一、核心洞察本轮周期内Coldcard硬件钱包固件漏洞导致约1.14亿美元比特币被盗攻击者利用弱随机数重建私钥并扫荡单签名钱包。安全趋势依旧呈现为由合约漏洞向私钥管理、社会工程等方向扩散。政策端Bybit起诉朝鲜及Lazarus Group并取得资产冻结令美国、日本、俄罗斯及欧盟同步推进监管规则或制裁行动。宏观经济出现黄金暴涨、韩国股市暴跌等分化信号霍尔木兹海峡临时协议谈判推进地缘扰动与流动性变量并存。二、要闻速览Coldcard漏洞致约1.14亿美元BTC被盗Bybit起诉朝鲜并获法院冻结被盗资产上半年加密黑客损失超10亿美元创同期新高美参议院通过全面俄罗斯能源制裁法案BitMart宣布有序清退提现仍困难普京签署法律允许受监管零售加密交易BIP-110软分叉临近激活预计8月9日强制信号超100个加密项目今年倒闭黄金单日暴涨4.2%突破4300美元欧盟MiCA实施后冒名诈骗激增苹果商店假Wasabi Wallet应用窃取6 BTC三、全域动态1.安全事件DeFi攻击ZKPanther治理模块被利用约512万枚ZKP被盗攻击者在Base上利用Gnosis Safe的Zodiac Reality模块提交无人反对的“yes”提案后获取代理升级权限将协议全部ZKP代币转走。缺陷在于乐观治理模块未对提案目标设置白名单0.5 ETH挑战债券对百万美元资产无真正威慑。FTPEthReflect合约遭攻击损失301.7 ETH攻击者在以太坊主网从FTPEthReflect共享池中提取约301.7 ETH漏洞细节已公开。Solido协议预言机更新过时隔差被利用Solido的SOLID代币价格预言机过期后错误引用USDT/USD价格攻击者反复循环借出价值约2.96亿枚SUPRA主要受害者包括Supra基金会流动性提供者。漏洞与攻击Coldcard固件漏洞遭大规模利用损失或达1.14亿美元攻击者利用Coldcard硬件钱包2021年固件中的确定性软件随机数生成器缺陷将种子熵降至约40位通过离线重建密钥从4585个地址中扫荡约1367 BTC。新一轮攻击已启用RBF允许用户加价覆盖未确认交易。漏洞源于固件误用PRNG替代硬件真随机数生成器。Zoth RWA平台二度被黑代理合约被篡改损失840万美元8月2日攻击者篡改代理合约实施距离上一次攻击时隔不久。Cardano钱包签名随机数缺陷致1610万ADA被盗相关公司关闭移动端钱包使用仅由公开交易哈希计算的随机数进行Ed25519签名私钥被逆向恢复374个钱包受影响。另有第二家钱包商因类似问题于8月3日永久停运。Solana OG攻击者将2290 ETH转入Tornado Cash在Solana OG遭1420万美元攻击近一个月后攻击者再次向Tornado Cash转入约439万美元ETH。钓鱼与社会工程苹果商店出现假Wasabi Wallet应用窃取用户6 BTC一款虚假Wasabi Wallet进入App Store一名用户损失约6 BTC。这是2026年第27个仿冒钱包上架最大的假Ledger应用已盗930万美元。StreamYard钓鱼攻击针对加密内容创作者攻击者发送伪造成StreamYard或Huddle01会议邀请的邮件实际超链接指向拼写极其相似的钓鱼域名诱导下载恶意软件或连接钱包。假Coinbase智能钱包扩展程序窃取用户密钥围绕潜在空投猜测攻击者发布仿冒Chrome扩展用户导入助记词后即被清空钱包。官方目前并无独立浏览器扩展。DKIM重放攻击伪造Google安全警报攻击者利用DKIM签名将Google合法生成的安全警告邮件重放给大量收件人邮件中变量异常暴露了攻击但常规验证均显示通过。“硬件审计”钓鱼攻击诱导用户安装RAT邮件谎称需进行硬件审计引导用户执行批处理文件安装远程访问工具。部分攻击后台有真人客服通过聊天指导安装。