由 @BinanceLabs 领投的 #Web3 用户安全网络，致力于保护 10 亿 Web3 终端用户的交易和资产安全。 加入我们，共建 GoPlus 安全生态。
- Tweets 3,299
- Following 161
- Followers 6,796
- Likes 981
Pinned Tweet
🚀GoPlus SafuSkill #Launchpad 已上线——让你的 AI Skill 成为资产！
你做了一个 AI Skill，很多人在用它，但你一分钱都没赚到
问题不是没有价值，而是没有变现基础设施。
SafuSkill #Launchpad 功能正是为了解决这个问题
基于 BNB 链 @BNBCHAINZH ，集成 @flapdotsh 协议：
➡️上架Skill
➡️发币
➡️自动接入PancakeSwap
➡️交易越多，收益越高
➡️内置安全：AgentGuard 扫描 + GitHub 验证
🦞SafuSkill —— AI Agent Skills 的安全市场
不只是让 Skill 被用，更让它被交易、被定价，跑通价值闭环。
▪️市场（发现）
▪️Launchpad（发行）
▪️收益（自动累积）
这就是 Skill Economy —— 让 Skill 成为可交易、可收益的链上资产。
立即体验👉safuskill.ai/launchpad
3
1
20
7,936
⚠️ Robinhood Chain再爆Meme RUG工厂，流水超900万美元！
链上研究员 Wazz 近期披露，一个疑似连续 Rug 团伙在约两个月内发起至少 53 个 Robinhood Chain Meme，并从中提取约 1,843 万美元，其主要手法是使用 70–200 个钱包控制大部分代币供应，再将上一轮收益投入下一轮。
#GoPlus 安全团队近期在 Robinhood Chain 上也发现了类似的另一个高风险欺诈 Meme 工厂，近30天流水超 900万美元，涉及数百个欺诈 Meme。
资产归集地址：
0x8c3Bad30cc7563A2D0357F49509FFd063666bb00
截至 2026 年 9 月 28 日：
▪️地址余额约为 56.0635 ETH，约合 $148,000；
▪️地址共有约 1,385 笔交易，最新 400 笔交易中：
收入约 1,728.02 ETH；
转出约 1,861.12 ETH；
双向流水约 3,589.14 ETH，约合 $9.49M。
高风险关联 Meme 示例
如下附图的 Meme 均发现了“授权或卖出代币—>清仓 ETH—>转入同一归集地址”的直接证据。金额是同项目批次转入归集体系的毛金额，不代表净利润。
欺诈 Meme 工厂模式
欺诈 Meme 工厂模式主要包括“新号出货—分层归集—资金再循环：
1、根据行业热点进行 Token 创建；
2、将 Token 分配到大量仅有 4～11 笔交易的新 EOA；
3、通过 PonsV2Helper / UniversalRouter 分段卖出；
4、清空 ETH 至局部归集器或主归集地址（0x8c3bad）；
5、为下一轮项目、新钱包和交易操作提供资金。
这种欺诈模式的关键不是让用户“无法卖出”，而是：
1、用大量新钱包隐藏实际筹码集中度；
2、由这些钱包分段抛售，制造多个独立交易者的假象；
3、出货完成后，资金汇入同一归集体系；
4、将旧项目收益重新投入下一轮。
与 Wazz 公布的案件的异同
共同点：
▪️都大量使用 Pons V2；
▪️都通过钱包批次隐藏真实持仓集中度；
▪️都存在同步买卖、统一归集和收益循环；
▪️都不是依赖撤 LP 或禁止卖出的传统 Rug；
▪️上一轮收益都可能成为下一轮项目的启动资金。
区别：
▪️Wazz 案件重点是 70–200 个钱包抢购并控制 70% 以上供应，以及反狙击税豁免和跨项目 funding key；
▪️本案例更突出大量 EOA 新地址和资金归集和再利用；
两个案例的欺诈模式类似，但现阶段无证据表明为同一团伙。
I just uncovered the biggest serial Rugpulling and Extraction operation on Robinhood
The same operation is linked 53 launches within a 2 month period
Total Extracted: $18.43 MILLION
very likely more this is just what I could directly link
🧵
18
4
19
6,003
❗️THORChain 从来都不算严格的去中心化
@THORChain 将自己类比 BTC/ETH 等去中心化 L1 公链是不成立的，切莫因想趁机赚取黑客的跨链手续费而做出危害行业、纵容罪犯的事。
1、资金托管结构：TSS 金库 ≠ 底层共识
