安全事件

Zcash 计划于 2026 年 7 月 21 日激活 Ironwood 主网，此前将封闭 Orchard 隐私池。此次升级是为了回应安全研究员 Taylor Hornby 于 5 月 29 日在 Orchard 椭圆曲线代码中发现的一个可靠性缺陷，该缺陷自 2022 年 5 月该池上线以来一直存在。Ironwood 将开辟一个新的基于修补后电路构建的隐私池，同时阻止向旧 Orchard 池的新存款，使全节点能够在不依赖开发者保证的情况下验证总供应量。ZEC 于 7 月 4 日交易价格为 462.33 美元，七天内上涨 13.3%，过去一年上涨超过 1000%，从漏洞披露后 50% 的跌幅中反弹。这个注重隐私的加密货币网络要求节点运营者在 7 月 21 日主网启动前迁移至 Zebra 或更新客户端。 安全研究员于 5 月 29 日发现 Orchard 池缺陷 泰勒·霍恩比（Taylor Hornby）受 Shielded Labs 合同委托，于 5 月 29 日在 Orchard 隐私池的椭圆曲线代码中发现了这一可靠性缺陷。该漏洞存在于处理点乘法的 halo2gadgets crate

根据 Hinkal 的说法，攻击者近日从协议以太坊智能合约中提取了约 79.7 万 USDC，并将其兑换为约 454 ETH。其中约 410 ETH 被转移至 Tornado Cash，剩余 44.67 ETH 则通过 THORChain 跨链至比特币。 Hinkal 正在与外部安全团队协调追踪被盗资金。该协议承诺将全额赔偿受影响的用户。

据《纽约时报》报道，截至 6 月底，近 100 万名投资者在特朗普概念代币中合计损失 38.1 亿美元。加密分析公司 Nansen 发现，底层代币机制通过交易费分配让特朗普能从价格上涨和下跌中获利。这些通过其 Truth Social 平台推广的代币包括 TRUMP 和 WLFI，两者自上线以来均经历了大幅价格下跌。

据 Onchain Lens 监测，攻击 UXLINK 的黑客用 1054 万 DAI 购买了 6,001 ETH，并将这些 ETH 转移至 Tornado Cash。

根据 Onchain Lens 的数据，UXLINK 黑客将 1054 万美元的 DAI 兑换成 6,001 个 ETH，均价为 1757 美元。随后黑客将这些 ETH 转移至 Tornado Cash。

据比利时当局称，一名19岁男子于周四在安特卫普被捕，调查始于2026年3月，涉及一个欧洲钓鱼和洗钱网络。嫌疑人涉嫌策划攻击，通过虚假政府通信和远程访问软件诱骗受害者安装恶意软件，窃取超过50万欧元（约57.2万美元）。现场还拘留了另一名嫌疑人。当局称，该团伙通过加密货币清洗被盗资金，作为涉及钱骡和现金携带者的更广泛的套现链的一部分。

据 Blockmedia 和行业消息来源报道，由超过 140 家公司支持的 OUSD 稳定币背后的财团 Open Standard 面临未经正式批准就将合作公司列入名单的指控。三星电子、新韩银行、Dunamu 和 K Bank 否认签署过协议或同意被纳入为财团成员，三星表示没有进行过正式讨论。Tether 顾问 Gabor Gurbacs 和 The Big Whale 首席执行官 Raphaël Bloch 证实，这些公司告诉他们从未同意参与。Circle 首席执行官 Jeremy Allaire 批评了这一声明，称“诚信至关重要”。OUSD 项目预计将于今年晚些时候推出。

据彭博社报道，7月3日，Spotify要求预测市场平台Kalshi和Polymarket移除其标识，并澄清双方不存在合作关系。此举源于Spotify发现用于结算预测市场合约的歌曲榜单存在人为操纵行为。 Spotify识别并删除了超过50万次异常播放，这些播放曾人为将一首歌曲推向美国榜单榜首。该虚假流媒体数据随后被用于结算Kalshi关于6月美国播放量最高歌曲的预测市场合约，该合约累计交易额约300万美元。

