安全研究团队 Socket 在 Chrome Web Store 发现 108 款恶意扩展程序，用来劫持用户的谷歌账户信息、Telegram 会话、插入广告等等。 这些扩展程序看起来毫无关联但都使用相同的 C2 服务器，目前 Socket 已经向谷歌通报但谷歌还未删除这些扩展程序。 查看详情：

🎮社交金融 当社交信号（Social Signal）能直接触发链上执行，当代币发射能被「编程」设计，Web3 社交才真正开始释放其独有的金融爆发力。 Dapital @trydapital 【核心】： 将社交信号与链上执行无缝融合的 DeFi 交易体验。 很多人第一次注意到一个资产，其实不是因为研究报告，而是先在社区里看到别人讨论。Dapital 做的就是把这种社交发现直接变成原生的 DeFi 交易体验。社交信号和链上执行融合进同一个产品里，让观点、讨论、跟单和组合展示都在一个带有金融属性的社交网络中完成，真正让信息流同时变成资金流。 Flap @flapdotsh 官推 XHunt 排名：9231 【核心】： 支持社区激励与后续运营的“可编程”代币发射平台。 Flap 的定位是可编程代币发射基础设施，简单说就是让创作者、社区和项目方可以更灵活地发行、交易和运营自己的 token。Flap 强调 programmable launch：即代币发行后可以围绕社区激励、交易机制、创作者收益和后续运营做更复杂的设计。如果说 pump 类产品把发币门槛降到最低，那么 Flap 更像是在探索发币之后如何让代币和社区关系长期运转。 GEMINT @GEMINT 【核心】： 用链上结算重构传统集换式卡牌（TCG）的交易格式。 集换式卡牌游戏（TCG）是一个体量不小、但底层长期依赖物流和信任的市场。GEMINT 用链上结算和互动交易格式彻底重构这个市场的基础结构，目标是把传统集换式卡牌的收藏属性、稀缺性和交易属性搬到链上。它的看点在于把 Web2 玩家熟悉的卡牌消费体验，转化成可持有、可交易、可组合的链上资产。

吴说获悉，据网络安全公司 Socket 披露，5 月 11 日，开源工具库 TanStack 旗下 42 个 @ tanstack/* npm包（共计 84 个版本）遭黑客恶意篡改。相关版本被植入了窃取 CI / CD 凭证的恶意代码，目标涵盖 GitHub Actions、AWS、Kubernetes 等核心环境，官方建议受影响用户立即轮换相关凭证。Socket 指出，此次事件属于正在扩大的“Mini Shai-Hulud”供应链攻击的一部分，目前开源 AI 平台 Mistral AI、自动化软件 UiPath 等多个知名命名空间也已确认受到波及。