同时关联该项目与事件的快讯
Humility Protocol 在 X 平台发布安全事件更新，其中指出昨日 H 代币在以太坊和 BSC 链上遭遇协同攻击，目前确认已有超过 3600 万美元资产被盗并遭抛售。初步调查显示，此次事件源于一名员工的电脑被攻破，导致控制 Hyperlane Bridge ProxyAdmin 的多重签名钱包密钥泄露。其中，攻击者获取以太坊链上 Gnosis Safe 6 个持有者中的 3 个私钥，将 ProxyAdmin 所有权转移至其控制的钱包，并将桥接合约升级为恶意实现，随后通过单笔交易转移约 1.412 亿枚 H 代币。与此同时，攻击者还控制了 BSC 链上 Safe 钱包 5 个持有者中的 3 个私钥，以相同方式接管 ProxyAdmin，并部署具备无限增发功能的恶意合约，分两次向自身钱包增发 2 亿枚 H 代币。Humility 表示，已暂停受影响桥接服务的所有存取款操作并正与交易所等相关合作方协作以减少损失，同时正配合警方展开调查，并尝试追回部分被盗资金。
据链上分析师余烬监测，"私钥泄露" 让 H 的增发与抛售已经长达 13 个小时，所谓的 "黑客" 仍能在 BSC 链上增发 H 并抛售。目前"黑客" 已经增发 3 亿枚 H，并共计抛售了约 4.5 亿枚套现 3400 万美元 (ETH+BNB)。H 在 BSC 上的池子也被掏的只剩 13 美元的流动性，H 价格已经下跌 99.9% 到 0.0009 美元。而 CEX 里永续合约价格则是 0.09 美元，价差 100 倍。本质上已经脱锚成两个不相关的币。
据 Lookonchain 监测，Humanity 黑客于 BSC 链上额外铸造 1 亿枚 H 代币。该黑客已通过出售 H 代币获得 18,510 枚 ETH（价值 3083 万美元）及 1548 枚 BNB（价值 92.4 万美元）。该黑客目前仍持有 1.1136 亿枚 H 代币（价值 1400 万美元）待出售。当前链上流动性已接近耗尽。
据 Specter（@SpecterAnalyst） 监测，Humanity Protocol 已遭黑客攻击，损失超过 3,100 万美元。目前资金转移仍在进行，攻击者正将 H 兑换为 ETH 。
据 Onchain Lens 监测，Humanity Protocol 遭黑客攻击，损失超 3100 万美元。资金流失仍在持续，黑客正将 H 兑换为 ETH。
6 月 9 日消息，BitMEX 联合创始人 Arthur Hayes 在最新文章"Reality Test"中表示，若油价因美伊冲突持续走高，可能触发 AI 股票泡沫破裂，并拖累整个加密市场下行。Hayes 表示，若霍尔木兹海峡交通受限持续至二季度深处，三季度可能出现碳氢能源和其他关键大宗商品现货价格上涨。若油价继续上涨、通胀压力影响美国中期选举，特朗普可能转向针对数据中心建设和 AI 监管、税收的强硬表态。Hayes 认为，市场可能相信特朗普将限制 AI 资本开支并向 AI 公司征税，从而引发 AI 股票泡沫破裂。Hayes 还表示，自 2022 年 11 月以来，AI 相关债务发行规模约为 1.5 万亿美元，同期美国 M2 也增加约 1.5 万亿美元。其认为，刺破 AI 泡沫的三项因素包括能源成本上升、市场无法吸收 SpaceX、Anthropic 和 OpenAI 三大 AI 相关 IPO，以及特朗普转向反对 AI。投资组合方面，Hayes 表示，Maelstrom 股票组合持有大量美国上市能源生产商仓位；其已卖出 AI 相关股票，并抛售非核心加密资产，上周已抛售 HYPE、NEAR 和 WLD，同时因 Orchard Pool 漏洞抛售 ZEC。其仍持有比特币和 ETH，并将通过衍生品进行战术性做空交易。
今年 4 月，KelpDAO 的 LayerZero 桥遭遇 2.92 亿美元漏洞攻击，引发 Aave 48 小时内 84.5 亿美元存款挤兑，成为迄今最大去中心化金融（DeFi）资金外流事件。Aave 创始人 Stani Kulechov 表示，Aave V3 的设计经受住了市场考验，是网络“韧性”的体现。然而，独立数据表明，Aave 的幸存主要依赖 3 亿美元紧急救援，其中包括 Aave DAO 25,000 ETH 担保和 Kulechov 个人 5,000 ETH（约 840 万美元）注资。Kulechov 将漏洞责任归咎于第三方基础设施，而非核心智能合约，但分析师指出，此次事件暴露了 Aave 风险架构和保险机制不足，导致平台承受巨额坏账（约 1.237 亿美元 wETH）。为防止未来桥接失败引发系统性挤兑，Aave V4 将采用模块化“枢纽-辐射”架构，实现局部风险自动调节和担保冻结。（CoinDesk）