BTC/ETH 上，资产由用户私钥控制，矿工/验证者只负责排序与打包，从不持有用户资产；单个矿工最坏情况是不打包你的交易（消极不作为），但绝对无法主动把你的币转走。
THORChain 的每一笔跨链出金（vault → 用户/黑客地址）都必须由当前活跃验证者集合用 GG20 TSS 达成阈值签名后主动发出。资金在 swap 期间实际托管在由多个节点共同控制的 TSS 金库里。
因此每一次放行赃款都是一次主动签名行为，不是"无法阻止的中立排序"。正如 @star_okx 所说：从托管角度看它只是用户与原生链之间的中介，分散的中心化托管不等于去中心化。
2、验证者集合：规模不大、可协调
官方文档自述：THORNode 通过 bond RUNE 入选，活跃集合设计上限约 100（可扩展至 250+），每 ~3 天 churn 一次淘汰"最老、最慢、保证金最低"的节点。
节点之间通过 Dev Discord #mainnet channel 实时协调、匿名 relay、投票（Mimir/节点投票）——这是一个有沟通渠道、有投票程序、有执行工具的协作组织，而不是 BTC/ETH 那种全球匿名、无协调通道的开放集合。
3、干预能力是官方设计，有操作文档，有干预实例
make pause：单节点即可触发的全网暂停（720 块/次，可叠加），口号"Halt Earn, Halt Often!"，原则 "an abundance of caution"，误触发可 make resume 撤销。
分链 signing halt：节点投票可只暂停某条链的出金签名——恰好就是"阻止黑客把 ETH/BNB 换成 BTC 提走"所需要的精细工具，无需全网停机。
Mimir 治理：节点可在线投票改参数、halt trading / halt signing。
实例记录：2026-05 THORChain 自己被盗时，就进行了实际的暂停和受控停机，阻止黑客转移资产。
4、THORChain 的不作为是有利可图的
Bybit 事件中，黑客 10 天洗完全部 49.9 万 ETH，主要经 THORChain 换成 BTC，为THORChain带来 约 $59 亿交易量、约 $550 万手续费。
本次Bitget事件中，已通过 THORChain 换出 约 101.5 BTC（≈$8.5M），另有约 27.63M XRP（≈$43M） 正在经 THORChain 换 BTC，潜在手续费收入数十万美元。
2025-02 验证者曾投票拦截朝鲜资金、随后被逆转，主张拦截的核心开发者 Pluto 因此离职。
5、「THORChain 和 BTC 一样」是在混淆概念，详细对比参考截图。
⚠️ 对已被 FBI 、OFAC归因的朝鲜黑客地址和资金行使分链 halt / 拒绝 outbound，与 THORChain官方文档既有的 "funds-at-risk" 应急框架一致。THORChain 应行使自己的义务，切莫因一己私欲危害整个行业。
Our attacker addresses are publicly listed and actively tracked. We are formally asking @THORChain to refuse service to these addresses. Decentralization is a design principle, not a shield for facilitating known stolen funds.
The industry is watching.
1
5
1,105
Bitget 3.875 亿美元被盗事件状态更新与安全分析
Bitget 最新确认被盗金额约 3.875 亿美元，较最初的 3.516 亿美元有所增加，补计了 Zcash 和 TRON，并非发生了第二轮盗窃。被盗的是 Bitget Exchange 的部分热钱包和温钱包，Bitget 已声明冷钱包及独立运行的 Bitget Wallet 自托管产品未受影响。
这不是一起私钥泄露事件，而是又一起交易签名信任链被攻破的安全事件。攻击者让 Bitget 自己的签名基础设施为"交易所从未意图发起的转账"产出了合法的签名，并最终确认并完成资产转移。这与 Bybit 2025（Safe签名界面被篡改）15亿美元被盗指向同一类结构性风险：签名流水线信任基础单一，易被黑客关注和攻击。
GoPlus 已将黑客相关地址全部拉黑，并将相关信息同步给生态合作伙伴，希望能进一步帮助封堵黑客的资金转移，控制和降低事件损失。
一、事件时间线
09-24 18:31，攻击者接收地址被注入 0.84 ETH gas——gas 来自 Bitget 自己被控的热钱包；Bitget 官方称同一分钟检出未授权转账；
18:58，首笔大额转出：约 $34.75M USDT，流向 27 分钟前充值的同一地址；
19:16，最大波次：约 $185M 在约 1 分钟内提现，含 Ethereum 上 13,966 ETH、XRP Ledger 上约 91.4M XRP、TRON 上 20.6M TRX；
