注意，关于 CVE-2026-123158（sshhole）这个漏洞： 必须同时凑齐 musl libc + 无 PAM + 开密码登录 + 存在 * 账号 + 有 donor hash 五个条件。 一旦凑齐条件，利用成本为零。 Alpine 容器开 sshd 的场景尤其要注意。 修复方式：升 OpenSSH 10.6p2 + 重启 sshd 这个漏洞利用是"凑环境难"，一单条件满足"打起来容易"，目前 PoC 已公开，建议尽快升级。

纯瞎扯 从技术上讲，任何移动端软件钱包在进行交易签名时，都必须将加密的助记词/私钥解密后临时加载到运行内存（RAM）中。 Rust 也不能防范操作系统层面的零日漏洞，如沙盒逃逸。如果用户的 iOS 系统本身存在漏洞被攻破，或应用运行时内存被直接转储，即使用 Rust 编写的钱包代码也无法阻止攻击者读取内存中的明文助记词。 这和用啥语言毛线的关系…😂

GitBook 安全事件官方复盘：攻击者先利用单点登录漏洞冒充员工登录，再一路拿下 GitHub 授权、Cloudflare 密钥，最后拿到整个生产环境的权限。 GitBook 说这次攻击只冲着一个客户去，就是 tradexyz 。 黑客是不是有点奇葩？那么多目标都没搞？ tradexyz 这边随之宣布准备搬离 GitBook

🚨 Android 零点击 RCE 已进 11 月安全补丁，这个务必升级！ Google 2026-11 公告修复 200+ 漏洞，最严重为 Framework 层 CVE-2026-58868（Critical）： 🔥 远程执行任意代码，无需用户交互、无需额外权限（Zero-Click） •影响 Android 14 / 15 / 16 / 16 QPR2 / 17 •目前无确认在野利用 补丁： •≥ 2026-11-01 → 含 CVE-2026-58868 等 Framework/System 修复 •≥ 2026-11-05 → 覆盖本轮全部漏洞（含内核 / 联发科 / 高通等芯片层） 处置：设置 → 关于手机 → Android 版本 → 看「安全补丁级别」

🚨 东欧相关的 APT29 专业组织开始通过被入侵的网站和被劫持的网络分析工具脚本传播 iOS 和 Android 漏洞利用工具。 DarkSword 和 AndroSnitch 开始批量攻击使用，你访问的正常网站或App可能都有后门。 对策：升级系统到最新版！升级系统到最新版！