据 Lookonchain 监测，6 小时前，Pando Rings 黑客 (0x303...3d9F) 花费 1000 万枚 DAI 以 1602 美元均价买入 6243 枚 ETH。
据链上安全机构 CertiK（@CertiKAlert）监测，Gravity Bridge 攻击者近日再度向 Tornado Cash 存入 1180枚 ETH（约 206 万美元）。 此前于 5月 30 日，攻击者通过伪造 Osmosis 代币字符串、利用 permissionless deployERC20()函数篡改代币注册表，将虚假余额映射至真实托管资产，从而从 Gravity Bridge 盗取约 2600枚 ETH（约 540 万美元）。目前，被盗资产中 2020枚 ETH 已通过两个 EOA 地址转入 Tornado Cash，其余部分已分散转移至中心化交易所，资金追回难度较大。
据链上分析师 PeckShield（@PeckShieldAlert）监测，约 19 小时前，BNB Chain 上的 TesseraDao（@TesseraDao）遭受攻击，黑客恶意铸造 9900 万枚 TSR 并随即抛售，导致 TSR 价格暴跌 99%。攻击者随后将所得 TSR 兑换为约 250 万美元 USDT，并将资金跨链转移至以太坊，目前已通过 TornadoCash 完成 1,285.5 枚 ETH 的洗钱操作。
据 The Block 报道，DeFi 借贷协议 Radiant Capital 宣布将正式关闭运营。该协议于 2024 年 10 月遭遇黑客攻击，损失约 5100 万美元，攻击者通过在 Arbitrum 和 BNB Chain 上部署后门合约获取未授权访问权限。此前，该协议在 2024 年初还曾遭受闪电贷攻击，损失约 1900 枚 ETH（约 450 万美元）。 经过 18 个月的恢复尝试，Radiant Capital 表示既未能追回大量被盗资金，也未能成功融资，"DAO 已无可行的前进路径"。目前协议将进入"维护状态"，前端及智能合约保持可访问，用户仍可进行提款、还款及仓位管理操作，若后续追回任何资金将返还给受影响用户。
据 The Block 报道，安全研究员 Florent 利用白帽漏洞成功解锁了 2016年 HongCoin ICO 合约中被锁定近十年的约 1,003枚 ETH（价值约 200 万美元）。该合约因旧版 Solidity 语言缺乏溢出保护，导致退款功能长期失效。Florent与 HongCoin 团队合作，通过管理员函数重置持仓余额完成解锁，整个过程历时约一周。目前 48 名原始投资者可申领解冻资金，已有两人共领取 96.5枚 ETH，并自愿向 Florent 支付白帽奖励。Florent 表示，此次解锁纯属技术探索，未收取任何费用或佣金。
Aave 发布 4 月 18 日 rsETH 事件事后调查称，流动性质押协议 Kelp 的 rsETH LayerZero V2 跨链桥在 Unichain 至 Ethereum 跨链过程中接受伪造消息，导致 Ethereum 侧适配器释放 11.65 万枚 rsETH，而 Unichain 侧未发生对应销毁。Aave 表示，攻击发生于第三方跨链桥基础设施，但攻击者将被盗 rsETH 存入 8 个 Aave V3 仓位，并借出 8.265 万枚 WETH 和 821 枚 wstETH，导致 Aave 市场受影响。Aave 称，目前攻击者在 Arbitrum 上的 rsETH 已被销毁，LayerZero OFT 适配器已分 5 批补入 11.613172 万枚 rsETH，rsETH 资产支持已完全恢复，受影响 WETH 与 rsETH 市场已恢复正常。
