慢雾 SlowMist

一、背景
近期慢雾安全团队收到一位 Fomo 用户的求助。用户反馈，他在 Fomo 网页端查看 MOONLET 代币详情时，点击了页面展示的项目官网入口，进入 voltage.family，并按提示完成“人机验证”，随后发现账户内约 4.8 万美元资产被转走。整个过程中，他没有连接钱包、进行链上授权，也没有输入助记词或私钥。该用户通过 Google 登录 Fomo，称账号未开启二次验证。
接到反馈后，慢雾安全团队对相关页面及脚本展开分析，发现所谓的“人机验证”会引导用户添加并点击恶意书签。书签内嵌 JavaScript 代码，目标是在 Fomo 页面中读取浏览器存储、提取登录令牌，并将数据发送至外部地址。
本文围绕钓鱼页面和脚本还原攻击过程，重点分析恶意书签如何窃取嵌入式钱包的访问凭证。
MistEye 响应
MistEye 是由 SlowMist 自主研发的 Web3 威胁情报与动态安全监控系统，集成了安全监控与情报聚合能力，为用户提供实时的风险预警与资产守护。
MistEye 已第一时间通过情报推送与客户告警通道同步风险。
二、钓鱼分析
钓鱼入口来源
根据用户补充的截图，当时他正在查看 Fomo 上的 MOONLET 代币详情页。红箭头标出了代币名称旁的官网入口，右侧项目介绍区域也有“官网”按钮。结合用户反馈，本次访问钓鱼站点的入口来自该代币详情页展示的外部链接。
伪造人机验证
用户访问的站点为 voltage.family。进入 /app 页面后，页面展示九个图标，要求用户找到“四条腿的动物”，将其拖到浏览器书签栏，再连续点击该书签三次。拖拽时，页面还会显示操作引导，让用户误以为这是正常验证步骤。
最终添加的书签名为 Triple click to verify。它保存的并非普通网页地址，而是一段以 开头的代码，即 bookmarklet。用户点击这种书签时，代码会在当前页面中执行；攻击者正是借此诱导用户在已登录的 Fomo 页面运行恶意脚本。
这种通过恶意书签在目标页面执行 JavaScript 的攻击方式并不陌生。此前，慢雾安全团队也曾分析过一起 Discord Token 窃取案例，详见《慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token》（https://mp.weixin.qq.com/s/2RjEgv9lp6e01ah2t6DX4w）。
恶意书签投递
页面上的动物图标会随机出现，但用户选哪个图标并不影响最终添加的恶意书签内容。fomo-track.js 读取页面内嵌的 BMCODE，替换访客标识后，将所有 a.mini-bookmark 元素的 href 设置为同一段书签代码（以下为样本原文，已省略外层取值与判空逻辑）：
替换动作会在页面 DOM 变化、定时器触发、鼠标按下和拖拽开始时反复执行，以覆盖页面原本的书签链接。正常加载页面时，九个图标均指向这段代码。所谓“识别动物”，实际是在为恶意书签的投递提供借口。
验证后的 /app/live 页面继续模仿交易终端。界面注明市场数据为模拟数据，连接钱包按钮仅弹出提示。结合前面的引导过程，这些页面主要是为了把钓鱼站点伪装得更可信。
本地数据采集
书签代码压缩后有八千多字符。最外层使用 location.hostname.includes("fomo.family") 判断当前页面主机名，符合条件才继续执行。这里用的是字符串包含判断，而不是严格域名匹配，因此凡主机名中包含 fomo.family 的页面都可能满足条件，不能理解为只会在 fomo.family 及其合法子域下执行。
这也说明，单纯打开钓鱼网站并不等于已经执行了后续采集逻辑。脚本需要在符合条件的页面上下文中运行，才能读取该页面可访问的存储。
采集函数 v() 首先遍历 localStorage 和 sessionStorage。它按键名匹配 privy、wallet、share、secret、seed、mnemon、turnkey、dynamic、fomo、mfa 等关键词；键名未命中时，再检查值的前 300 个字符。命中的数据最多保留 4000 个字符，存入对象 o。
随后，脚本调用 indexedDB.databases() 获取当前上下文可访问的数据库，逐一遍历 object store，通过 getAll() 读取记录，并按“库名/表名”保存。该流程设置了 4 秒超时，避免单个采集步骤长时间阻塞。
采集范围同时覆盖登录凭证和钱包相关数据。在嵌入式钱包场景下，这些数据可能涉及钱包访问、恢复和密钥材料；一旦泄露，攻击者可能进一步控制钱包。
登录凭证提取
脚本优先查找 privy:token 和 privy:refresh_token，并通过 y() 处理可能包裹在 JSON 中的 token 或 accessToken 字段。如果没有找到固定键名，则逐步放宽匹配范围，查找其他 token 字段，同时排除 id_token、identity 等不属于目标令牌的字段。最后，脚本还会尝试从值中提取以 eyJ 开头的 JWT 片段。该兜底方式只能选出疑似令牌，并不保证结果有效。
TOTP 注册
取得访问令牌后，脚本携带 Bearer 令牌、Privy 应用 ID 和客户端 ID，请求 https://auth.privy.io/api/v1/users/me，并读取响应中的 mfa_methods（或 mfaMethods）字段，以判断账号已绑定的二次验证方式；该数组是否为空，直接决定后续 MFA 分支是否执行。脚本同时包含返回 401 时借助刷新令牌重试请求的处理。
脚本还包含收到 401 后向 /sessions 提交刷新令牌的逻辑：以 refresh_token 为请求体，代码先对响应调用 .json() 解析，再取其中的 token 字段作为新的访问令牌，取得后重新请求 /users/me（在 MFA 事件通道中捕获到 unauthorized／401 时，也走同一条刷新路径重试）。