有些话，不吐不快！ 63 亿美元，绝不只是一个小数字，是用户交到我们手里的信任。它在币安的系统里被转走，责任就在币安。不在某一位工程师，不在某一项技术标准，责任就在我们。 钱，我们赔。账，大家可以在储备金证明页面自己查。被冻结和拦截的部分，我们会和执法部门、链上机构一起，一笔一笔追回来。 前两天，提币重新开放。那之后，我们所有的精力只放在一件事上，让每一笔提现都顺畅到账。这两天的提现规模，和被盗金额在同一个量级，每一笔我们都兑付了。用户的资产一直都在，我们没有挪用过用户的一分资产。 这是币安的底线。不要看我们说什么，但大家可以实实在在感受到我们做了什么！ 报告发出去之前，内部也讨论过，哪些要讲，讲到什么程度，要不要说得好看一些。最后公司决策层定下来：不做任何修饰，所有事情如实向公众披露。 这是我们的文化，更是我们应尽的信任。说的和做的必须是一回事，绝不说一套、做一套。 我们很清楚，这份报告一发出去，一定会招来大量的质疑和批评。但这些声音是鞭策，也是让这个行业变得更安全的养分，我们全盘接受。所以我们把伤口摊开给大家看了。时间线、攻击路径、恶意脚本的每一步操作，连同我们自己没做好的地方，都写在里面。 为什么要把伤口摊开？因为这一刀，不只砍向币安。按 FBI 的通报，这是国家级的对手。今年以来，我们已经拦下 57 起疑似同一来源的攻击。他们敲的不只是我们这一扇门，把教训锁进抽屉，下一个受到影响的可能是任何一家。 道歉容易，但加固、改正更重要。报告里写到的入侵点，已经全部封堵。截至 11 月 3 日，受影响的钱包系统在全新环境里重建，内部 AI 工具重建并收紧了权限，受影响的设备全部更换，相关凭证和令牌全部作废，全员设备做了一遍强化扫描，钱包风控和异常检测也加了码。大家热议的权限管理和安全机制，我们也在逐项升级。 但也有一些防线，只能修在看不见的地方。公开它，就是把地图交给下一个攻击者。我们自己说的，大家未必信，所以我们请了独立的第三方安全机构来审查，结论出来后，会向大家公开。 很多人问，为什么一台工作电脑能碰到那么多权限，为什么不多设几道防控。实际情况是，门锁、监控、保险柜，多方安全计算签名、提现风控、权限隔离，这些该有的设计都有，也一直在运转。但同时我们也看到，在 AI 时代，很多过去行之有效的安全措施，正在暴露出新的缺口。 这次站在门外的，是什么样的对手？他们有足够的耐心，前后潜伏了几个月，从假招聘、被篡改的开发工具，到零日恶意软件，再把我们的内部 AI 工具变成自己的跳板，一层一层往里走。这不是一台电脑、几个权限被攻破就能完成的事，是一场准备了很久的连续进攻。 说这些，不是为自己开脱。门没看好，就是我们的错。但大家需要知道，AI 时代的攻击，已经来到了这个强度。 对同行，我想多说几句。这几天，有同行提出交易所之间要联防，实时预警，追踪可疑资金，依法及时冻结，大额提现到陌生地址时多加一道验证。这些建议，我们赞同，而且愿意做第一个参与的人，也愿意把这次的攻击特征分享给任何一家交易所，包括我们的竞争对手。 我们虚心接收大家的批评，但安全不是一场看台上的比赛，没有谁能一直坐在看台上。就像同行自己说的，每家每月都在应对这样的攻击。今天站在风口上的是币安，明天可能是任何一家。在这件事上，整个行业是同一条船。 我们越来越觉得，这次的事情不只发生在币安身上，它是整个行业的一个拐点。AI 时代的安全该怎么做，交易所之间该怎么协作，这些问题谁都绕不过去。币安会拿出自己的力量，为行业做出我们的贡献。 我们的态度：认错，整改，接受批评。 所有的意见，全都收下，只要是中肯的，话说得再重，我们都会认真听、积极吸收、认真改。批评越具体，越像一份体检报告，对我们越有用。 最后，也想对个别同行说一句。团结两个字，我们听到了，也愿意相信。但如果一边喊着团结，一边借一场安全事件落井下石，做仇恨宣泄，同时还在水下操作很多见不得人的勾当，这是否名不正言不顺？口口声声专注于行业，但无时不刻行拉踩营销之实，这真的值得歌颂么？行业的进步，靠的是严谨、客观的讨论，而不是拉踩和攻击。这个行业从来都是水涨船高，踩着别人过河的人，河水迟早也会漫到自己脚下。 谢谢这几天支持和批评我们的每一个人！

🚨 睡一觉 400 万美金没了…… 知名交易员 Frogman（@frogmanhaha）于今晨 4:30 睡梦中遭盗，损失约 400 万美元资产。 黑客迅速通过 Chainflip 和 Privacy Cash 把 9 种代币洗走（含 143 万枚 BP、1396 万枚 MarsCoin、370 万枚 Cash Cat 等），被盗资产已被兑换为 ETH、BNB 和 SOL。 他发文称还不清楚怎么中招的，但最近在新加坡线下面见了很多人…… 目前钱地址已被标记，相关团队已介入调查。

2021 年 8 月 10 日，有人从三条链上转走 6.1 亿美元。 手法优雅得离谱：硬算出一个假函数名，4 字节 selector 刚好撞上，门就开了。 几周之内，钱几乎全还了回来。 而他头衔的进化史： 「亲爱的黑客」→「白帽先生」→「首席安全顾问」

感谢 Anthropic 认可😋今天就看到 GLM-5.3 的无审查版本开源了 一直听说 GLM 5.3 网络安全能力很强，Anthropic 一篇报告让大家更了解了，感觉纯是在夸

NEAR Intents 总经理 Alex Shevchenko 表示，NEAR Intents 漏洞利用者向恢复钱包转入 1 BNB，并留言称愿意合作，请对方提供 Signal 联系方式。 该笔转账来自此前转移约 380 万美元资金的同一地址。约一小时前，该地址还在以太坊网络转入 0.295 ETH，并发送相同留言。