Blockaid 在 X 平台发文披露，Alephium TokenBridge 以太坊跨链桥遭遇攻击。攻击者通过控制 4 个 Guardian 密钥中的 3 个，伪造 VAA（验证授权消息）并在约 7 分钟内完成攻击，共窃取约 81.5 万美元资产。攻击过程中，攻击者凭空铸造 1376 万枚封装 ALPH（Wrapped ALPH），超过攻击前流通供应量的 100%，同时从托管池中解锁并转出 USDT、USDC、WBTC 和 WETH 等资产。目前，攻击者地址仍持有约 81.5 万美元被盗资产及 1376 万枚无抵押支持的封装 ALPH，其中最大一笔异常交易为凭空铸造 1376 万枚封装 ALPH。
SUPERFORTUNE AI 发布 24 小时调查更新称， 5 月 27 日 GUA 安全事件并非此前怀疑的地址污染，而是多签签名者私钥遭泄露。攻击者随后伪造了指向恶意地址的有效签名，并利用与正确地址前 4 位和后 4 位相同的“靓号地址”特征误导其余签名者在 Safe 界面完成签署。
据链上分析师 PeckShield（@PeckShieldAlert）监测，Arbitrum 网络上的 StakeDAO（@StakeDAOHQ）遭遇无限铸造漏洞攻击，攻击者共铸造 5.4 万亿枚 vsdCRV，随后将部分代币兑换为 43.781 枚 ETH（约 9.12 万美元），并将资金跨链桥接至以太坊地址 0xeF3C...aa25。
链上数据显示，StakeDAO 部署者私钥在 Arbitrum 上遭泄露，攻击者铸造约 5.45 万亿枚 vsdCRV 部分兑换为 43.7 枚 ETH。
据 Cointelegraph 报道，Google 搜索中出现假冒去中心化交易协议 Uniswap 的钓鱼广告，已使攻击者至少获利 40 万美元。链上分析师b-block表示，相关仿冒网站正从多个钱包中转走资金，涉事地址目前合计持有 146 枚 ETH，按发稿时约值 30.6 万美元。Security Alliance（ SEAL ）称，此类 Google 假广告是常见钓鱼攻击来源，攻击者会通过付费投放或入侵合法广告账户，在搜索赞助结果中冒充热门加密协议。SEAL 还表示， 3 月 13 日至 30 日期间，此类攻击共造成 127 万美元损失。
慢雾创始人余弦在 X 平台发文解读 Squid 安全事件，他表示抽样发现相关 Safe 钱包都是单签，owner 也都不一样，但问题不在私钥，问题在这些 Safe 地址用到的如图模块（SquidRouterModule）存在漏洞，攻击者可以伪造消息，轻易绕过相关验证，发起后续的兑换操作，将目标 Safe 钱包里的资金转移走，此外余弦还公布了攻击者获利沉淀地址信息。此前消息，某第三方 Gnosis Safe 模块在 Base 和以太坊上被利用，造成约 320 万美元损失，受害者为将该合约添加为受信任 Safe Module 的86个 Gnosis Safe。该合约在 Basescan 上名为 “SquidRouterModule”，随后 Squid 澄清未受 Gnosis Safe 相关漏洞事件影响。
Squid在 X 平台发文表示，此次事件与 Squid 核心协议及合约无关，所有 Squid 用户及集成方均未受影响，无需采取任何行动。今日 Base 与 Ethereum 网络上一个第三方 Gnosis Safe 模块遭到攻击，损失约 320 万美元。该漏洞合约在 Basescan 上验证名称为"SquidRouterModule"，但该合约并非由 Squid 构建、部署或运营，而是一个选择集成 Squid 及其他协议的第三方智能钱包产品，且与 Squid 无联系。攻击原理为该第三方模块接受调用者提供的常量字符串作为消息安全证明，该字符串在已验证合约代码中公开可见，攻击者输入后即可执行任意 calldata 数组，随意窃取资金。受害者的 Safe 钱包将该问题合约添加为受信任 Safe Module，使该合约无需签名即可支配 Safe 内任意代币。Squid 自有路由合约 (0xce16...D666) 架构不同，未受影响，Squid 用户资金、授权及集成均完全安全。早期公开报道或因 Basescan 上的合约验证名称提及"SquidRouter"，准确表述应为：第三方 SquidRouterModule 遭攻击，而非 Squid 的 Router 合约。该合约名称与 Squid 相同，但非 Squid 代码。Squid 正持续监控事态，如有重大变化将更新信息。