与 MFA 相关的代码会创建一个 4×4 像素、透明度为 0.01 的 iframe，加载 Privy 的 embedded-wallets 页面，再通过 postMessage 发送事件请求。消息按随机请求 ID 对应，默认等待 6 秒；就绪检查以 100 毫秒为间隔，最多等待 8 秒。
脚本尝试以 TOTP 为方法初始化注册，并从响应中提取 secret 或 totptSecret。若取得密钥，它会在本地按 30 秒时间步长、HMAC-SHA1 和动态截断计算六位验证码，再提交注册请求。该逻辑的意图是将攻击者掌握的 TOTP 密钥用于账户验证。
这里需要区分“发起注册”与“注册成功”。初始化返回密钥，不代表服务端已经完成绑定；脚本将包含 already、exist、enrolled、duplicate 等字样的错误视为可继续处理，也不能证明新密钥已生效。
代码中，这段 MFA 逻辑的触发条件很明确：只有当 /users/me 返回的 mfa_methods 非空，也就是账号已绑定至少一种二次验证方式时，脚本才会创建 iframe、调用 privy:mfa:init-enrollment 获取 TOTP 密钥并提交注册；如果该数组为空，整段 MFA 逻辑都不会执行。用户称其账号原先未开启二次验证，因此这部分很可能没有触发。但这不影响本地数据和凭证的采集、外传，因为 ls 与 idb 是独立通道。另需注意，发起注册不等于注册成功，是否真正绑定仍需服务端记录确认。
登录凭证泄露如何危及钱包资产
本次攻击针对的是用户已登录的 Fomo 页面及其嵌入式钱包访问凭证。恶意书签执行后，会采集 Privy 访问令牌、刷新令牌及钱包相关本地数据，并发送至攻击者控制的地址。这些凭证涉及钱包的访问与恢复流程，泄露后可能被用于接管钱包，进一步导出私钥或发起交易。因此，即使用户没有主动连接钱包、签署链上授权或输入助记词，也可能面临资产被盗的风险。当前展示的脚本主要负责采集和外传，后续具体采用哪条路径完成资产转移，还需结合进一步的调查结果确认。
数据外传
发送前，脚本把采集结果组织为 ls、idb 和 mfa 三部分，分别对应 localStorage、IndexedDB 记录以及 MFA 方法和处理结果。再进行 base64url 编码。编码后超过 11000 个字符时，脚本先删减 IndexedDB 记录，保留与 privy、share、wallet、key、secret 相关的内容；若仍超限，则将本地存储部分缩减为 privy:token、privy:refresh_token 和 mfa-session-storage 三个关键字段。流程另设 20 秒兜底发送，避免一直等待采集结束。
外传目标为 noisy-heart-5856.zmfkc29.workers.dev。脚本采用两种方式发送：一是在取得 TOTP 初始化密钥后，通过 fetch 提前发送，密钥放在 initsecret 参数中；二是通过 location.href 跳转，把令牌、采集数据以及脚本保留的 TOTP 密钥放入 URL 参数。
t：访问令牌；r：刷新令牌；vid：访客标识；site：站点标识；Is：经 base64url 编码的采集数据；initsecret：初始化阶段取得的 TOTP 密钥；totp：脚本最终保留的 TOTP 密钥。
对该地址进行非破坏性测试时，根目录、未知路径以及携带凭证参数的请求都返回 302，并跳转回 voltage.family；POST /visit 返回 204。该响应符合“接收数据后把用户送回钓鱼站点”的设计，但仅凭响应本身无法确认服务端是否保存了数据。
fomo-track.js 开头还保留了一段注释，描述 tracker → Cloudflare Worker → panel → Telegram 的数据链路，并称复用了旧验证页的中继。这属于样本作者留下的线索，尚未获得后台面板或 Telegram 侧证据支持。
/* voltage tracker -> cloudflare worker -> panel -> telegram
(same relay the old captcha page uses; no keys in this file) */
综合页面和代码，可以还原出诱导添加书签、在目标页面执行脚本、采集存储、提取令牌、尝试 MFA 操作及外传数据的链路。凭证是否被实际重放、后续交易由谁发起，仍需结合服务端日志和链上记录核实。
三、MistTrack 资金分析
根据受害者提供的信息，共 45,106.85 USDC 被黑客分三次提现到黑客地址 D783JqupQ2FYhkxUfGEd1gaFEoAJDXRX1NEb4aVH2hZ6，我们使用慢雾旗下链上追踪 & 反洗钱工具 MistTrack 对该地址进行反洗钱分析。
黑客地址(D783Jq…hZ6) 从 9 月 17 日开始活跃，在受害者资金进入前，该地址已经存在较为频繁的 USDC ↔ SOL 资金交互，推测存在其他受害者。
链上可以观察到多笔金额相近的 USDC 兑换为 SOL，也存在反向兑换 SOL → USDC，兑换多数通过 Jupiter Aggregator 完成。兑换后的 SOL 并未长期留存在该地址，而是被进一步发送至大量不同的中间地址，例如 HGSe...Ucim、3XyKap...gXVj 等地址。同时，也可以观察到部分 USDC 被直接拆分发送至多个地址，例如向 HGSe...、2th9... 等地址连续转出多笔 USDC 和 SOL。
该地址还通过 Relay.link 将 SOL 转换为其他链上的资产，例如：