18:58–21:23，持续 2 小时 25 分的多链转出窗口，涉及 ETH/USDT/USDC/AVAX/BNB/XAUt/XRP/TRX；
19:00，起攻击者通过 DEX 将稳定币等兑换为 ETH 并跨链归集至以太坊；
~21:30，Bitget CEO Gracy Chen 发布安全通知，并宣布暂停提现；
~22:00，EVM 侧约 $155M（ETH/AVAX）被拆散存入多个"休眠金库"地址停放；
09-25 02:13，起黑客继续分账和转移资产，详见trace.bgblockchain.xyz/v2#ex…
09-26，Bitget 宣布已完成漏洞原因调查与系统修复，陆续开放提现通道。
二、被攻击原因
官方更新
Gracy Chen 明确：攻击者攻破了钱包基础设施中一个关键后端系统，利用它伪造交易数据，进而驱动 Bitget 自己的授权签名流程转出资金；已排除私钥泄露。完整技术报告与具体渗透路径尚未披露。
架构性根因：签名流水线信任单一后端
CEX 提现签名的典型链路是：用户请求 → 后端校验（余额/风控/白名单）→ 构造待签交易 → 交给 MPC/多签/HSM 签名 → 广播。
问题出在：黑客绕过了后端校验，构造出没有被风控拦截的待签交易，而签名器（无论 MPC 还是多签）对"该签什么"缺少判断能力，后端给它什么它就签什么。
攻击者控制的不是密钥层，而是风控决策层："签什么"的数据源被污染后，所有依赖同一后端的控制（风控规则、额度检查、审批流）全部被绕过。
细节佐证：攻击者的接收地址 gas（0.84 ETH）来自 Bitget 自己的被控热钱包——说明攻击者在正式动手前已能驱动签名流程，并做了一次链路测试。
伪造数据同时解释了近 3 小时的响应缺口：18:31 即"检出"，但转出持续到 21:23。被伪造的交易数据很可能让这些转账在内部监控视角下看起来"合法"，或者 Bitget 的签名流水线根本没有可远程触发的自动熔断。这是本次事件除入侵本身外最需要复盘的问题。
可能的初始渗透路径（推测，待官方报告确认）
提现数据库直接篡改/插入伪造提现记录；
内部 API 伪造或重放（后端与签名服务之间缺乏请求级强认证/防重放）；
后端→签名器消息队列注入；
白名单/地址映射表替换（把"用户提现地址"替换为攻击者地址）。
与此前 Bybit 被盗事件的对照
Bybit 是签名界面（Safe 前端）被植入恶意脚本——签名人看到的内容与实际签署内容不符；Bitget 是后端数据被伪造——根本没有"人看"的环节，自动化签名直接执行。两案是同一个 WYSIWYS（所见即所签）问题在前端/后端两层的不同表现，且黑客身份都被指向朝鲜黑客团伙（DPRK）。
三、攻击者地址与身份定位
事件发生后的第一时间，Bitget 和行业就公布了黑客相关的主地址和初始收款地址，包括不限于：
0xA6dD3F218B65E32Ccc37BE30f74884133c655545 0xD2C2f029eFF5caCc686F24377CfdDcfc82d9F899 0x600cfeDc6Bd65Fa79B604dC44964f419e45784b2 0x94A43df7687A8494948Be937400e9d5D33135DA0 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee 0x7c96279Ec1e888Aa56b9B836e0dB26ca48573E1C
之后，攻击者一直在链上进行不断的分账和资产转移，企图给链上追踪和资产冻结提高难度，目前攻击者相关地址已近900个，更多分析详见：
trace.bgblockchain.xyz/v2#ex…
“highly likely DPRK-linked”，证据链有三层：
① 链上地址关联：链上研究员 Specter 发现，被盗 XRP 跨链后可关联到 2026 年 7 月 $24M AFX 攻击的资金。链上分析公司 Elliptic 进一步发现本案资金与 Bybit 2025 洗钱地址存在连接。
② 链下指标：Bitget 调查人员识别出的 IP 地址匹配某 DPRK 团伙惯用的 VPN 服务模式（Gracy Chen 在 X 直播中披露）。
③ 洗钱手法：稳定币/非原生资产分钟级兑换为各链原生资产（防发行方冻结）——典型 DPRK 手法；且 Arbitrum 上资金被迅速跨到以太坊主网，明显吸取了 KelpDAO 事件中 Arbitrum 安全理事会紧急冻结 30,766 ETH 的教训（以太坊 L1 无此冻结能力）。
注意：Bitget 尚未公布归因到 DPRK 的技术依据，Chen 措辞为 "very likely"；严格意义上仍是高置信度评估而非定论。
四、给中心化交易所当前最重要的安全建议
1️⃣ 在核心业务系统之外，建立独立的交易风控系统