DeFi 隐私协议 Hinkal 于 7 月 3 日遭到智能合约漏洞攻击，损失约 82 万美元 USDC。区块链安全公司 CertiK 率先侦测到攻击，指出攻击者使用外部账户，在执行无存款证明操作后对 Hinkal 智能合约进行多笔存款，提取 USDC。被盗资金被兑换为以太坊，其中 410 枚 ETH 涉入洗钱。 CertiK：攻击者透过「无存款证明」漏洞从 Hinkal 智能合约提取 USDC 根据 CertiK 在 X 上的安全报告，攻击者使用外部账户（EOA）地址 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20，在执行 CertiK 所称的「无存款证明」（no proof of deposit）操作后，向 Hinkal 的智能合约执行了一系列存款操作，无需提供有效的存款证明即可提取 USDC。 CertiK 报告的被盗金额逾 80 万美元；链上调查员 Specter 的分析（经 PeckShield 援引）显示，Hinkal 实际损失约 82 万美元。 被盗资金洗钱路径：USDC 兑换为 ETH 后透过 Tornado Cash 与 Thor

据彭博社报道，Spotify 于 7 月 3 日从 Malcolm Todd 的一首歌曲中删除了超过 50 万次人工播放，此前发现播放量操纵与 Kalshi 预测市场的投注活动有关。该市场吸引了 300 万美元的交易量，参与者押注哪首歌将在 6 月登顶美国 Spotify 流媒体榜单。Kalshi 基于被操纵的数据宣布 Todd 获胜并结算了赌注，而 Spotify 随后才发现问题。举报可疑活动的交易员 Caleb Davies 损失了 4500 美元，并批评 Kalshi 反应迟缓。Spotify 要求 Kalshi 和 Polymarket 移除其品牌标识，并澄清与平台无合作关系。Spotify 表示不会为人工播放支付版税。

据 CertiK Alert 监测，去中心化隐私协议 Hinkal 于 7 月 3 日遭遇盗窃，其智能合约中约 80 万 USDC 被盗。一个 EOA 地址（0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20）在“无证明存款”操作后执行了多笔可疑交易，通过一系列“Transact”调用将资金转移。

据乌克兰总检察长办公室在Telegram上发布的声明，近期已将从涉嫌国际黑客组织成员处扣押的超过830万USDT转移至国家资产追回钱包。四名嫌疑人（包括组织者）已被拘留，扣押总资产达1110万美元，包括房产、车辆、100万美元现金及加密货币。该黑客组织以欧洲和美国为目标，窃取机密数据并勒索赎金，造成超过1亿美元的损失。

根据法国内政部长 Laurent Nuñez 的说法，法国在2026年迄今记录了77起与加密领域相关的绑架、劫持、勒索或未遂绑架案件，较2025年全年的45起大幅上升。在数字资产持有者协会主办的一场活动中，Nuñez 宣布了一项扩大安全倡议，以打击针对加密货币专业人士的暴力犯罪。执法部门今年在加密相关攻击期间或之前已逮捕了200人，目前有724名加密货币专业人士在该部的即时识别平台上注册，较去年增长11%。这一行动是在2025年初发生多起高调攻击之后采取的，其中包括 Ledger 联合创始人 David Balland 被绑架事件。

据美国司法部消息，19岁的美国-爱沙尼亚双重国籍公民Peter Stokes因涉嫌网络犯罪组织Scattered Spider被从芬兰引渡至美国，并于7月1日在芝加哥联邦法院首次出庭。芬兰当局于2026年4月依据国际刑警组织红色通缉令逮捕Stokes，并于6月将其引渡至美国。 联邦检察官指控Stokes属于一个黑客团伙，该团伙实施了超过100次网络入侵，勒索了超过1亿美元的加密货币赎金。他被指控犯有共谋、计算机入侵和欺诈等罪行。其中一次涉嫌攻击发生在2025年5月，目标是一家奢侈珠宝零售商，共谋者要求支付约800万美元的加密货币，但该公司在未支付任何款项前就击退了攻击者。

7 月 2 日，法国内政部长 Laurent Nuñez 承诺了一项“更雄心勃勃”的三部分计划，以加强针对加密货币领域的安全措施，因为针对该行业的扳手攻击已达 77 起。

据Cointelegraph报道，法国内政部长Laurent Nuñez证实，2026年上半年该国记录了77起与加密货币相关的绑架案，几乎是2025年全年45起案件的两倍。Nuñez承诺推出一项三部分计划加强安全措施，包括加强情报共享、深化与行业伙伴的合作以及改善安全机构间的协调。当局已部署了一个拥有724名注册用户的快速警报系统，并通过紧急措施逮捕了200人。

据 Foresight News 报道，Cardano 钱包提供商 SecondFi 于 7 月 2 日推出资产恢复钱包检查工具，允许用户初步检查其钱包是否受到安全事件影响。该公司指出，当前显示的地址基于 SecondFi 对安全事件的初步审查，可能不代表完整或最终名单。