0.6 SOL → 0.024 ETH，目标 Ethereum 地址 0x77bd56dfef9530ba61962a420e34a0dbd55de51c；
0.59 SOL → 0.025 ETH，目标同一 Ethereum 地址；
0.29 SOL → 0.012 ETH，目标同一 Ethereum 地址；
0.29 SOL → 0.00039 BTC，进入 Bitcoin 地址 bc1q6j54xfvlgqjw6mq2ja3pym3qrezp8k39aeftxh
除向外跨链外，该地址还接收了通过 deBridge 跨链转入的资金。其中，一笔由 Robinhood 链上的 USDG 兑换为 Solana上的 USDC，另一笔由 BNB Chain 上的 USDC 跨链转入。
该地址向 Privacy Cash Pool 共转入 1568.33 SOL，也是该地址最主要的洗钱出口：
此外，部分资金最终流向博彩平台相关地址。例如，该地址曾将部分 USDC 兑换为 SOL 后转入 Stake 平台，也有部分 SOL 直接转入 Stake 平台。
再如，后续资金还多次进入 Winna 相关地址，包括向 Winna deposit 地址转入 11.34 SOL 和 1,500 USDC，以及从 Winna hot wallet 接收 7,199.81 USDC。
从 D783Jq…hZ6 的整体资金行为来看，该地址呈现出较为明显的多层拆分、资产兑换、跨链转移和平台充值特征。我们将持续关注相关地址的后续资金转移。
四、IOC
钓鱼页面与数据外传
hxxps://voltage[.]family/app
hxxps://voltage[.]family/app/live
noisy-heart-5856[.]zmfkc29[.]workers[.]dev
样本 SHA256
index.html
24df225d70e399fa30a2d0761e8645e339d99a0f751af6f9e5e00ab555e2fa07
fomo-track.js
6d771096e442b36b0719a4e07b19c62a5a985005e8a07ab5d50dd6ca59c4ad06
VerifyRoute
d5576bb50cb299d0c48657ed0cfd3f03b4c2313db8b37abcee57f779d70f7f18
LiveTerminal
193b305baf9548a6dded341f3dd613a811e4604c7dfa4447219664f6c43818f8
五、总结
本次分析发现，攻击者将恶意 JavaScript 包装成浏览器书签，并用“人机验证”引导用户在已登录的 Fomo 页面执行。其目标包括 Privy 登录凭证和钱包相关本地数据，风险涉及嵌入式钱包控制权及资产安全。用户没有主动输入私钥或签署链上授权，并不意味着钱包未受影响。
从样本看，攻击者通过恶意书签采集并外传凭证，为后续接管钱包提供条件。用户反馈损失约 4.8 万美元；本次事件最终通过私钥导出还是钱包签名等方式完成转移，仍需进一步核实。
给用户的建议
正常的人机验证不需要把网页图标拖进书签栏，再到钱包或交易页面点击执行。遇到这类要求，应立即停止操作。定期检查书签栏，删除来历不明的 书签，并为重要账号开启平台支持的多因素验证。
如果已经执行过可疑书签，应从可信设备访问官方渠道，优先撤销异常会话和相关授权，检查并移除陌生的验证器，同时联系平台协助处置。通过 Google 等第三方身份登录的用户，也应检查对应身份账号的安全状态。不要只依赖修改密码，现有会话和刷新令牌是否同步失效，需要以平台的实际机制为准。
如有证据表明助记词或私钥已经泄露，应使用全新生成的钱包转移剩余资产。保留可疑页面地址、书签内容、操作时间和交易记录，有助于后续调查。
给项目方的建议
对 MFA 新增、替换、恢复以及资金转移等敏感操作设置独立的验证和风控要求，避免只凭已有会话就完成安全设置变更。向用户提供会话查看与撤销入口，对异常设备、来源和 MFA 变更及时告警，并确保服务端能够按需撤销相关凭证。
同时检查客户端存储的敏感数据范围，减少长期有效凭证的暴露。对外链、用户生成内容及站内引导加强审查，明确提醒用户不要在已登录页面执行陌生书签或代码。若发现类似页面，可保留线索并向慢雾安全团队反馈。
关于 MistEye
MistEye 是由 SlowMist 自主研发的 Web3 威胁情报与动态安全监控平台，通过 API 提供开源包生态的恶意活动检测与供应链风险预警能力。
本次行动涉及的全部恶意包及 IOC 已接入 MistEye 威胁检测引擎，开发者可通过 API 对项目依赖进行自动化检测，快速判定是否命中已知恶意包并获取处置建议。
📖 API 文档：https://app.misteye.io/api-docs
🛠️ MistEye-DepScan：https://github.com/slowmist/MistEye-DepScan轻量级 CLI 工具，一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态
🛠️ MistEye-Skills：https://github.com/slowmist/misteye-skillsAI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发 MistEye 安全检测
🛠️ MistEye-DNS-Guard：https://github.com/slowmist/MistEye-DNS-GuardDNS 安全防护工具，检测恶意域名与风险访问，识别钓鱼、C2 等网络威胁
本文由 SlowMist 威胁情报团队结合 MistEye 威胁情报系统、SlowMist Agent AI 驱动分析编写，有任何问题欢迎咨询反馈。

