安全事件

Risk Labs 的 Solana 中繼器（relayer）在 2026 年 7 月 17 日遭遇約 450 萬美元的損失：攻擊者利用 offchain（非鏈上）事件解析程式碼中缺少 8-byte 檢查，偽造了 1,627 個從未在鏈上發生的存款事件。該弱點使總面值約 4,170 萬美元的詐欺性提現請求得以成立，其中 581 筆在團隊停用 Solana 路由並於偵測後 5 小時內部署修復之前已被填入。由於 Across 的運作方式是意圖協定（intents protocol），中繼器會先墊付自己的資本而不是動用共享的使用者託管資金，因此沒有使用者資金遭到損失或風險，整體財務影響被限定在 Risk Labs 的營運準備金內。 缺少區分碼檢查使偽造的存款事件得以啟用 該弱點存在於 Risk Labs 中繼器的 SvmCpiEventsClient 元件中；它接受任何透過其 eventauthority PDA 對 SpokePool 合約發出的內部指令，並將其視為真實事件，而未驗證 8-byte Anchor 事件區分碼。攻擊者部署了一個封裝（wrapper）程式，用它呼叫一個無害的唯讀

2026 年 7 月 17 日，一名攻擊者利用 Risk Labs 的 offchain Solana 中繼程式碼中缺失的 8-byte discriminator 檢查，偽造存款事件並從該中繼方資金中竊取約 450 萬美元（$4.5 million）。攻擊者提交了 1,627 筆偽造存款，面值合計約 4,170 萬美元（$41.7 million），分布於 18 條目的地鏈；在 Solana 被停用之前，中繼方共處理了 581 筆。沒有用戶資金遺失或承擔風險；所有真實的轉帳都在當天完成或已獲退款。Risk Labs 在 5 小時內部署根因修復，並透過啟用備援的 CCTP 路由在約 12 小時內恢復完整的 Solana 服務。

Lien Finance 因其債券代幣交易邏輯中的漏洞而損失約 542,000 USDC。攻擊者利用了協議的 BondMakerCollateralizedEth 合約缺陷，使其能夠建立未受擔保的資產，並進一步抽走流動性。慢霧（SlowMist）的安全研究人員表示，該漏洞使得可鑄造新的代幣，並在不銷毀對應債券代幣的情況下，將其兌換為真實的流動性。此次事件發生於 7 月，當時多個去中心化金融（DeFi）協議相繼爆出安全漏洞，總計造成數百萬美元損失。 攻擊者濫用債券合約中的 exchangeEquivalentBonds 函式 慢霧（SlowMist）指出，這次攻擊針對的是 Lien Finance 的債券交易機制。攻擊者在 BondMakerCollateralizedEth 合約中使用 exchangeEquivalentBonds 函式，在不銷毀輸入債券的前提下建立債券代幣，隨後再將其兌換為 USDC。這導致約 542,144.63 USDC 被提領。慢霧表示，攻擊發生的原因在於交換過程中債券群組未被充分驗證。攻擊者所使用的錢包地址被識別為 0x0d7d…1808a。 慢霧（Slow

根據區塊鏈安全公司慢霧（SlowMist）的說法，Lien Finance 在 7 月因其債券代幣交易邏輯的漏洞而損失了約 54.2 萬美元的 USDC。攻擊者利用 BondMakerCollateralizedEth 合約中的 exchangeEquivalentBonds 函數，在未銷毀輸入債券的情況下鑄造債券代幣，接著再將其兌換為真正的 USDC 流動性。慢霧表示，該攻擊之所以可行，是因為債券群組在交易過程中缺乏足夠的驗證。由 DefimonAlerts 進行的鏈上分析顯示，攻擊者透過該協議註冊了惡意債券，並將其導向 Lien Finance 的 OTC 池，以換取實際流動性。攻擊者的錢包已被識別為 0x0d7d…1808a。

泰國證券交易委員會（SEC）就 2021 年 5 月一次網路攻擊相關的虛假揭露，對數位資產交易所 Bitkub Online 及兩名前董事提出刑事指控。SEC 表示，該次攻擊導致遭竊 16 項數位資產，價值約 5000 萬美元（約 17 億泰銖）。Bitkub 於 2021 年 10 月 31 日前已歸還遭竊資產，但未能在當年 5 月 10 日至 10 月 30 日期間提交的每日淨流動資本報告中，正確反映資產減少的情況。Bitkub 透過 X（原 Twitter）回應稱，本案源於在網路攻擊後作出的揭露決策，而非詐欺，且延遲揭露是為了避免擠兌。交易所表示，其共同創辦人已購買相當的數位資產以補足遭竊資金，且公司與客戶皆未遭受財務損失。