本次事件的本质是：所有信任后端的安全控制全部失效。如果能建立一个独立于业务系统之外的风控系统，在签名前对每笔交易做模拟与策略风控——金额、流出速度、首次收款地址、威胁情报黑库。本次转出"单次数千万美元、流向零历史新建地址、多个热钱包同窗口并发"，在任何独立校验规则下都能够及时发现并阻断。
2️⃣ 熔断与限速机制
18:31 检出到 21:23 最后一笔，近 3 小时窗口暴露了安全熔断能力的缺失。以本次为例，若首笔 $34.75M 后即熔断，可保住约 90% 的资产安全。
3️⃣ 人员与供应链防线
DPRK 团伙惯用社工、虚假招聘、供应链攻击等手段，对业务系统进行渗透。交易所需谨慎并定期评估人员安全、操作风险、软件供应链安全等脆弱环节。
1
1
2
1,357
🚨GoPlus安全警报：Magic Eden 用户请立即撤销 Limit Break Payment Processor 授权
NFT 市场 Magic Eden 曾接入 Limit Break 的支付处理器作为以太坊结算层，目前该协议在 #Ethereum 的 Payment Processor V2、以及 ApeChain 的 Payment Processor V3 被发现存在漏洞。攻击者可利用未撤销的授权，在未签名情况下直接转走 NFT 和 WETH。
目前已确认被恶意盗走或未能挽回的资产包括：
10 个 Meebits
50 个 Otherdeeds
10 个 World of Women (WoW)
235 个 Desperate Apewives
约 660 枚 #WETH（约 170 万美元）
⚠️ 曾在 ETH 使用过 @MagicEden，或曾授权上述合约的钱包均处于风险中，请立即撤销如下合约授权：
以太坊 Payment Processor V2：
0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834
ApeChain Payment Processor V3：
0x9a1D00000000fC540e2000560054812452eB5366
REVOKE APPROVALS TO THESE ASAP:
Payment Processor V2 on Ethereum: 0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834
Payment Processor V3 on ApeChain: 0x9a1D00000000fC540e2000560054812452eB5366
use revoke.cash or similar.
717
🚨 GoPlus安全警报 🚨
Bitget 官方确认热钱包和温钱包遭攻击，预计损失 3.516 亿美元，目前 Bitget 已暂停提币进行全面的安全审查。
今天凌晨2:31 Bitget安全系统监测到部分热钱包出现异常转账。安全团队在第一时间启动应急响应机制。
一、已确认的情况：
1、初步评估涉及金额约3.516亿美金
2、冷钱包及平台绝大部分资产完整，未受影响
3、用户资金安全。本次损失金额完全在Bitget用户保护基金覆盖范围之内（保护基金当前规模逾4.64亿美元）
二、已采取的措施：
1、事件发生后数分钟内启动应急响应小组
异常转账地址已标记并上报
2、出于资金安全考虑，提币功能暂时关闭，待安全核查完成后有序恢复
3、已通知执法机构及链上安全机构介入调查
三、对您意味着什么：
1、您的账户余额准确，资产受到保护
2、充币和交易功能正常运行
3、提币暂时关闭，安全核查完成后将第一时间恢复
四、后续安排：
我们将以小时级别持续更新，请关注官方平台公告。我们将在24小时内发布完整事件报告，包括根本原因分析与整改措施。在调查结论明确前，我们不会对攻击方式进行任何猜测。
🙏Bitget 走过了多轮牛熊，我们不会回避本次事件——每一笔资金、每一个决策，我们都会向大家如实交代。后续进展将第一时间同步。安心！
1
578
因开源的"数字果蝇”实验，在币安 CZ 的转发互动后，诞生了大量名为“果蝇”、“永生果蝇”的 MEME 币，虽然大部分合约层非貔貅、无漏洞，但代币集中度高，流动性枯竭（$10–$1,500 级别），成为 Dev 收割利器，比如 0x225a Dev 持有 80% 份额，获利超 3 万美元。
2
2
2
718
⚠️漏洞分析：Neutron 治理攻击事件分析
9月22日，攻击者通过 @neutron_org 治理提案取得 @astroport_fi 与 @dropdotmoney 相关合约的管理员权限，并利用管理权限进行资产转移。名义损失 ～$9.4M，攻击者已跨链转移～$1.96M。
🔍 被攻击原因：
Neutron 所使用的 wasmd 支持通过链上治理执行 MsgUpdateAdmin，改写合约的管理员。这意味着应用层多签并非最终权限边界，Neutron 链级治理拥有更高权限，可以接管相关合约。
事件同时暴露了严重的经济安全失衡：按事发时价格计算，Neutron 已质押 NTRN 的市值约为 11.3 万美元，但该治理权限能够控制约 940 万美元的合约资产。攻击者得以用远低于受保护资产价值的成本取得决定性投票权。