Im September 2026 veröffentlichte die Financial Action Task Force (FATF) den thematischen Bericht (Risks of Gaming and Gambling). Darin wurden systematisch die Geldwäsche-, Terrorismusfinanzierungs- und Verbreitungsfinanzierungsrisiken analysiert, denen Casinos, Sportwetten, sonstige Glücksspielangebote sowie Online-Spiele ausgesetzt sind.
Der Wert dieses Berichts liegt nicht darin, alle Spiel- und Glücksspielaktivitäten pauschal als Hochrisiko einzuordnen, sondern darin, eine Veränderung aufzuzeigen, die für Anbieter von Diensten im Bereich virtueller Vermögenswerte (Virtual Asset Service Providers, VASP) besonders relevant ist: Wenn Online-Formate, grenzüberschreitende Strukturen, mehrere Produkte und mehrere Zahlungsmethoden sich überlagern, werden Spiel- und Glücksspielplattformen zu einem Teil eines breiteren Ökosystems für Werttransfers. Für Börsen, VASPs sowie virtuelle-Asset-Service-Provider, die etwa Krypto-Zahlungsdienste anbieten, sollte das aus diesem Ökosystem stammende Kapital nicht nur als einzelne „Glücksspieltransaktion“ verstanden werden, sondern im Gesamtkontext der jeweiligen Geldbeziehungen betrachtet werden.

