GoPlus Security 🚦 Re-poster

GoPlus 服務公告

我們謹向您簡要通報平臺相關更新。由於 #Abstract（鏈 ID 2741）和 #Blast（鏈 ID 81457）網絡即將關閉，GoPlus 將於 2026 年 10 月 19 日正式停止對這兩個特定網絡提供 Token Security API 功能。

請放心，您在其他網絡上的業務將完全不受影響。我們將一如既往地繼續爲所有其他鏈提供 Token Security API 服務。

GoPlus Security 發佈了一則關於近期網絡安全事件的重要公告。近日，一名用戶因在不知情的情況下授權了一筆有害的 #Permit2 交易，損失了約 17 萬美元的 $LINK。

爲確保信息透明並便於追蹤，受影響用戶使用的錢包地址爲 0x71619d71474F8D0AAa9C18a757be7617686B499b。此外，資金已追蹤至三個釣魚者錢包：0x0000db5c8B030ae20308ac975898E09741e70000、0x0000cdCa01087D340e8fA4339b121B69a8aE0000 和 0xA6809aeDEbFA10A0C2dbcF3363cB0Ff37866f73D。

爲保護自己免受類似攻擊，請牢記我們的基本安全建議，踐行 #GoPlus 反釣魚“四不”原則。我們強烈建議您：不要點擊陌生鏈接，不要安裝未經驗證的軟件，不要批准任何自己沒有完全理解的交易，也不要向未經驗證的地址轉賬。

此外，您可以通過下載 GoPlus Security 擴展程序，大幅提升數字安全。這個實用工具會實時監控您的活動，在可疑交易、惡意授權、高風險簽名和釣魚鏈接造成損害之前及時攔截。您可以訪問 https://chromewebstore.google.com/search/GoPlus，輕鬆將擴展程序添加到瀏覽器。

GoPlus Security 最近分享了一則重要消息，講述有人因遭遇 #AddressPoisoning（地址投毒）騙局而損失了約 30.5 萬美元的 DAI。

爲了幫助大家保護資產安全，讓我們來了解一下這種攻擊是如何運作的。惡意行爲者首先會向目標發送一筆極小金額的加密貨幣，這通常被稱爲“塵埃”。這筆轉入款項來自一個具有欺騙性的電子錢包地址，該地址會刻意模仿目標經常使用的地址，尤其是讓開頭和結尾的字符完全相同。隨後，攻擊者會耐心等待，賭目標在之後轉賬時，可能會不小心直接從交易記錄中複製這個僞造的收款地址。

需要注意的是，這些操作完全是自動化的。一個編程系統會處理整個流程：從尋找潛在目標、創建名稱完全相同的欺騙性假代幣或發起塵埃轉賬，到通過加密貨幣混幣器洗錢以隱藏資金流向。

在這起事件中，受影響的錢包地址爲 0xb6bce73e112e566cf04742f003e1d82fd7f6b7bf。用戶原本打算將資金髮送到預期收款方的地址 0x085adc5a4a1227b1c8aab9a962c03676fa18f1dd。然而，由於落入了這種欺騙手段的圈套，資金最終被髮送到了惡意錢包地址 0x085ccc21065c8c718fa0afcb4e842f247c18f1dd。如果你想查看這筆轉賬的詳情，可以在區塊鏈上查閱記錄：https://etherscan.io/tx/0xaae85f2d7011454ce38a2024642daad54ea9ec81899782edc81dff7294e99739

爲了保障資產安全，我們強烈建議不要從過往交易記錄中複製收款地址。向任何地址轉賬前，務必花些時間仔細覈對地址的每一個字符。最後，養成在轉移大額資金前先發送一筆小額測試交易的習慣，是確保資金安全到達正確地址的絕佳方法。

我們很高興地分享：GoPlus Security API 已正式支援 @arc。作為專注於 Web3 安全基礎設施的供應商，GoPlus 正在為 #Arc 生態系引入一整套廣泛的防護工具。

透過此次更新，我們提供交易風險偵測、全面的代幣安全，以及由 DeepScan AI 驅動的安全稽核。現在，#Arc 網路的參與者可使用完整的防禦能力套件。這包括持續的安全監控與專業的 AI 合約安全稽核。此外，系統還能即時識別迫在眼前的威脅，例如黑名單、鑄幣風險與蜜罐合約。

我們高度致力於賦能 #Arc 的建置者。為了讓你更快開始，我們鼓勵你註冊 API 金鑰，該金鑰附贈免費的使用額度。你可以立即透過造訪 https://console.gopluslabs.io/ 開始你的整合流程。