根據 SlowMist，去中心化金融（DeFi）協議 Lien Finance 於 7 月 24 日遭到攻擊，攻擊者利用智能合約漏洞竊取約 542,144 USDC（約 542,000 美元）。攻擊者繞過債券贖回驗證邏輯，鑄造未受保障的 BondTokens，而未銷毀對應的輸入債券，接著透過預先授權的地址將代幣兌換為 USDC。該漏洞源於債券代幣交換機制中的驗證不足，使攻擊者得以規避抵押品限制。

根據美國一宗法庭案件的證據，區塊鏈分析已揭露與湖北 Amarvel Biotech 相關的四個加密貨幣錢包；該公司是中國芬太尼走私組織，從日本名古屋運作。公司高層在 2025 年被關押，原因是調查人員發現該網絡使用數位資產接收來自墨西哥毒梟集團、用於芬太尼前驅化學品的付款，並將資金在國際間轉移。這些調查結果也加劇了對日本作為全球芬太尼走私「轉運樞紐」角色的審視；顯示這些錢包與超過 120 筆涉及受美國制裁實體的交易存在連結，並疑似涉及金融詐欺活動。 區塊鏈分析揭露與 Amarvel 行動相關的四個錢包 這四個數位錢包是透過美國針對湖北 Amarvel Biotech 案件所提供的法院證據而被辨識出來的。調查人員認定該公司在名古屋運作，並從墨西哥毒梟集團與其他購買芬太尼前驅化學品的客戶收取加密貨幣款項。根據分析，該行動也使用數位資產在內外部移動資金。 其中一個被辨識的 Tron 錢包顯示，透過涉及詐騙加密貨幣代幣的轉帳，與疑似金融詐欺存在關聯。調查人員發現該行動與一個日本網域、與中國河北省相關的線上別名及企業之間存在連結。根據記錄，Amarvel 於 2022 年 9 月在名古屋建立其基

根據基於區塊鏈的法院證據分析，調查人員辨識出四個與一個在日本名古屋運作、始於 2022 年 9 月的中國芬太尼販運組織相關的數位錢包。這些錢包顯示，與美國當局所制裁的實體之間發生了超過 120 次加密貨幣互動。當局發現該行動收到了來自墨西哥毒梟的加密貨幣付款；這些毒梟用來購買芬太尼前驅化學品，並追查了與遭制裁的中國國民夏鳳兵相關的資金轉移。這些發現凸顯日本作為全球走私路線中轉樞紐的角色，也凸顯當局在追蹤以加密貨幣為基礎的犯罪網絡時所面臨的挑戰。

根據鏈上數據以及區塊鏈偵探 ZachXBT 的調查，加密貨幣竊盜嫌疑人 Dritan Kapllani Jr 於 7 月 22 日轉移了 126.7 ETH，價值約 23.9 萬美元。Kapllani Jr 被懷疑使用社交工程手法竊取加密貨幣資產，總損失已達 1,900 萬美元。先前的調查顯示，於 2026 年 4 月 23 日的一次 Discord 通話中，他曾公開展示其 Exodus 錢包內價值 368 萬美元的資產。

7月23日數小時內發生四起攻擊，涉 AFX Trade、Verus、B² Network 與 Balance，合計損失逾3500萬美元。AFX Trade 跨鏈橋私鑰外洩損失約2400萬；Verus 因橋接邏輯漏洞再度被利用，損失約754萬；B² Network 損失約386萬；Balance 約100萬，BTC 金庫被抽乾。Verus 同漏洞再度被利用；B² Network 表示暫停質押並承諾全額補償。

Robinhood 執行長 Vlad Tenev 的 X 帳號於 7 月 24 日遭不明人士入侵，推出名為「VLAD」的迷因幣，20 分鐘內吸引超過 17.5 萬次瀏覽。鏈上資料機構 Onchain Lens 率先發現異常並披露，Robinhood Chain 區塊鏈瀏覽器隨後將該代幣的合約地址標記為詐騙。