18. September, Japan: Die japanische Polizei-Behörde hat gemeinsam mit dem Nationalen Büro für Cyber-Sicherheit sowie dem US-FBI, dem Cyber-Crime Center des US-Verteidigungsministeriums, der australischen Signals Intelligence/der Cyber Security Agency, dem Bundesnachrichtendienst (BND) und dem Bundesamt für Verfassungsschutz eine gemeinsame Meldung veröffentlicht. An der Operation beteiligt sind sechs Parteien, im Mittelpunkt steht eine Hackergruppe mit nordkoreanischem Hintergrund – WaterPlum (auch bekannt als „Contagious Interview“, wörtlich „Vortäuschung eines Vorstellungsgesprächs“).
Die Angriffsaktivität „Contagious Interview“ wird seit Jahren von mehreren internationalen Sicherheitsanbietern verfolgt und wird häufig mit der nordkoreanischen Lazarus Group in Verbindung gebracht. Diesmal ist es das erste Mal, dass japanische Polizeibehörden unter offizieller Bezeichnung zusammen mit mehreren internationalen Stellen konkrete Fälle aus dem eigenen Land offenlegen und dabei Beweismittel sowie sichergestellte Gegenstände präsentieren.

Hintergrund
Die Probe stammt von einem Entwickler-Zweig eines Laravel-Nova-Erweiterungspakets namens `visanduma/nova-two-factor` und gehört zur PolinRider-Aktion. Dies ist ein PHP-Paket, das auf Packagist veröffentlicht ist; zum Zeitpunkt der Analyse in diesem Artikel liegt die kumulierte Download-Zahl bei über 700.000.
Die Zustellkette schreibt die C2-Adresse nicht in die Probe. Der injizierte Code fragt zunächst Ethereum ab, extrahiert aus der Empfangsadresse einer Transaktion die IPs von zwei Servern und ruft anschließend die nachfolgende Nutzlast per HTTP ab. Um die Server zu wechseln, muss der Angreifer nur eine neue Transaktion auf der Kette auslösen; er muss dieses Paket nicht erneut vergiften.
Das Ziel dieser Kette ist ein plattformübergreifender Credentials-Diebstahl-Tool, das Browserkonten und Cookies, Daten aus Krypto-Wallets, Daten aus Passwortmanager-Datenbanken sowie Entwickler-Anmeldeinformationen sammelt.

Das Sicherheitsteam von SlowMist erhielt kürzlich mehrere Meldungen über gestohlene Benutzerdaten. Die Überprüfung ergab, dass in allen Fällen private Schlüssel gestohlen wurden und einige der betroffenen Benutzer die FomoPeek-App in den Versionen 1.1–1.2 heruntergeladen und verwendet hatten.
Unsere gemeinsame Analyse mit dem OKX-Sicherheitsteam bestätigte, dass FomoPeek 1.1 und 1.2 zwei bösartige Module, apptrace und libapptracecore, implantiert haben, die über die Fähigkeiten zur Fernkonfiguration, Ausnutzung von Kernel-Schwachstellen, Sandbox-Escape, Keychain-Entschlüsselung und anwendungsübergreifenden Datenerfassung verfügen.
Die dynamische Verifizierung zeigte, dass die Anwendung eine verschlüsselte C2-Adresse von Bitbucket bezieht, Geräteinformationen meldet und eine Remote-Konfiguration an api-a95f0ed200f.assisaint[.]com empfängt. Während des Tests war der von C2 zurückgegebene Wert für exploit_enabled „false“. Um die nachfolgende Ausführungskette zu überprüfen, setzten wir die entsprechenden Schalter nach der Client-Entschlüsselung in einer isolierten Umgebung mittels Hook auf „true“ und erhielten anschließend eine Liste von 19 Wallets und Notiz-Apps. Zudem erfassten wir die vollständige Anfrage zum Packen und Hochladen des Apple Notes-Containers.

Autor: Johan & Lisa
Bearbeitung: 77
6. September 13:52:10 UTC, im Block Nr. 4.050.335 von Liquid tauchten zwei Transaktionen mit identischem Aufbau auf. Eine Minute später bestätigte der Block Nr. 4.050.336 die dritte Transaktion; rund 3.998,5 L-BTC gelangten in den UTXO-Pool, ohne dass es dahinter irgendeinen einzigen peg-in gab. Wenige Minuten später begannen diese nicht existierenden Vermögenswerte, aufgesammelt und verbraucht zu werden, anschließend wurden sie über den föderalen peg-out-Kanal in echtes BTC im Bitcoin-Hauptnetz umgewandelt.
Am nächsten Tag wurden 3.400 BTC an den föderalen peg-Wallet zurücküberwiesen. Die restlichen 598,5 BTC verblieben beim Angreifer; bis zum Zeitpunkt der Veröffentlichung werden sie weiterhin bei wiederholten Selbstüberweisungen verwendet. Jede Transaktion enthält einen OP_RETURN-Text im Klartext, mit dem die föderale Stelle zur Herausgabe von zehn Prozent „Belohnung“ aufgefordert wird. Die Verhandlungen werden bis heute weiterhin öffentlich auf der Kette geführt.

Am 9. September kündigten das Office of Foreign Assets Control (OFAC) im US-Finanzministerium und das US-Justizministerium (DOJ) abgestimmte Strafverfolgungsmaßnahmen gegen die „Xinbi Guarantee“ an. OFAC nimmt die „Xinbi“-Garantie sowie zwei Unternehmen, die ihren Betrieb unterstützen, auf die Sanktionsliste. Das DOJ geht im Rahmen der „Scam Center Strike Force“ gegen das mutmaßliche Betrugszentrum vor und beschlagnahmte die zugehörigen Plattform-Infrastrukturen und Krypto-Asset-Wallets. Laut der DOJ-Mitteilung schränkte die koordinierte Aktion insgesamt Krypto-Assets im Wert von über 52 Millionen US-Dollar ein, die mit der „Xinbi“-Garantie und ihrem Händlernetzwerk in Verbindung stehen.
Diese Aktion richtet sich nicht gegen eine einzelne Betrugsbande, sondern gegen ein Dienstleistungsnetzwerk, das den Betrieb der Betrugsaktivitäten unterstützt. Die US-Strafverfolgungsbehörden erklären, dass die „Xinbi“-Garantien Betrugsbanden mit Händlern verbinden, die Dienstleistungen wie Geldwäsche und die Entwicklung von Betrugswebsites anbieten, und dass sie durch Mechanismen wie Treuhandhaltung von Geldern und Transaktionssicherheiten den illegalen Geschäften fortlaufende Bedingungen für den Betrieb bieten.