在意外資金被掏空後，盯着空錢包發呆是一種高度緊張的處境。爲了在慌亂中弄清究竟出了什麼問題，許多受害者會發布推文尋求幫助，向 KOL 發送私信，在 Google 上搜索指南，或向 AI 詢問答案。不幸的是，這種驚慌狀態往往會讓人再次遭到機會主義騙子的二次打擊。是時候停止慌亂的四處奔跑和猜測了。

爲了解決這一問題，GoPlus 已正式推出 Wallet Theft Detective（錢包盜竊偵測器）。這款創新工具以本地只讀 Skill 的方式運行，使你的 AI Agent 能夠調查並追蹤導致資金被盜空的確切根因。

系統專爲盜竊取證而設計，能夠應對 20+ 種常見的鏈下攻擊向量。覆蓋內容包括檢查剪貼板劫持和地址替換、信息竊取器（infostealers）以及惡意瀏覽器擴展。它還會監測與 npm 和 PyPI 相關的軟件供應鏈投毒，以及惡意 IDE 插件和僞造的 SDK。此外，該工具還能調查諸如假冒客服、假工作機會、假會議以及升級釣魚等欺騙策略。你的 AI Agent 還可以分析清空器（drainers）、惡意授權、Permit、盲籤（blind signing）以及地址投毒等問題。憑藉這些能力，偵測工具還能識別種子詞或私鑰存儲泄露、假錢包、以及移動端權限濫用等其他威脅。

這一強大資源完全開源。我們鼓勵你現在就讓你的 Agent 準備就緒，以便在真正需要之前你就已做好充分應對。今天就訪問倉庫：https://github.com/GoPlusSecurity/wallet-theft-detective

第 1/2 帖

我們非常感激所有在初次 DeepScan 社區提名活動中提交選擇的參與者；該活動現已正式結束。

第二輪目前正在進行中，我們誠邀您參與。要參與，請確保您正在關注 @GoPlusSecurity。隨後，使用完全相同的文字回覆本帖：我提名 [Token Name] [Chain] [Contract Address] #DeepScanAudit。請注意，我們將接受 9 月 16 日至 9 月 23 日（UTC）期間的提交。

作爲感謝，我們將向提交提名的 10 位隨機選出的個人發放 10U 獎勵。

從您的建議中選出的項目將接受全面、三維的 DeepScan 審計。此深入評估將涵蓋流動性、代幣安全以及合約本身。評估完成後，最終報告將發佈供所有人查閱。最終，鏈上原始數據將決定最終結論——無論這些發現是否有利。

GoPlus 安全警報：請注意，目前在 Arc 上出現的仿冒“地毯抽逃”（rug pulls）。

Arc Chain 的首發引發了極大熱情，其首日交易量成功突破 1.44 億美元。儘管仍有大量用戶在學習如何進行跨鏈操作流程，但惡意攻擊者已開始創建仿冒“地毯”項目，模仿高潛力的 Launchpad 代幣 $ARGUS 和 $TOLLY。

我們建議您在這段繁忙時期保持警惕。進行任何交易前，請務必花一點時間仔細覈實 CA（合約地址）。

1/4

漏洞概述

2026年9月15日，策略執行器（strategy executor）中發生嚴重的授權繞過（authorization bypass），導致一名高資產淨值（high-net-worth）人士的 #Safe 錢包資金被掏空。此事件造成約 780 萬美元（$7.8M）的損失。

了解根本原因

該漏洞被定位在合約地址 0x4f0055926c839D1d960a82CBF84E2eE933958ebC 之下的未經驗證策略執行器（unverified strategy executor）。需要強調的是，此缺陷並非出自 Safe 核心協議（Safe core protocol），也並非源於 Aave 或 rsETH。

在正常運作條件下，系統要求目標必須是已核准且在允許清單（allowlisted）中的 Safe，且 msg.sender 必須是由該 Safe 特別啟用的 Module（模組）。然而，系統允許任何外部呼叫者僅透過將 target 指定為 address(this)（其指回執行器本身），就繞過這兩項關鍵的安全檢查。

一旦這些驗證被規避，惡意攻擊者便透過一個先前已被啟用的 Safe Module 執行 DELEGATECALL。這使得攻擊者得以在受害者的 Safe 上下文中直接處理任意邏輯（arbitrary logic）。

