Gate 新闻消息，4 月 29 日——去中心化预测市场平台 Polymarket 似乎遭遇了数据泄露，威胁行为者 xorcat 在已知的网络犯罪论坛上发布了超过 300,000 条数据记录以及配套的利用工具。根据报道，攻击者利用了 Polymarket 的 Gamma 和 CLOB API 中未披露的 API 端点、分页绕过以及 CORS 配置错误来提取数据。 泄露的数据包括 10,000 名用户的完整个人信息 姓名、代理钱包以及基础地址、4,111 条评论、1,000 条举报记录 其中包含 58 个 ETH 地址以及管理员身份验证标识、48,536 条 Gamma 市场元数据条目、超过 250,000 个活跃 CLOB 市场自动做市商地址，以及 9,000 个关注者社交图谱数据点。 利用工具包包含多个漏洞的概念验证代码：CVE-2025-62718 Axios NO_PROXY 绕过，CVSS 9.9，可实现服务器端请求伪造，CVE-2024-51479 Next.js 中间件身份验证绕过，CVSS 7.5，以及 CORS 配置错误。该软件包还包含自动化的数据提取脚本以及完整的红队评估报告。

Gate 新闻消息，4月28日——Red Hat 首席软件工程师 Sally O'Malley 已发布 Tank OS，这是一款开源工具，可将 OpenClaw（一个用于部署 AI 代理的软件平台）打包为安全、可启动的系统镜像。每个 OpenClaw 实例都会在隔离容器中运行，使用 Podman (a，这是一种 Red Hat 容器工具，它在不具备管理员权限的情况下运行，从而防止任何实例访问宿主机或其他代理。API 密钥会按每个实例分别存储，确保凭证隔离。 该工具直面代理式 AI 领域中的关键安全顾虑。1 月下旬，安全研究人员 Mav Levin 披露了 CVE-2026-25253，这是一处严重性评分为 10 分中 8.8 分的漏洞，允许攻击者通过访问单个恶意网页窃取登录凭证，并获得对整台计算机的完全控制。在发布修复程序之前，该漏洞已影响超过 17,500 个实例。此外，安全审计发现，ClawHub 插件中有 12–20% 被标记为恶意。 Tank OS 现已在 github.com/LobsterTrap/tank-os 上提供。O'Malley 作为 OpenClaw 的维护者，在设计该工具时兼顾了企业级加固，并以 Red Hat 的 Linux 生态系统为导向。

安全研究员朴度妍（Doyeon Park）披露了 Cosmos 的 CometBFT 中一个 CVSS 7.1 的零日漏洞，可能在同步期间导致节点冻结；厂商的抵制、降级以及披露最终促成了 4 月 21 日的揭露；验证者应在修复补丁发布前避免重启。 摘要：安全研究员朴度妍（Doyeon Park）披露了 Cosmos 的 CometBFT 共识层中一项关键的 CVSS 7.1 零日漏洞，该漏洞可能导致节点在区块同步时冻结，从而潜在影响为 $8 billion 以上资产提供安全保障的网络。该漏洞无法直接窃取资金。Park 从 2 月 22 日开始推动协调披露，但遭遇厂商对公开披露的抵制以及与 HackerOne 相关的问题。厂商于 3 月 6 日将相关漏洞 (CVE-2025-24371) 降级为信息级别（informational），促使 Park 在 4 月 21 日公开披露前先发布了网络层面的概念验证（proof-of-concept）。公告建议 Cosmos 验证者在发布补丁前避免重启节点；已经处于共识中的节点可能继续运行，但重启并进入同步可能使其遭受恶意对等方的攻击，进而带来死锁风险。

慢雾团队研究员发现Anthropic的Claude Code中存在提权与命令执行漏洞CVE-2025-64755，攻击者可未授权执行命令，相关PoC已公开，且黑客已利用此漏洞攻击加密用户。

近期，React 服务器组件中披露的一项高危安全漏洞正引发行业高度警惕。该漏洞被编号为 CVE-2025-55182，又被称为 React2Shell，已被多个威胁组织实际利用，波及包括加密货币平台在内的数千个网站，用户资产安全面临直接风险。 该漏洞允许攻击者在无需身份验证的情况下，对受影响服务器执行远程代码。React 官方于 12 月 3 日公开披露该问题，并将其严重等级评为最高级别。随后，谷歌威胁情报小组（GTIG）确认，该漏洞已在真实环境中被快速武器化，既包括以牟利为目的的黑客，也疑似存在国家支持的攻击行为，目标集中在云端部署、尚未修复的 React 和 Next.js 应用。

近期，一类针对加密货币用户的前端攻击正在快速蔓延。据网络安全非营利组织安全联盟（SEAL）披露，黑客正利用开源前端 JavaScript 库 React 中的新发现漏洞，在合法网站中植入加密货币窃取程序，相关攻击案例显著增加。 React 是当前最主流的 Web 前端框架之一，被广泛用于构建各类网站和 Web 应用。12 月 3 日，React 官方披露，由白帽黑客 Lachlan Davidson 发现了一个严重安全漏洞，编号为 CVE-2025-55182。该漏洞允许未经身份验证的远程代码执行，攻击者可借此在网站前端注入并运行恶意代码。