骗局与欺诈WOW EARN预售证实为退出骗局官网下线区块浏览器停运团队失联此前拥有数百万应用下载和精美钱包界面。Variational积分OTC市场被指由虚假账号运营调查发现操盘的三名管理员X账户均为购买或注入活动后使用其中一人使用已故人员账户目的疑似为在TGE后盗取资金。BEquities Group被标记为AI交易骗局平台宣称提供AI交易与高回报已被明确警告用户需独立核实其合法性。AxiomExchange电报机器人被指公开行骗用户连接该拥有8万月活用户的Telegram机器人后钱包即被清空项目方伪装成正常服务。2.政策监管全球政策监管Bybit正式起诉朝鲜及Lazarus集团法院批准冻结资产Bybit在美联邦法院起诉朝鲜、侦察总局及Lazarus集团涉及2025年2月15亿美元黑客事件已获初步禁令冻结部分中间方资产。截至目前追回约4840万美元冻结约3050万美元。德国当局同步捣毁混币平台。FBI“Blackout行动”扣押15亿美元加密货币扣押127,271枚比特币关联Prince Group跨国诈骗网络同时逮捕数百人关闭500多个虚假投资网站。DOJ起诉NFT公司创始人涉嫌挪用超千万美元Taj Tarsha被控通过SAFT向67名投资者出售9500万枚FAR代币资金未用于协议开发。日本金融厅与警察厅联手发布11项反欺诈措施要求交易所实施提款地址事先登记、强化监控、开户严格核实身份等应对社交媒体投资和杀猪盘诈骗。普京签署法律允许受监管的零售加密货币交易新法为交易所和经纪人建立监管框架但使用加密货币支付商品和服务仍被禁止核心条款9月生效。东莞警方拦截虚拟货币投资诈骗保住110万元受害人以线下现金兑换USDT为由提取110万元现金警方在交易前5分钟成功阻止。俄罗斯FSB关闭莫斯科9家未注册加密交易所指控这些服务商将电话诈骗资金洗兑为加密货币并转至境外20多人被拘留。欧盟MiCA截止后冒名诈骗激增ESMA警告诈骗分子冒充交易所和监管机构利用逾1700家未获许可平台需停止欧盟服务的混乱诱导用户转移资产。3.项目动态平台创始人回应提现困难称未跑路并计划有序清退创始人Sheldon表示核心团队在进行资产盘点考虑引入第三方审计和法院介入。用户反映实际提现仍存在长时间打包、无哈希、自动退回等问题。Eliza Labs创始人宣布$ELIZAOS代币死亡基金会解散集体诉讼和解耗尽财库无法进行回购、替换代币或未来支持项目实际终结。MARA二季度净亏损6.11亿美元比特币价格下跌致3.43亿美元未实现减值营收同比降27%至1.75亿美元产出增3%至2422 BTC但持仓减少29%。ZeroStack披露0G代币价值较成本下降91%亏损8250万美元截至6月30日其持有的7510万枚0G代币公允价值仅1520万美元累计亏损达3.39亿美元。Blockless节点硬件需求过高引发社区强烈不满实际运行需大量CPU和内存资源离线10分钟即重置积分被用户质疑为硬件消耗骗局。4.公链/基础设施超100个加密项目今年倒闭或消失涵盖交易所、钱包、DeFi、NFT市场、L1和L2主因包括代币价格暴跌70-90%及上半年超10亿美元的黑客攻击。BIP-110软分叉临近强制信号阶段提案预计8月9日在高度961,632进入强制信号期旨在限制非金融数据上链目前仅2.45%矿工支持可能产生短命少数派链。The Graph QoS预言机宕机超一月Subgraph停止解析官方Subgraph已停止解析新数据对依赖其索引的DApp造成影响。某比特币跨链桥因AI加速发现漏洞而暂停运营桥接项目称AI工具发现漏洞的速度超出团队修补能力已关闭运营直至另行通知。EIP-8363引发争议SharpLink CEO正式反对该提案在ETH质押比例上升时逐步提高区块奖励销毁比例反对者认为可能削弱独立质押者和以太坊安全性。