攻击步骤：
1、发起恶意提案：提交 Proposal #9"AIATO: AI Agent Takeover"：neutron.celat.one/neutron-1/… ，包装为 AI 治理研究实验，实际 payload 为 11 条 MsgUpdateAdmin；采用加急流程（3 天投票期、67% 门槛、100 万 NTRN 押金）。
2、低成本买票：NTRN 质押约 ~$113K，却守护 ~$9.4M 资产。攻击者先用 ~100 NTRN 投票，在计票前 11 分钟再以 $20,199 USDC 买入 3,162 万 NTRN 委托。
3、转移资金：投票截止前 1 小时上传 code_id 5399（包含恶意的 withdraw_all { recipient } 入口）；提案执行后 24 分钟内对 10 个合约执行 MsgMigrateContract（{"migrate_to_v2":{}}）并逐一调用 withdraw_all。
💀 攻击者地址
Neutron：
neutron1dd25c4sshelrpfs0433apg24c5phrhk8l6n605
Cosmos Hub：
cosmos1dd25c4sshelrpfs0433apg24c5phrhk8m96c4n
Noble / Axelar / dYdX / Osmosis：同私钥派生
noble1dd25c4… / axelar1dd25c4… / dydx1dd25c4… / osmo1dd25c4…
Ethereum：
0xe149310eB8b1b3D9C471CcD81819D393621fBA5c
0xEF6c5A31df984c8569236a0AbC1f27580E2a5D54
We're aware of a security incident on Neutron that may have exposed admin control of Astroport contracts. Neutron has halted the chain to investigate.
As a precaution, withdraw your liquidity from Astroport on all chains until further notice. Updates to follow here.
1
2
799
📢 GoPlus Security API 现已支持 @arc。
作为 Web3 安全基础设施，GoPlus 将 Token 安全、交易风险检测与 DeepScan AI 驱动的安全审计能力带入 Arc 生态，实时识别蜜罐、增发、黑名单等风险，和 AI 合约安全审计、持续安全监控等全面功能。
为支持 #Arc 生态建设者，注册即可获取 API Key 并享有免费额度，立即集成👉 console.gopluslabs.io/
2
1
5
589
⚠️ 更新：同一攻击者利用 @SingularityNET 桥非法增发 $AGIX 和 $WMTx，攻击者持仓账面扩大到～$16.77M，已套现～$2.2M。
本次事件为联盟生态级运营密钥簇失陷，而非单一项目私钥泄露。受影响方已覆盖 @Fetch_ai、@nunet_global、@SingularityNET 及 @wmchain。
🛡️ 安全建议：
用户：谨防假冒客服、索赔和"代币迁移"的钓鱼链接，仅从官方渠道获取信息；
交易所：冻结攻击者相关地址及相关增发代币充值交易；
项目方：立即轮换运营密钥、审计铸造/授权角色、桥接函数增加限额与对端销毁证明。
🚨GoPlus安全警报：
9月20日，@Fetch_ai 和 @nunet_global 的链上合约被攻击，TokenConversionManagerV3 合约中的 8,721,530 ethereum:0xaea46a60368a7bd060eec7df8cba43b7ef41ad85 被抽干，$NTX 被非法铸造了 408,532,878 枚，攻击者共计获利约 200 万美元。
🔍 根本原因：
@Fetch_ai 转换授权人私钥泄露 + conversionIn() 缺少限额和对端锁仓/销毁证明。合约按设计验证了有效的 ECDSA 签名，然后把桥内全部 FET 转给攻击者指定地址。同一运营密钥簇里的 @nunet_global Deployer 也失陷了，直接 mint 了最大上限的 NTX。
攻击者地址：
0x1572F2af7696b39c85E3221CDE8EFb640F86c362
失陷的 @Fetch_ai 转换授权人地址：
0x69e5446b07b23de0a76730062c3252152216c85c
失陷的 @nunet_global NuNet Deployer 地址：
0x863F13e5B505f1Eb17803b94EC9d3DaF80092165