攻擊的攻擊流程

在執行漏洞利用（exploit）期間，攻擊者將約 2,900 顆 aEthrsETH 轉入 Uniswap v4 流動性池，並將這些資產對準一種完全沒有任何價值的 PAT 代幣（PAT token）。因此，被入侵的 Safe 的真實資產被清空，使受害者僅剩下毫無價值的垃圾 LP NFT（流動性提供者代幣）。

有趣的是，最初的攻擊交易並沒有完全如駭客所計畫。名為 Yoink 的 MEV bot 成功搶先（front-run）了漏洞利用，攔截了交易，並將整疊 rsETH 全部帶走。

關於 <GoPlus> 的安全警報：針對 #Ampleforth 目前進行的提案攻擊

我們想將一項關鍵情況提請社群注意。9 月 12 日，一個新近獲資助的 EOA 向 @AmpleforthOrg 提交了一項惡意治理提案。

儘管該提案被包裝成針對 SPOT 生態系分析工具的已完成工作補助，但實際上其目的在於將 2,500,000 USDC 直接從金庫轉移給提案者。為了讓大家有更直觀的理解，這筆金額幾乎占據了所有流動金庫資金。

你可以在此查看提案詳情：https://tally.xyz/gov/ampleforth/proposal/54

目前狀態仍為待審（pending）。尚未出現任何投票，資金也尚未移動。

此情境中的真實風險在於通過門檻。提出（propose）需要 75,000 FORTH，而通過（pass）需要 600,000 FORTH。以警報時間的價格 $0.27 來計算，惡意行為者只需約 $160k 的投票權，就能清空價值 2.5M USDC 的資金。請保持警惕。

為了釐清此事件如何發生，我們已依時間順序列出涉及的帳戶。

中繼與出資地址（relay and funder address）為 0x92fc19271fce6d48cd41a0eff6f5dd40f1090d72。該錢包先是向一個委託者帳戶（delegator account）發送了 87,238 FORTH 以及 0.005 ETH（作為 gas）。

接著，該委託者位於 0x38cAaa5782BF8afF646403D567D76b016d5c24D8，最後持有相同的 87,238.546 FORTH。該錢包在提交提案前恰好 19 分鐘，將其投票權委託給最終提案者。

最後，提案者以及預定的付款地址（intended payout address）是 0x730C97E793f6F7c476C6AeB3E1c3fDad4714dd82。透過這次委託，該帳戶目前在投票權上控制了 87,238.546 FORTH。

探索人工智慧安全評估，這些評估正變得愈加頻繁、驚人地細緻，且涵蓋範圍更廣。

由 GoPlus 帶來。

#DeepScan

GoPlus 安全警報

我們想熱情提醒我們的社群，需保持警惕，留意與 $LAPTOP 迷因幣相關的新興安全風險。由於市場預期即將到來的、與 @HunterBiden 相關的資產空投，已經有大量詐騙網站在 X 上浮現。這些欺詐連結會虛假地宣稱自己是空投領取入口、白名單註冊頁以及空投資格查詢工具。

同時，我們也觀察到，在各種區塊鏈網路中，以相同 $LAPTOP 代號進行交易的仿冒代幣數量正在上升。與這些仿品互動存在重大風險。它們的底層合約往往潛藏各種危害，例如未經驗證的原始碼、過高的交易稅，以及惡意函數，可能會徹底暫停交易。

為了保護你的數位資產，請遵循以下 GoPlus 安全建議。

請務必只參考官方網站與官方 X 帳號以取得正確資訊。並確保將任何公告或更新內容，直接與 @Laptoptoken 與 @HunterBiden 進行交叉查核。

若你正打算探索市場，處理外觀相似的代幣時請務必極度審慎。養成在你發起任何交易或互動之前，先透過 GoPlus Token Security 檢查智慧合約的習慣。

最後，請防範釣魚攻擊，並遵守 #GoPlus Four Donts（四不原則）。簡單來說：不要點擊、不要安裝、不要簽署、不要轉帳。具體而言，請避免點擊不熟悉的連結，並避免安裝來自未知來源的軟體。此外，永遠不要簽署你不完全理解的錢包交易，並且在未驗證地址之前，先不要轉移任何資金到該地址。

1/3

以下是對近期安全漏洞的詳細解讀。

9月4日，基於以太坊的平臺 @NotionalFinance 遭遇了一次利用事件，約 172 萬美元從其託管合約中被轉移。

肇事者利用了 Notional V2 中 fCash 配對鑄造流程中的漏洞。其具體操作是操縱交易路徑，使資金從 ERC1155Trade.safeTransferFrom 流入 Portfolios.mintfCashPair()。

