSC 进行操作。 慢雾创始人余弦表示：“BingX、Indodax、CoinEx、Alphapo、Stake 等被黑事件，我们都找到了他们之间关联的证据，都指向了朝鲜黑客 Lazarus Group。” 此前消息，9 月 11 日，印尼加密交易平台 indodax 的钱包在不同网络上进行了超过 150 笔可疑交易，总损失约 1820 万美元，可疑地址正在将各种代币兑换为以太坊。 此后 9 月 20 日，BingX 遭遇攻击，预估被盗资产总额已超 4300 万美元。

ChainCatcher 消息，慢雾于 X 发布 Radiant Capital 安全事件（Arbitrum 链）分析： Radiant Capital 使用多签钱包（0x111ceeee040739fd91d29c34c33e6b3e112f2177）来管理合约升级和资金转移等关键操作。然而，攻击者非法控制了多签钱包中的 3 个所有者权限。 由于 Radiant Capital 的多签钱包采用 3/11 签名验证模型，攻击者首先使用这 3 位所有者的私钥进行链下签名，然后从多签钱包发起链上交易，将 LendingPoolAddressesProvider 合约的所有权转移到攻击者控制的恶意合约上。 随后，恶意合约调用 LendingPoolAddressesProvider 合约的 setLendingPoolImpl 函数，将 Radiant 借贷池的底层逻辑合约升级为恶意后门合约（0xf0c0a1a19886791c2dd6af71307496b1e16aa232）。 最后，攻击者执行后门功能，将资金从各种借贷市场转移到该攻击合约中。 此前消息，Radiant Capital 遭遇网络攻击，损失超过 5000 万美元。

ChainCatcher 消息，顶级交易员 Eugene Ng Ah Sio 在社交媒体发文表示，“在理想的世界中，我希望看到：十月剩下的时间慢慢上涨，让特朗普入主白宫，然后比特币冲向 10 万美元。”

ChainCatcher 消息，据慢雾（SlowMist）安全团队官方消息，近期发现并报告了一种新的套利 MEV 机器人诈骗方式，敦促所有用户避免点击未知链接或运行可疑代码。如果骗子声称代码是由 ChatGPT 生成的，用户可以使用 ChatGPT 或 Claude 之类的工具来查看代码并检查任何恶意行为。 据悉，近期许多用户为了追求被动收入使用 ChatGPT 相关套利机器人并投入资金，但在听从骗子的指示后发现资金被盗。用户应该保持警惕，仔细检查是否存在陷阱，并保护自己的资产不受损害。

ChainCatcher 消息，慢雾创始人余弦于 X 平台发文援引 ScamSniffer 官方推文消息表示，“TON 生态某钓鱼团伙准备关门了，理由是他们认为 TON 没有鲸鱼玩家，而且是个小社区。他们已经转向比特币生态了，过于现实。也可能是这个团伙不够聪明。”

ChainCatcher 消息，针对 EigenLayer 披露某投资人将代币转入托管地址的电子邮件遭恶意攻击者劫持安全事件，慢雾余弦在 X 平台发文分析称：“攻击者恐怕预谋挺久，攻击者地址最早先收到 1 EIGEN，隔了差不多 26 小时收到 1673644 EIGEN，都来自 3/5 多签地址。 接着，一个多小时后开始各种洗币。Gas 来自 ChangeNow，非法获取的 EIGEN 主要兑换成 USDC/USDT，并主要通过 HitBTC 等平台洗完。 攻击者得手原因据官方说法是“邮件被入侵”。估计是在邮件内容里，应该发送的预期接收 EIGEN 的钱包地址被替换成了攻击者地址，导致项目方将 EIGEN 打入了攻击者地址。哪怕是先打了 1 EIGEN，说不定攻击者收到 1 EIGEN 后，也给预期接收地址打了 1 EIGEN，导致预期接收者以为整个流程无误。当然这只是猜测，具体以官方披露为准。”

ChainCatcher 消息，据金十报道，9 月份非农就业数据显示，美国就业市场上月新增 25.4 万个就业岗位，美国股指期货走高。标准普尔 500 指数期货上涨 0.7%，高于数据公布前的 0.3%左右。交易员正在权衡报告中有关经济强劲的积极信号，以及就业强劲增长可能导致美联储放慢降息步伐的可能性。

