BTCPay Server 2.4.1 及更早版本热钱包被扫空：8 月的补丁，11 月才付账
11 月 1 日，多个自建 BTCPay Server 实例的热钱包被转走比特币与莱特币。官方调查确认攻击针对 2.4.1 及更早版本，用的是与 2.4.2 所修漏洞不同的利用方法。仅升级不足以清除攻击者已有权限，官方要求换服务器、换钱包、换种子。
区块链
Trezor Safe 5 被塞进蜂窝模块：屏幕上的助记词被直接发走
Trezor 10 月 30 日披露，一名印尼用户在其 Safe 5 中发现额外电路板：主板与屏幕之间加了一块带蜂窝模块和天线的板子，读取屏幕内容（含助记词）后经移动网络外发。设备购自已被摘牌的经销商 CryptoBilis。
币安热钱包流出 56 亿美元：EIP-7702 授权被滥用
10 月 29 日 20:24 UTC，币安多个热钱包在 40 分钟内被扫出约 56 亿美元资产，EIP-7702 委托授权被列为首要技术解释；Tether 与 Circle 已冻结超 23 亿美元稳定币。
Zod 4.6.6 曝 npm 供应链投毒：恶意 preinstall 借以太坊合约取指令
10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。
智能合约重入攻击防御实战：Slither 审计
智能合约重入攻击防御教程：以可复现的脆弱取款合约为例，用 Slither 定位重入风险、用 Foundry 攻击测试证明漏洞可利用，再按 CEI 顺序与 ReentrancyGuard 修复并接入 CI 回归，附完整合约代码。
MALFEX：8 个恶意 npm 包被下载 4 万次，投递 Overlord 远控
CloudSEK 与 Checkmarx 披露 MALFEX 供应链行动：8 个恶意 npm 包累计被下载 40,767 次，通过 postinstall 钩子投递 Overlord RAT 与 Node.js 窃密程序，其中 3 个包截至披露时仍在线。
Bitget 热钱包被盗 3.5 亿美元：伪造转账绕开授权
加密交易所 Bitget 确认 9 月 24 日热钱包与温钱包遭未授权转出 3.516 亿美元，共 19 笔交易。私钥未被窃，攻击者入侵钱包后端系统伪造转账数据后触发平台自身授权流程。交易所指向朝鲜黑客，用户保护基金 4.64 亿美元覆盖损失。
ChainScript 木马借 ClickFix 投递，用区块链合约轮换 C2 服务器
Blackpoint 披露新型 Node.js 远控木马 ChainScript：借 ClickFix 诱骗用户运行伪装成 Spotify 的 MSI 安装包，并通过 Polygon 智能合约动态解析 WebSocket C2 地址，封一台换一台，规避基于固定域名与 IP 的封禁。
HBO Max 官方 Reddit 账号被劫持：48 小时 108 条广告传播 ClickFix 木马
HBO Max 官方验证账号 u/hbomax 被劫持，攻击者利用其投放 108 条恶意广告，以虚假 macOS 版 HBO Max 应用诱导用户把命令粘贴进终端，投递信息窃取程序与加密货币剪切器。该活动被命名为 PasteSwitch。
EtherHiding+ClickFix 大规模投递：5400 个中小企业站点被植入区块链载荷
Netskope 威胁实验室披露，超过 5400 个中小企业网站被攻陷并用于投递 ClickFix 载荷，恶意配置存放在 BNB 智能链合约中，新变种改走 WebRTC 数据通道建立加密隐蔽 C2，几乎不留磁盘痕迹。