被利用的 @Fetch_ai 合约地址（FET）：
0xab424A430CC09864fA1277A38193111705ADF3A3
被利用的 @nunet_global 合约地址（NTX）：
0xF0d33BeDa4d734C72684b5f9abBEbf715D0a7935
攻击赃款接收地址：
0x2dcc1085fDCf418B421E45e86e4e54637cc21dfE
攻击交易：
etherscan.io/tx/0xfe12c63b32…
etherscan.io/tx/0xe14442f617…
2
1,050
🚨GoPlus安全警报：
9月20日，@Fetch_ai 和 @nunet_global 的链上合约被攻击，TokenConversionManagerV3 合约中的 8,721,530 ethereum:0xaea46a60368a7bd060eec7df8cba43b7ef41ad85 被抽干，$NTX 被非法铸造了 408,532,878 枚，攻击者共计获利约 200 万美元。
🔍 根本原因：
@Fetch_ai 转换授权人私钥泄露 + conversionIn() 缺少限额和对端锁仓/销毁证明。合约按设计验证了有效的 ECDSA 签名，然后把桥内全部 FET 转给攻击者指定地址。同一运营密钥簇里的 @nunet_global Deployer 也失陷了，直接 mint 了最大上限的 NTX。
攻击者地址：
0x1572F2af7696b39c85E3221CDE8EFb640F86c362
失陷的 @Fetch_ai 转换授权人地址：
0x69e5446b07b23de0a76730062c3252152216c85c
失陷的 @nunet_global NuNet Deployer 地址：
0x863F13e5B505f1Eb17803b94EC9d3DaF80092165
被利用的 @Fetch_ai 合约地址（FET）：
0xab424A430CC09864fA1277A38193111705ADF3A3
被利用的 @nunet_global 合约地址（NTX）：
0xF0d33BeDa4d734C72684b5f9abBEbf715D0a7935
攻击赃款接收地址：
0x2dcc1085fDCf418B421E45e86e4e54637cc21dfE
攻击交易：
etherscan.io/tx/0xfe12c63b32…
etherscan.io/tx/0xe14442f617…
1
4
2,179
🚨 低流动性代币警报：
在“全民题名”第二期活动中， @Jimmyfestz 提名的 Robinhood Chain 上 $DOGO ：0x77b0AA38451ccDC1b42587E2f80B9879A7f82356 ，存在流动性严重不足和刷交易量风险。请用户远离，避免资金损失 ！
经 #GoPlus 调查，该代币市值 1370 万元，名义流动性 134 万美元 ，但 LP 中真实可退出深度仅约 0.28 #ETH。更在 24 小时 139 万美元的交易量中发现：
1、地址 0xef75…5bae 用 9.383 ETH 买入 1,692,795.2348 DOGO：robin.etherscan.io/tx/0xc237…
2、把完全相同数量的 DOGO 转给另一个地址 0x54ff…6edc：robin.etherscan.io/tx/0x503c…
3、41 秒后，第二个地址把同一批 DOGO 卖回池子，取回 9.382981234 ETH：robin.etherscan.io/tx/0xcc4b…
整个循环净减少只有约 0.0000188 ETH + gas，却制造了约 18.766 ETH 的双边成交量，并让两个地址分别计为买家和卖家。近 24 小时 Top Traders 中存在数十组“一次买入约 160 万枚”和“一次卖出约 160 万枚”的相似钱包。
买卖量几乎完全相等，可以确定为刷交易量引诱交易。
📌 该 Token 合约的 #DeepScan 安全审计将在后续报告中公布，欢迎大家继续踊跃题名！nitter.net/GoPlusZH/status/210018…
第一期“DeepScan全民提名”活动已圆满完成，感谢社区用户踊跃提名 🙌。我们在第一期活动中：揪出一个杀猪盘（$JINQIAN）、满分合约也会暴跌（$LAPTOP）、连环发币不一定是风险（$FLOKI）。
📢 现在，第二期来了 ，参与方式：
1️⃣ 关注 @GoPlusZH
2️⃣ 在评论区留言：我提名[Token名称] [链名称] [合约地址] #DeepScanAudit
3️⃣ 提名时间：9 月 16 日 – 9 月 23 日（UTC+8）
🎁 活动奖励：我们将从提名用户中抽 10 人，每人 10 U。
最终入选项目将获得 DeepScan 三维深度体检，报告公开发布 —— 是好是坏，链上数据说了算。
4
4
7
1,002