Autor: Jiǔjiǔ
Bearbeitung: 77
Hintergrund
Am 4. September 2026 wurde der bekannte dezentrale Kreditverleih- und Borrowing-Platform Notional Finance angegriffen, wobei ein Verlust von ungefähr 1,73 Millionen US-Dollar entstand. Im Folgenden eine konkrete Analyse des SlowMist Security Teams zu diesem Angriffsereignis:
Vorkenntnisse
In Notional Finance V1 kann fCash als eine Cash-Forderung mit Fälligkeitsdatum verstanden werden. Ein cash receiver erhält die Zahlung bei Fälligkeit, ein cash payer zahlt bei Fälligkeit. Das Protokoll schreibt beide Arten von Positionen ins Portfolio und entscheidet dann über einen Test der freien Sicherheiten, wie gesund ein Konto ist und ob es eine Position eröffnen darf.

Hintergrund
Eine Aktion-Seite, die angeblich einen kostenlosen VPS verschenkt – in Wahrheit ist es eine Falle. Aus öffentlich archivierten Webseiten geht hervor: Ende August 2026 registrierte event[.]polarnode[.]vip deklariert https[:]//lk[.]wyincc[.]com/lk.js als Preload-Skript. Nach dem Interagieren lädt die Seite es automatisch; Besucher müssen nicht klicken.
Nachdem wir die gespeicherten Loader-Samples dekodiert haben, bestätigen wir: Sie sind für eine reine Safari-Distribution auf iPhones mit iOS 18.4–18.6.2 ausgelegt und zielen am Ende auf Dateierfassung, Keychain-Erfassung (Keychain) und Keyboard-Input-Erfassung. Ziel sind drei Wallet-Apps. Diese Kette stimmt sehr stark mit der von der Google Threat Intelligence Group (GTIG) veröffentlichten DarkSword-iOS-Exploit-Kette überein: sechs CVEs, n-day-Wiederverwendung.

Kürzlich reagierte der CEO von OKX auf einen Nutzerbeitrag über eine „Glücksspielplattform, die Gelder direkt an die Börse überweist und dadurch bei der Einzahlung eine Prüfung auslöst“. Laut seiner öffentlichen Erklärung kann eine Einzahlung von einer Hochrisiko-Adresse bei OKX eine strengere Geldwäscheprüfung (AML) und Risikoprüfung auslösen; je nach Fall kann die Prüfung 15 Tage oder länger dauern, währenddessen bestimmte Kontofunktionen und Gelder eingeschränkt sein können; bei Konten, bei denen eine Beteiligung an Hochrisiko- oder illegalen Aktivitäten bestätigt wird, kann die Plattform den Dienst ebenfalls beenden.
https://x.com/star_okx/status/2094980124236251207
OKX weist außerdem darauf hin, dass Gelder, die über Telegram-Gruppen vermittelte Treuhandgeschäfte, Huione und dessen Varianten sowie ähnliche Kanäle erhalten wurden, ein hohes Risiko hinsichtlich der Mittelherkunft mit sich bringen können.

Mit der fortschreitenden Entwicklung von Krypto-Assets, Stablecoin-Zahlungen und digitalen Finanzdienstleistungen werden On-Chain AML-, KYT- und Analysen von Geldrisiken zunehmend zu einem konkreten Bedarf vieler Institutionen.
Zu diesem Zweck startet MistTrack & SlowMist KYT offiziell das Partnerprogramm und sucht weltweit nach individuellen und institutionellen Partnern mit Ressourcen in den Bereichen Web3, Finanzen, Zahlungen, Compliance, Sicherheit sowie lokaler Markt.
Nach der Teilnahme am Programm kannst du Folgendes erhalten:
Exklusive Kundengutscheincodes, die es ermöglichen, Kunden zu einem günstigeren Preis zu abonnieren;
Automatische Bestellzuordnung und Provisionsabrechnungen, die Provision ist bis zu 3 Jahre gültig;

