一、核心洞察本周Web3行业遭遇严峻的安全与宏观双重压力。黑客手段从合约漏洞转向长期社会工程与内部运营渗透。DeFi上半年黑客损失已超8.4亿美元同比增长70%且攻击向高频、小额、针对人类操作层的趋势演变。宏观层面美联储转向加息预期急速升温市场定价年底前加息两次引发风险资产抛售。监管上欧盟MiCA过渡期即将结束美国稳定币法案细则出台对行业长期合规框架形成深远影响。安全范式正从合约审计转向运营安全与人因防御AI模型被用于自主漏洞利用的风险也已成现实。二、要闻速览G7峰会联合声明严厉打击朝鲜加密货币盗窃洗钱网络欧盟MiCA过渡期7月1日结束75%旧平台或面临清退Secret Network跨链桥无限铸币漏洞被盗467万美元WLFI获OCC联邦信托银行牌照在即稳定币USD1即将推出Anthropic最强模型Fable 5与Mythos 5遭白宫出口管制封禁伊利诺伊州成美国首个对数字资产交易征税的州Secret Network跨链桥因无限铸造漏洞被盗467万美元美国稳定币GENIUS Act实施细则草案发布强化KYC制度jaredfromsubway因授权漏洞被反向攻击欧盟新反洗钱规则2027年实施对隐私币及匿名账户下禁令三、全域动态1. 安全事件大规模协议攻击Secret Network 跨链桥无限铸币漏洞损失467万美元自2023年部署未审计的ICS-20合约因缺乏来源验证攻击者伪造IBC消息铸造saTokens后赎回真实资产攻击持续7天才被发现。Namada 遭攻击损失60万美元数小时内Cosmos生态又一协议遭袭攻击细节暂未公布社区要求黑客归还资金安全信心再受冲击。针对开发者的npm包供应链攻击愈发猖獗Mastra AI的140余个npm包遭受投毒攻击者在安装时即可触发恶意代码窃取环境变量和加密钱包扩展凭证。同期Red Hat的多个npm包也被发现被注入了凭据窃取程序。智能合约漏洞与跨链桥攻击BnbLabubu 合约漏洞被盗约111.5万美元OLPCToken转账函数设计缺陷导致每次转帐销毁池内资产攻击者通过操控decimalsValue大幅拉升币价后套利。mySwap 在Starknet上被利用损失30.5万美元攻击者部署假“EVIL”代币并利用CL合约漏洞操纵流动性池会计抽走池内ETH、STRK等资产协议称该界面已停用半年。Aztec L2 旧合约漏洞被盗215万美元已废弃的支付合约PrivateRollupBridge存在零知识证明绑定缺陷攻击者构造假Merkle树伪造资产取出成本仅0.134 ETH。THORChain 因安全漏洞停摆超一个月5月15日一名恶意节点利用GG20 TSS漏洞窃取约1070万美元至今网络交易完全停滞恢复时间未定社区质疑风险管理。Staking 合约含隐藏后门被 rug pull部署者预留特权地址绕过onlyOwner权限在上线后利用该后门卷走质押资金凸显开源代码审查的盲区。Counterstake 桥遭遇治理攻击攻击者利用少量资金发起提案企图将挑战期从3天缩短至1秒社区需紧急投票防御否则桥内资产面临被盗风险。钓鱼、恶意软件与前端攻击Gitcoin 子域名遭 Eleven drainer 前端攻击恶意代码通过入侵子域名注入用户连接钱包即触发资产窃取项目方正在进行调查。Kiwi SOL 窃取器使用 Lighthouse 绕过检测新型窃取器针对Solana集成C2 API和OAuth适配器利用Lighthouse协议漏洞绕过钱包安全提示。Windows 剪贴板恶意木马 CryptoBandits 活跃微软揭露该木马自2026年2月通过USB传播每500毫秒监控剪贴板窃取助记词并替换钱包地址通过Tor匿名通信。LLM 路由器劫持注入恶意调用盗取钱包26个LLM路由器被发现向AI代理注入恶意工具调用从而窃取加密钱包资产强调代理基础设施的安全风险。MEV 与套利攻击JaredFromSubway MEV 机器人遭反向利用损失超1500万美元攻击者部署假包装代币和流动性池利用机器人的自动化授权逻辑诱导其授予无限额度后一次性抽空资金。2. 政策监管监管动态SEC 释放加密友好信号强调从执法转向合作SEC主席在首期播客中联合多位委员表示2026年监管将转向“合作与创新导向”并致力于使美国成为加密创新首选地。美国发布稳定币 GENIUS Act 实施细则草案美联储、财政部等联合发布草案要求稳定币发行商遵守BSA并实施CIP二级市场交易是否纳入KYC正在征询意见。美国国会拟成立数字货币盗窃工作组众议员提出法案拟在司法部内重建加密犯罪工作组协调调查与起诉加密盗窃、诈骗及洗钱案件。伊利诺伊州将成全美首个征收数字资产交易税的州2027年1月起对经纪人征收0.2%从业税预计年收入6000万美元行业团体批评其程序缺陷且具有经济破坏性。欧盟 2027 年起实施新反洗钱规则全面禁止隐私币条例要求CASP对超1000欧元交易强化KYC禁止匿名账户及隐私币服务并设1万欧元现金支付上限。3. 项目动态多链 DEX Satori Finance 宣布关闭因收入不足平台要求用户7月16日前提款总锁仓量从670万美元峰值跌至120万美元。Hyperbridge 遭 250 万美元漏洞后续跨链协议放弃修补完全重构为无许可证明生成、无管理员密钥的新架构并加入LayerZero适配器。FTX 破产时 20 万卖出的 Cursor 5% 股份现价值超 30 亿SpaceX 以600亿美元收购AI编程助手Cursor的开发商Anysphere凸显破产程序中资产贱卖的巨大机会成本。ORE 质押计划出现合约漏洞提醒用户注意社区报告漏洞可能影响质押资产安全呼吁暂停挖矿并等待项目方修复。4. 公链/基础设施量子威胁升级7110 亿美元加密资产已暴露风险研究显示谷歌计算在50万量子比特下9分钟即可攻破BTC地址以“1”或“3”开头的老地址处于风险区。Polygon zkEVM 主网 Beta 版将于 7 月 1 日关停官方要求用户在此之前提取所有资产DeFi内锁定资金逾期无法取回钱包余额将自动迁移至以太坊L1。Algorand 发布抗量子升级路线图目标2027-2028实现全链量子安全应对未来量子威胁成为首批主动防御的公链之一。CobWebPay 用户数据库泄露涉及 KYC 与资产信息澳大利亚加密支付平台数据库被挂售暴露1万余名用户手机、KYC、钱包余额及财务声明风险极高。
