BWENEWS: Binance Hot Wallet looks to be getting drained for about $2.53B in 60+ tokens on Ethereum ———— unconfirmed 方程式新闻: Binance热钱包似乎正遭遇约25.3亿美元的以太坊上60多种代币的盗取——未经证实 ETH (Auto match could be wrong, 自动匹配可能不准确)

据暗网威胁情报机构 Dark Web Informer，一项名为 RugWhales 的新型钱包盗币服务（Drainer-as-a-Service，DaaS）正在招募封闭测试用户。该服务宣称可通过助记词搜索钱包派生路径并自动转移资产，支持 Ethereum、Solana、Bitcoin、TRON 等多个区块链网络，并可伪装 MetaMask、Trust Wallet、Ledger、Phantom 等钱包的提示界面，提供虚假空投弹窗及可定制的钓鱼页面。RugWhales 计划正式上线后收取 20% 的佣金，其宣称的功能尚未得到独立验证。

正好拿今天及昨晚两个案例试了试并截图，一个是 Huma Protocol V1 被攻击： Huma Protocol on Polygon was drained for ~$101.39K. Root cause: refreshAccount(address) could move an unapproved credit line from Requested to GoodStanding. Primitive: approval-state bypass in credit lifecycle. _updateDueInfo() sets state = GoodStanding when no periods are missed, without preserving Requested. Profit: - 82,315.571143 native USDC - 19,074.730401 USDC.e Related wallet addresses: - Attacker EOA: 0x13b44e416e0f66359502e843af2e1191f1260daf - Attack borrower contract: 0x44d4a434ae1529106e4b801315e22721978022a3 - Helper: 0xef8a13797b009228f6e4a25112ea114b7ba6e1b2 Tx: - Attack: 0x7b8d641d76affcc029fd0e0f06ab81ad675b1da21ef79b82e1343016040ba359 - Setup requestCredit: 0x0adf9953c4e2506ffd4526ceee962a9bb61c573eaef60f669605cca68d0ef5aa - State refresh: 0x7126ae1d8e8d1e0c0f1c598de16a035cf309d6cc556e73edc2847de2b5777e5e 比较令我满意的是，Agent 自行找出了触发最终利用的一个前置条件 tx State refresh: 0x7126ae1d8e8d1e0c0f1c598de16a035cf309d6cc556e73edc2847de2b5777e5e 另一个是最近可能新起的钓鱼团伙，采用的是 permit 离线签名钓鱼技巧，这个分析其实很简单，如果 Agent 连这种单利用都识别失败，那只能说完全不及格了。 Mark 下，这些都是不错的实践。

据安全机构 Salus 调查，8 月 13 日有攻击者通过 Google 赞助广告推广虚假 Hyperliquid 网站，导致一名用户损失约 55 万 USDC。Salus 称，该事件背后使用了与 Inferno 生态密切相关的专业“Drainer-as-a-Service”基础设施，相关团伙通过 Telegram 提供恶意脚本、后台面板、授权指令生成、自动盗币、跨链提现和收益分成等服务。进一步追踪显示，与该基础设施有关的团伙累计涉及约 5274 万美元损失，并与此前 UXLINK、CoWfi 以及一起近 100 万 USDT 的钓鱼事件存在关联。

吴说获悉，安全公司 Blockaid 表示，其检测引擎识别到影响 Gitcoin 子域名 files gitcoin co 的前端攻击，该网站被检测到包含 Eleven Drainer 钱包盗取代码。Blockaid 建议用户目前不要与该网站交互，并表示相关问题正在调查和修复中。Blockaid 已将 files gitcoin co 标记为恶意网站，并提示其中嵌入已知恶意代码。

📷十一月月票特典 『加班秘書 』32P “要用這個來支付加班費？老闆你會被榨幹的” "Use semen to pay for overtime?"You'll be drained dry." 盒岛： Subscription： Fantia購入：

"Justice delayed is justice denied." 正义也许会迟到，但不会缺席。 这句话听着最温柔，却也最刺痛人心。 Think about those wrongful convictions that drag on for decades. By the time the truth finally surfaces, youth is gone, families are shattered, and entire lives are ruined. 想想那些蒙冤十几年的冤案。真相来了，青春没了，家庭散了，人生彻底毁了。 For the victims, what is the difference between delayed justice and permanent absence? 所谓的“迟到”，对当事人而言，和永远缺席究竟有什么区别？ When life force is drained by the erosion of time, protecting your inner peace is the ultimate form of soul reclamation. 当生命能量被岁月的黑洞不断消磨，守护内心的秩序，便是最壮烈的能量回归。 #EnergyManagement#

吴说获悉，安全机构 Salus 称，Revenue 涉及恶意授权。攻击者提交用户的 permit 签名，取得无限花费其 USDG 的许可，随后立即调用 transferFrom。授权与资金转移在同一笔交易中完成，从而掏空用户钱包。资金随后按 20% 与 80% 分至两个黑客地址。该分配结构类似于 Inferno 的 drainer-as-a-service 模式，其推广方式则与 FomoPeek 利用 KOL 实施诈骗的模式相符。