Am 28. August hielt Yu Xuan, Gründer von SlowMist, auf dem Cypher Asia Intelligent Crypto Finance Summit eine Keynote mit dem Titel „Graue Nashörner und Schwarze Schwäne in der Krypto-Welt“. Ausgehend von den typischen Sicherheitsproblemen im Krypto-Bereich gab er einen systematischen Überblick über die Kernrisiken von Diebstahl, Betrug, Verlust und Einfrieren von Geldern und teilte seine Überlegungen zum Schutz vor Sicherheitsrisiken.
Im Folgenden eine Zusammenstellung des vor Ort geteilten Inhalts.
In der Krypto-Welt sind gestohlene, betrogene, verlorene oder eingefrorene Gelder keineswegs selten. Viele Sicherheitsvorfälle wirken im Moment ihres Auftretens wie ein plötzlicher Unfall, doch im Rückblick zeigt sich oft, dass viele Risiken bereits vorher erkennbar waren. Das Problem liegt nicht zwingend darin, dass man „überhaupt nichts von dem Risiko wusste“, sondern vielmehr darin, dass das Risiko bereits aufgetaucht ist, aber nicht ausreichend ernst genommen wurde oder bestehende Sicherheitsmaßnahmen nicht wirklich wirksam waren.

Am 28. August veranstaltete SlowMist gemeinsam mit ME Group die Branchenveranstaltung „Durchs Nebel gehen, hin zu vertrauenswürdigen Zahlungen｜Globale Stablecoin-Compliance und neue Frontiers für Agenten-Zahlungen“. Zudem nahmen sie an mehreren Branchenaustauschformaten teil, darunter „Cypher Asia Smart Crypto Finance Summit“ und „AI x BTC – BTC Asia Side Event“. Im Austausch mit Partnern der Branche teilten sie Praxis-Erfahrungen und Sicherheitsansichten zu Themen wie Stablecoin-Compliance und Zahlungsanwendungen, Krypto-Sicherheit sowie der digitalen Wirtschafts-Infrastruktur.
Jetzt lassen Sie uns die spannenden Inhalte des Tages noch einmal Revue passieren lassen –
Fokus auf Stablecoin-Compliance und Agenten-Zahlungen: Diskussion über den Aufbau vertrauenswürdiger Zahlungen

Hintergrund
Wer ein Open-Source-LLM herunterlädt, sorgt sich meist, ob es läuft und ob die Gewichte echt sind. Diesmal liegt das eigentliche Problem woanders: Ein Repository mit der Aufschrift 27B Parameter liefert dir nur 487 KB — darin stecken keine Gewichte, sondern ein Stealer-Trojaner.
Am 20. August 2026 lud das GitHub-Repository unburdened-jackinthebox365/qwen38-uncensored in das Verzeichnis assets/ eine Datei namens uncensored_qwen_v2.6.zip hoch, 487,153 Byte groß. Das Repository verpackte sie nahezu makellos: Die Startseite versprach lokale quantisierte Gewichte von Qwen 3.8 27B, die README betonte vollständig Offline-Betrieb, keine Telemetrie und dass keine Daten den Rechner verlassen — jede dieser Aussagen traf genau den Nerv von Nutzern lokaler Modelle. Vier Tage später, am 24. August, wurde die README erneut geändert: Download-Button, Downloadlink im Text sowie die beiden externen Links zu den offiziellen Websites von Ollama und LM Studio zeigten nun alle auf dieselbe ZIP-Raw-Adresse.

Am 28. August veranstalten SlowMist und ME Group in Hongkong den Branchen-Dialog „Durch das Nebelmeer hindurch – hin zu vertrauenswürdigen Zahlungen | Neue Entwicklungen bei globaler Stablecoin-Compliance und Agenten-Zahlungen“.
Diese Veranstaltung bringt Branchenexperten aus den Bereichen Stablecoins, Zahlungen, KI-Agenten, Compliance und Blockchain-Sicherheit zusammen. Im Mittelpunkt stehen der Austausch über globale Stablecoin-Compliance, die Entwicklung von Agenten-Zahlungen und den Aufbau eines vertrauenswürdigen Zahlungssystems. Gemeinsam erkunden wir die technischen, Sicherheits- und Compliance-Herausforderungen im Prozess der Weiterentwicklung von Zahlungsmodellen.
Zeit: 28. August, 09:30 – 12:30 Uhr
Ort: Hongkong, CAI Building

Autor: Neun Neun
Bearbeitung: 77
Hintergrund
Am 19. August 2026 wurde das bekannte Cross-Chain-Bridge-Projekt Allbridge angegriffen und erlitt einen Verlust von etwa 190.000 US-Dollar. Doch bei diesem Angriff dauerte die Ausführung fast einen Monat. Im Folgenden finden Sie eine konkrete Analyse des Sicherheitsteams von SlowMist zu diesem Vorfall:
Voraussetzungen
Um diesen Angriff zu verstehen, müssen wir zunächst das CCTP-Protokoll von Circle und sein Cross-Chain-Nachrichtenübermittlungssystem verstehen.
CCTP ist Circles Cross-Chain-Überweisungsprotokoll. Die grundlegende Vorgehensweise besteht darin, auf der Quellkette USDC zu vernichten und auf der Zielkette eine gleich große Menge USDC neu zu prägen. So kann verhindert werden, dass die Bridge-Contract-Logik die Bilanz aus dem Nichts erhöht.