⚠️ 漏洞分析：Nostra Finance 被攻击事件分析
9 月 17 日，#Starknet 借贷协议 @nostrafinance 的货币市场（money market）遭到预言机价格操纵攻击，约 350 万美元资产被异常借出。
攻击者将平台币 NSTR 的预言机价格从约 $0.006 拉高至 $49.5（约 8,000 倍），用被高估的 NSTR 作为抵押品借出约 $3.5M 的其他资产。Nostra 货币市场已全面暂停（存借、清算均不可用）。
🔍 攻击过程分析
▪️ 数月前，3月/8月：囤积 NSTR，预置抵押品，相关地址（0x06d48ef7）；
▪️ 9月17日 05:23：创建 NSTR/SolvBTC 假池 + 1.5 SolvBTC 单边流动性，劫持 GeckoTerminal 池子选择，相关地址（0x3aa300d2）；
▪️ 05:27–05:47 ：池内洗售对敲、撤空做市区间，相关地址（0x2d9fb4ed）；
▪️ 05:47–05:48：swap 拉爆报价，价格为拉升到 $49.5，相关地址（0x2d9fb4ed）；
▪️ 05:48–05:50：多笔借款掏空 ETH/STRK/USDC/USDT/WBTC/DAI，~$3.5M，相关地址（0x06d48ef7）；
▪️ 05:51–07:08：经 AVNU/Ekubo/JediSwap 等抛售，220 万 STRK 经 NEAR Intents 出链，相关地址（0x06d48ef7）；
▪️ 9月18日前后：资金归集，相关地址（0xa059aaab）
本次事件属于"低流动性资产的预言机价格失效"问题：
1️⃣ 低流动性平台币被允许作为抵押品；
2️⃣ 其喂价机制依赖于第三方数据源（攻击者疑似通过增加池子的表面流动性，影响 GeckoTerminal 对 NSTR 报价池的选择）;
3️⃣ 攻击者的攻击成本仅约 1.5 SolvBTC + 数月前低价囤积的 NSTR。
📌 攻击者信息
▪️ 借款账户:
0x06d48ef7ab62c26e3ef1987c322096cd508e9034c82048783a6b438fc1344bc3
发起 6 笔借款 + 约 80 笔抛售交易，该地址早在 2026 年 3 月、8 月就与 NSTR 相关合约有交互，提前数月布局囤积 NSTR 抵押品，攻击预谋性强。
▪️ 操纵账户：0x2d9fb4edec9d5c015c43514ca5a309aab1b2638c3a45ad750d09ee971d0da23
执行拉盘/砸盘的多笔交易。
▪️ 过渡账户:
0x0285b4bf99e227c4baed7f9a8c7c673771fe0b75e897f7350729e3e13021321d（收 120 万 STRK)
0x074f5318f8d60ad0832068dc0430d0a0e2f9dd0c2e710fb8c032945a3804b57e（收 100 万 STRK)
收款后立即通过 NEAR Intents 跨链转出。
▪️ 以太坊跨链归集地址：
0xA059Aaab82773CAf622DE9d9A0F2dBF9Aa7F3c37 （～$1.9M），其他～$1.5M 还在借款账户中。
▪️ 攻击交易示例：
voyager.online/tx/0x2460fde6…
voyager.online/tx/0x79005742…
On September 17, a manipulated NSTR oracle price enabled one account to borrow approximately $3.5 million worth of ETH, STRK, USDC, USDT, WBTC and DAIv1 against NSTR collateral in the Nostra money market on Starknet.
The Nostra money market is paused: lending, borrowing, withdrawals and liquidations are currently unavailable. We are reconciling the impact on each asset and tracing the funds. The final loss and potential recoveries are not yet known.
We are working with relevant parties on recovery and will share verified updates, including a detailed post-mortem.
Beware of impersonators. Nostra will never DM you or ask you to connect a wallet as part of recovery.