通過使用其控制下的多個錢包，犯罪者建立了極其激進的跨到期週期的多頭與空頭 fCash 倉位。系統的 freeCollateral 功能僅在單個賬戶層面評估償付能力。因此，它無法阻止攻擊者將風險隔離在不同賬戶與到期時間上進行分散。該策略成功爲攻擊者在短期內創造了鉅額即時信用，同時卻在未來留下了巨大的虧空。

你可以在此查看完整交易記錄：
https://etherscan.io/tx/0xe1589a19fe742f0d553889214abade69551fe944acffac014c28cc07b325d60a

你是否有特別想讓我們免費審查的 Meme 或 DeFi 平臺？我們的每週“你提名，我們審計”活動賦予你選擇的權力。收到社區建議後，DeepScan 將進行全面的、免費的 AI 審計，並且我們會在每週四於 Space 上分享完整的審計發現。

作爲感謝，我們每週會在所有被提名者中隨機選出 10 位，並贈送每人 10U。此外，只要你通過收看、轉發或評論我們的週四 Space 互動，你還可以讓另外 5 位社區成員各獲得 10U。

參與非常簡單。只需在下方發表評論，並嚴格按照以下結構：I nominate [Project Name] [Contract Address] #DeepScanAudit。

請記住：提供合約地址是嚴格必需的。目前，我們僅對基於 #BNBChain、#Base 和 #RobinhoodChain 構建的項目進行審計。

最後，如果被提名項目的開發者或代表希望討論審計結果，我們強烈鼓勵他們加入我們在 Space 上的對話。

來自 GoPlus Security 的重要通知

我們想就一次近期事件，向大家分享一個關於數字資產安全的關鍵提醒。一位社區成員在約 922 天前授權了一筆惡意的 #Permit 交易後，損失了大約 97k $SYN。不幸的是，由於最初的訪問授權從未被取消，攻擊者得以再次返回，並從同一賬戶中進一步抽走約 122k 的 $SYN。

爲保持透明，受影響的受害者地址爲 0x686618aBb3730079601a5abEAD6eC24549c5Ce34。被盜資金追蹤到了兩個惡意錢包，分別是 0x0000db5c8B030ae20308ac975898E09741e70000 和 0x9EC9ca0c7846E8726D5d734EFd291f855ea03447。

爲避免類似情況，我們強烈建議採取以下必要的防護措施。

首先，請始終遵循 #GoPlus 反釣魚 4 不要。請勿點擊不熟悉的鏈接，避免下載未經驗證的軟件，不要簽署任何你未完全理解的交易，並且永遠不要向未被徹底覈實的地址轉賬。

其次，我們建議安裝 GoPlus Security 瀏覽器擴展。這個實用工具能夠在實時運行中主動攔截釣魚鏈接、風險簽名、惡意授權以及可疑交易。你可以在 https://chromewebstore.google.com/search/GoPlus 輕鬆下載。

最後，請留意你的代幣權限。你只應批准完成某筆交易所必需的精確金額，並且絕不要授予無限額度。定期按照固定計劃審查並撤銷任何過期授權也是一種很好的安全習慣。

詳細回顧：連續發生的 Cosmos EVM 漏洞導致損失超過 1700 萬美元

在 8 月 20 日至 8 月 23 日期間，惡意行爲者利用 cosmos/evm 框架中質押預編譯（staking precompile）以及歸屬（vesting）賬戶內發現的一組特定缺陷。僅僅三天之內，這些漏洞就被成功用於攻破三個不同的網絡：TAC、KiiChain 和 MANTRA。針對這些定向攻擊造成的總體名義損失超過了 1700 萬美元。

需要非常明確的是，這一輪近期的利用並與 2026 年 1 月的 ASA-2026-002 漏洞完全無關。上一種情況導致 Saga EVM 損失約 700 萬美元，並由 ICS20 嵌套執行問題引起。由於分析不充分，部分媒體來源已錯誤地將這兩起事件混爲一談。實際上，這兩起事件在利用方式、軟件補丁以及代碼路徑方面都完全不同。

請通讀以下討論線程，以獲得對情況的完整且全面的解析。

1/ 5

事件概覽：更深入瞭解 Term Labs 治理漏洞

8 月 23 日，@term_labs 協議遭遇重大治理篡改，導致約 850 萬美元的資金從平臺被轉走。

核心問題在於投票權極其脆弱。該漏洞使得肇事者僅需花費 0.5 ETH，就能夠獲得對系統的絕對控制權。

爲拆解此次攻擊的運作機制，第一步是惡意行爲者將約 0.5 ETH 轉換爲 0.485 tmvETH。

你可以在此查看確切的交易細節：
https://etherscan.io/tx/0x724e377f0523898061b9e2f504ab7792e06846c3cb728a6d5b19a2fa58d2ca0e