Am 28. August wird Hongkong mehrere Branchenveranstaltungen ausrichten, die sich auf Stablecoins, Agentenzahlungen, KI-Agenten und die Bitcoin-Infrastruktur konzentrieren. Als auf die Sicherheit von Blockchain-Ökosystemen spezialisierte Firma wird SlowMist in Hongkong mehrere Veranstaltungen ausrichten und daran teilnehmen. In Verbindung mit eigener Sicherheitsforschung und -praxis tauscht sich SlowMist mit Branchenpartnern über die entsprechenden Themen aus.
Durch das Nebelmeer zur vertrauenswürdigen Zahlung｜Neue Frontiers der globalen Stablecoin-Compliance und Agentenzahlungen
Zeit: 28. August, 09:30–12:30
Ort: Hongkong CAI Building
Anmeldung: https://luma.com/0c4fawzv
28. August am Vormittag wird SlowMist gemeinsam mit der ME Group in Hongkong die Branchenveranstaltung „Durch das Nebelmeer zur vertrauenswürdigen Zahlung｜Neue Frontiers der globalen Stablecoin-Compliance und Agentenzahlungen“ ausrichten. Zu diesem Zeitpunkt werden Ökosystem-Partner aus den Bereichen Stablecoins, Zahlungen, KI-Agenten, Compliance und Sicherheit in Hongkong zusammenkommen, um sich über die Compliance und Anwendung globaler Stablecoins, die technische Weiterentwicklung von Agentenzahlungen sowie den Aufbau der Sicherheit in einem vertrauenswürdigen Zahlungssystem auszutauschen.

Hintergrund
Solidity Pro ist eine VS-Code-Erweiterung für Solidity/Web3-Entwickler. Sie positioniert sich nach außen als Entwicklungshilfe und bietet Funktionen wie Gas-Abfragen, Token-Preise, Code-Snippets und Compiler-Hinweise. Ihr GitHub-Repository hat zudem zeitweise Sicherheitsfunktionen wie „AI Audit“ und „Security Scanner“ beworben.
In öffentlichen Aktivitäten hat Solidity Pro nacheinander die beiden Publisher helper-beeps und web3devtoolsx eingesetzt (Publisher-Identität). Die zugehörigen Extension-IDs (eindeutige Kennungen der Erweiterungen) lauteten jeweils helper-beeps.solidity-pro und web3devtoolsx.solidity-pro. Obwohl sich die Veröffentlichungsidentität geändert hat, wurden in den späteren Build-Artefakten weiterhin der alte Publisher, die Repository-Adresse und die Copyright-Informationen beibehalten, was darauf hindeutet, dass zwischen beiden eine direkte technische Vererbung besteht.

Kürzlich ist der von SlowMist entwickelte MistTrack Agent offiziell als Drittanbieter-Agent bei AgentOn eingezogen. Der MistTrack Agent konzentriert sich auf AML für Kryptowährungen und On-Chain-Ermittlungen. Er bringt Fähigkeiten wie das Nachverfolgen von On-Chain-Geldern und Risikoanalysen in die AgentOn-Plattform ein und bietet Nutzern so eine effizientere, automatisierte Methode für On-Chain-Ermittlungen.
Willkommen beim Testen des MistTrack Agent：
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Zeitlich begrenztes Angebot: Jede/r Nutzer/in kann 10 kostenlose Aufrufe erhalten, gültig für 30 Tage. Wenn die kostenlosen Aufrufe aufgebraucht sind oder die Gültigkeitsdauer abläuft, werden die Kosten gemäß den Standardpreisen von AgentOn berechnet.

Die kontinuierliche Entwicklung digitaler Vermögenswerte und der Künstlichen Intelligenz treibt die Zahlungsbranche in eine neue Anwendungsphase. Einerseits beschleunigen Stablecoins ihre Verlagerung aus den On-Chain-Szenarien und dringen in echte Geschäftsbereiche wie Zahlungen, Abwicklung und Finanzmittelmanagement vor. Andererseits entwickelt sich auch der KI-Agent schrittweise von einem Hilfswerkzeug zu einem Zahlungsakteur, der im Namen von Nutzern und Unternehmen Abfragen durchführen, Entscheidungen treffen, Services aufrufen und sogar Transaktionen anstoßen kann.
Wenn Stablecoins in Richtung echter Zahlungsszenarien gehen, wie lässt sich Compliance dann wirklich umsetzen? Wenn KI-Agenten an Transaktionen teilnehmen, wie kann man zudem sichere und vertrauenswürdige Mechanismen für den Handel etablieren? Das sind ebenfalls neue Fragen, mit denen die Branche konfrontiert ist.