Ongoing updates will be posted in our Discord.
3
8
1,252
钱包被盗，举目茫然，发推求助、私信 KOL、搜索指南、求问 AI——惊慌失措下，二次中招。
现在不用急，不用愁了！
GoPlus 正式推出盗币原因排查 Skill——盗币侦探！
为盗币事件设计的本地只读排查 Skill，让 AI Agent 帮你寻找资产失窃的真正入口，已覆盖链下 20 类常见盗币场景分析：
• 剪贴板劫持与地址替换
• 信息窃取木马
• 恶意浏览器扩展
• npm、PyPI 及软件供应链投毒
• 恶意 IDE 插件与伪造 SDK
• 假客服、假招聘、假会议和安全升级钓鱼
• Drainer、恶意授权、Permit、盲签与地址投毒
• 助记词和私钥存储泄露
• 假钱包及移动端权限滥用
……
盗币侦探 Skill 已开源，立即让你的 Agent 安装，有备无患：
github.com/GoPlusSecurity/wa…
10
1
10
697
第一期“DeepScan全民提名”活动已圆满完成，感谢社区用户踊跃提名 🙌。我们在第一期活动中：揪出一个杀猪盘（$JINQIAN）、满分合约也会暴跌（$LAPTOP）、连环发币不一定是风险（$FLOKI）。
📢 现在，第二期来了 ，参与方式：
1️⃣ 关注 @GoPlusZH
2️⃣ 在评论区留言：我提名[Token名称] [链名称] [合约地址] #DeepScanAudit
3️⃣ 提名时间：9 月 16 日 – 9 月 23 日（UTC+8）
🎁 活动奖励：我们将从提名用户中抽 10 人，每人 10 U。
最终入选项目将获得 DeepScan 三维深度体检，报告公开发布 —— 是好是坏，链上数据说了算。
216
85
142
4,605
1/4
⚠️ 漏洞分析：
2026年09月15日，一巨鲸 #Safe 钱包策略执行器合约，因存在授权检查漏洞被攻击，损失约780万美元。
❓ 根本原因：
任意调用者把目标合约参数设为 address(this) 即可通过校验，再经已授权 Safe Module 以 delegatecall 在 Safe 上下文中执行任意操作。攻击者把约 2,900 aEthrsETH 注入与无价值 PAT 代币配对的 Uniswap V4 池，使 Safe 只剩无价值 LP NFT。原始攻击交易被 MEV bot "yoink” 抢跑，"yoink” 抽走了全部 rsETH。
🔍 攻击过程分析：
漏洞在未验证的策略执行器 0x4f0055926c839D1d960a82CBF84E2eE933958ebC，不在 Safe 核心、也不在 Aave / rsETH。
(1) 正常路径应要求：目标是白名单 Safe，且 msg.sender 是该 Safe 已启用的 module。若把目标参数设为 address(this)（执行器自己），白名单和 module 检查都被跳过。
2
2
5
2,380
4/4
📌相关交易
原始攻击者 EOA 地址：
0x0dC2c5D6b05A317076CF501f7E7be36a5dfe9b66（RAILGUN 入金）
原始攻击合约地址：
0x10605eE48Ff962952C966277A5D2dac0A0705Cb1（部署 PAT、接收 aToken、从 Aave 赎回）
无价值代币 PAT 地址：
0x8762788ba3ecEe7B61Fc7578A3533433E20461F5（Permissionless Attacker Token）
抢跑 EOA 地址：
0xFDe0d1575Ed8E06FBf36256bcdfA1F359281455A（MEV Frontrunner Yoink）
抢跑合约地址：
0x80BF7Db69556D9521c03461978B8fC731DBBD4e4（MEV Bot: Yoink）
漏洞合约地址：
0x4f0055926c839D1d960a82CBF84E2eE933958ebC（策略执行器）
被利用合约：
0xDcDc4ef8C992E75bb0F300536CD93E601c8882AB（已启用 Safe Module）
被盗资金所在 / 受害者地址：
0x40E93a52F6Af9fCD3b476aeDADD7FeABD9f7AbA8（Gnosis Safe 1.3.0）
最终获利地址：
0xC70f00CD7E461686b04B0E912E309becA8b80ea0（仍持有 2,882.37 rsETH）
原始攻击交易：etherscan.io/tx/0x16b9ddf976…
抢跑攻击交易：etherscan.io/tx/0x0e7680b06c…
159