目前，SafuSkill 已經成功整合了 @binance 旗下 #AgentOS 平臺 Skill Hub 裏的全部 18 個 skills。

根據截至 2026 年 8 月 21 日的公開自動掃描數據，我們對這些項目進行了全面的回顧。整體來看，這 18 項的聚合評估結果均維持在 LOW 級別。基於公開的 riskScore 換算出的算術平均分達到了 97.4/100，並且其中有 15 項完全沒有發現任何 findings。

對於其餘產生提示的 signals，經過覈實，它們與源代碼的實際設計功能完全契合。具體而言，p2p 模塊觸發了一條高嚴重度的上傳模式預警，但這僅僅是因爲其業務需要向預簽名 URL 上傳申訴證據。binance-wallet-tracker 模塊出現了三條關於 Unicode 易混淆字符的低嚴重度啓發式提示，這並不包含任何惡意意圖。另外，fiat 模塊收到了一條信息級別的提示，旨在建議開發者針對 external network access 進一步完善 allowed-tools 聲明。

在此需要向大家說明，雖然目前的公開 findings 並未揭示出任何可被利用的攻擊路徑，但這並不能被視爲永久免於風險的安全證明。由於各個項目的掃描日期存在差異，且相關數據中缺少固定的 pinned commit SHA，上述結果僅僅反映了代碼在各自掃描時間點的狀態。

因此，爲了確保您的操作安全，在正式投入使用之前，請務必親自核實 Agent 實際運行的代碼版本、分配的權限以及所有對外訪問的連接目標。

Go Agentic. Stay Safu!

Skill Hub 在 @binance Agent OS 上提供的 18 項技能中的每一項現已全部包含在 SafuSkill 中。根據截至 2026 年 8 月 21 日所記錄的公開自動化掃描日誌，這 18 項技能的整體風險分類達到了 LOW（低）。此外，將公開的 riskScore 指標進行翻譯後，平均得分表現優秀，爲 97.4/100。

任何額外標記的信號都與其原始來源上下文完全一致。具體而言，p2p 模塊僅因其將申訴證據傳輸到預簽名 URL 而觸發了高嚴重性上傳模式。至於 binance-wallet-tracker，掃描發現了三個低嚴重性的 Unicode-混淆（confusable）啓發式規則，但這些發現並不能證明存在惡意意圖。最後，fiat 技能產生了一條信息性結論，建議優化 allowed-tools（允許的工具）聲明，以更好地處理外部網絡訪問。

請記住，儘管這些公開報告展示了當前缺乏可利用漏洞的情況，但它們無法保證永久安全。所審查的代碼僅反映某一特定時間點；日誌覆蓋了多個不同的掃描日期；並且沒有提供已固定（pinned）的提交 SHA。

爲保障您自身安全，請在運行代理之前始終花一點時間確認具體版本、檢查允許的權限，並在執行前審閱所有外聯目的地。

Go Agentic。Stay Safu!

GoPlus Security 已發佈一則重要警報，涉及近期的漏洞利用。不幸的是，@Maya_Protocol 平臺遭受了重大安全漏洞，導致總計損失約 170 萬美元（~$1.7M）。分解被盜資產，這一數字包括約 140 萬美元的 #BTC 以及 30 萬美元的各類山寨幣。

此次事件之所以得以發生，是因爲 Trade Accounts 系統中存在漏洞。惡意行爲者成功將 23 條消息整合到一筆單獨的交易中，並主動觸發了平臺盜取檢測機制中的缺陷。在利用該弱點之後，他們又趁機利用協議補貼，持續抽乾流動性池，直到其幾乎被清空。

對於希望查看鏈上證據的用戶，相關追蹤信息如下。

關聯攻擊者地址：
https://www.explorer.mayachain.info/address/maya1dl3yrfpedyr5jfr0r86s2apjltnjqgszmwsv8x

關聯攻擊交易：
https://www.explorer.mayachain.info/tx/516BA14D6976EC7B8A3087E1C52B195433EF0F9D85F4B9520675BC4FEB99E9B7
https://www.explorer.mayachain.info/tx/888AF3EBE9A9A0DBA0F64FE4FD77793E69872466691387A786C9FE19E2693519