BITWU 每日安全提醒

1. CoinDCX（印度交易所）约 1,600 万美元流出，官方说法前后不一

• 发生了什么：10-21 约 1,600 万 USDT 和部分 TRX 从 CoinDCX 相关的 TRON 钱包转出。CoinDCX 官方称这是 2025 年 7 月被盗后废弃的旧收款钱包归集流程失败造成的"运营损失"，由平台承担，冷钱包未受影响。ZachXBT 称 CoinDCX 先否认被盗、后又承认。
• 可信度：链上转出属实，多家媒体报道；"被盗"还是"归集故障"，当事方声明与链上侦探说法矛盾，暂无独立结论。资金去向的说法【不确定，未独立核实】。
• 来源：CoinDCX 官方 · ZachXBT · CoinDesk

2. 小额漏洞：WAX 多链桥、BSC 上的 NEM

• WAX 多链桥（10-22）：提现函数未校验负手续费。损失两家说法不同：SlowMist 约 9.05 万美元，Blockaid / The Crypto Times 约 7.5 万美元。
• NEM（BSC，PancakeSwap USDT/NEM 池）：代币记账漏洞被重复利用 42 次，损失约 82 万美元（BlockSec/Phalcon 分析 + 媒体报道）。
• 旧案跟进：Cysic 跨链桥（10-17）攻击者 10-23 向 Tornado Cash 转入 300 ETH 和 30.4 BNB（PeckShield）。
• 来源：SlowMist · The Crypto Times · TokenPost · PeckShield

3. Ledger / CryptoBilis 后续：冒充"帮忙追回资金"的骗局

• 窗口内无新调查结论。Ledger 官方反复说明：已确认的损失来自少数经销商售出的设备；自称员工或能"追回资金"的都是骗子，Ledger 不会索要助记词。
• 第三方估算总损失约 8,600 万至 9,000 万美元，Ledger 未确认【不确定】。可信度：当事方声明。
• 来源：Ledger 回复 1 · Ledger 回复 2

其他值得留意

• Pump.fun 上 $kimchi 拉高后跌超 95%，Lookonchain 称操纵方获利超 38.5 万美元；网红账号被盗的说法【不确定】。Lookonchain
• 朝鲜关联黑客以假招聘为诱饵，诱导求职开发者安装藏有恶意 .npmrc 的依赖。吴说
• PHP 远程代码执行漏洞（PHP2Shell）仍被大规模利用。SlowMist
• 稳定币：CoinGecko 单点报价 USDT 0.9990、USDC 0.9996、FDUSD 0.9974，未见脱锚报道。

可能受影响的人群

• CoinDCX 用户，尤其仍往旧收款钱包转币的人。
• WAX 多链桥用户、NEM 持有人、$kimchi 参与者。
• 从非官方渠道购买 Ledger 的人，以及公开求助"被盗"的人（易被假客服盯上）。
• 会按面试要求安装代码的求职开发者。

通用防护建议

• 每次转币前从官方 App 重新获取收款信息，并核对完整字符，不从历史记录里复制（防地址投毒）。
• 凡声称能"追回资金"的一律视为诈骗；助记词任何时候都不给任何人。
• 硬件钱包只从官方渠道购买。
• 面试中不运行来路不明的代码仓库。