ChainCatcher 消息，加密研究员 @LehmannLorenz 在 X 平台表示其电脑差点被入侵，只需点击一下就会安装恶意的扩展程序。该扩展程序背后的开发人员未经验证，但在发布一天之内就获得了 170 万次下载量（比任何其他扩展程序都多）和完美的 5/5 星评级。下载恶意扩展并提取其内容后，一切看起来都很正常 - 除了安装时运行的混淆的“extension.js”文件。日志文件显示脚本最终出现错误，攻击依赖 PowerShell 执行，完全在内存中运行，不会在磁盘上留下任何痕迹。 对此，慢雾余弦表示，这是供应链撒网攻击 Solidity 智能合约开发者。编辑器环境是供应链攻击的高危区。自己一直以来能隔离使用的都尽量隔离使用，能不安装的尽量不安装，确保“够用即可”原则。花里胡哨的都扔独立电脑或虚拟机里。

ChainCatcher 消息，公链 Zilliqa 发文称，已注意到 Zilliqa 主网的区块生产速度变慢，正在积极监测这一情况，并已暂停网络交易。可能需要进行恢复，Zilliqa 会很快对此做出决定。

ChainCatcher 消息，推特用户 @roffett_eth 发推称在 GMGN 网站的趋势列表中，有许多 ERC20 蜜罐代币。即使标注为“Everything is SAFU”，也请保持警惕，骗子尚未完成完整 Rug 过程。 慢雾创始人余弦回应表示，“验证了下，确实如此，貔貅土狗不少。而且不仅 GMGN 上不少，DEXTools、DEX Screener 也类似。隐蔽的貔貅盘，这些平台调用的第三方安全工具是不容易检测出来的。不过如果玩家聪明些，代码扔给 Claude/GPT，效果还是不错的。”

ChainCatcher 消息，慢雾余弦在 X 平台发文称，此前某用户在 Blast 上的 WETH 被钓鱼事件，有几个关键信息需要注意： Blast 上的 WETH 是 Blast 发行的 Blast's wrapped ETH token，合约可升级，支持 permit 离线授权签名； 以太坊主网上的 WETH 代码也就差不多 50 行，非常非常简洁靠谱，发行多少 WETH，就有多少 ETH 在合约里存着，没有 permit 这些花里胡哨的功能； 用户被钓鱼是因为 Inferno Drainer 支持了 Blast WETH permit 离线授权签名，钓鱼团伙研究的真是细节，细节决定了收益。

ChainCatcher 消息，美联储主席鲍威尔表示：“我们并没有设定任何固定的利率路径，将逐次召开会议来做出决策。如果经济保持稳健且通胀保持顽固，可能会更缓慢地调整政策。如果合适的话，我们可以加快或放慢降息的步伐，甚至选择暂停降息。”

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台表示，Anime 任务奖励网站的组件版本太低，似乎存在 SSRF 漏洞，并请官方进行升级。 此前消息，Azuki 推出动漫业务相关网站 anime.com，注册可加入候补名单，领取限量版收藏品。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台表示，最终经过分析，发现 Indodax 不是其热钱包私钥被黑客拿到，而是其他的系统受到攻击，如签名机之类。 此前消息，9 月 11 日 7 时，据 Cyvers Alerts 监测，Indodax 的钱包在不同网络上进行了超过 150 笔可疑交易，总损失约 1820 万美元，可疑地址正在将各种代币兑换为以太坊。

ChainCatcher 消息，慢雾创始人余弦表示，DAI L2 Deployer 私钥泄露，导致近期一些被部署 L2 DAI 合约地址是攻击者控制的“蜜罐”地址。 该地址在 Optimism 和 Arbitrum 上没有相关风险，但 Base 和 Polygon 网络合约不安全。主网 DAI 合约是安全的。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 在 X 平台表示，暗网一名漏洞售卖者声称正在出售 iOS RCE，漏洞据漏洞售卖者称，该漏洞不需要用户交互（0 Click）并且可以完全控制运行 iOS 17.xx 和 iOS 18.xx 的设备，目前暂时不能验证此漏洞是否真实可用，提醒大家请及时升级iOS系统。

ChainCatcher 消息，首席信息官 @im23pds 在社交媒体上发文表示，据其收到的针对加密货币从业者的攻击情报显示，近期出现假冒 Apple 官方骗取用户 iCloud 的新钓鱼方式，钓鱼者以"iPhone ID 出现错误，要求用户开启双重认证"为幌子，骗取用户 iCloud 账户，进而恢复账户或密钥，盗取用户资产。

ChainCatcher 消息，慢雾创始人余弦（@evilcos）在X平台上表示，Aquarius 官方 X 号被黑（有开 Google Authenticator 2FA 的前提下），攻击者已将其用户名、对应的邮箱及电话修改，且之前的用户名还被攻击者另一个 Spam 号接管。攻击者手法成熟老辣，提醒注意不要轻信问题账号发布的任何信息，直到明确恢复。即便后续恢复，用户同样要对一切信息保持警惕。