Radix 基金会于 9 月 17 日披露，2023 年 6 月对 Radix Engine（负责执行交易并强制执行资产所有权的软件层）的一次重构引入了一个漏洞，该漏洞于 8 月 31 日被利用，攻击者通过 26 笔交易盗走约 126 万美元的跨链资产。随后验证者主动将足够多的质押下线，使共识停止运行超过 10 天；在协议修复加入校验、阻止受限金库引用被用于普通提款后，用户交易于 9 月 11 日恢复。

这是一起实质性的协议级安全失败：该缺陷在执行层潜伏了三年多，还躲过了 Zellic 在 2024 年进行的外部审计，并且调查人员认为它可以被用于攻击网络上的任何金库，这意味着 130 万美元的损失低估了真实风险敞口。它还凸显了一次常规维护性改动如何制造系统性风险，并迫使网络牺牲活性——这一决定本身也会给用户和应用带来代价。

攻击者取走了约 458,915 USDC、72,420 USDT、61.08 ETH、6.35 wrapped Bitcoin、536.16 SOL 和 32.91 BNB，并通过 Hyperlane 将这些资产转移到以太坊、BNB Chain 和 Solana 后换成 ETH；没有私钥被泄露，Hyperlane 本身按设计正常运行。该漏洞改变了引擎处理金库引用的方式，使一笔交易能够指向他人的金库并调用普通提款函数，而未强制执行所有权边界；此外，池子价格被扭曲后，另一个账户从受影响池中提取了数百万 XRD，造成二次损失。

Hacktron AI 的安全研究人员发布了一份技术报告，披露他们通过串联 libheif 中的一个堆缓冲区溢出漏洞与一处 SSO 配置错误，实现了远程代码执行，并在不到 72 小时内接触到 OpenAI 的内部代码仓库。报告还称，直到大约两个月前，任何登录 community.openai.com 的用户或 OpenAI 员工都可能遭遇 ChatGPT 与 Codex 账号被接管，并且在早先模型均失败的情况下，他们借助 Claude Opus 5 在约三小时内绕过了 ASLR。

这是一次罕见的公开演示：一个被广泛使用的图像解码库中的内存安全漏洞，加上身份层的配置错误，就足以串联成对一家人工智能实验室内部代码仓库的完整入侵，而这类资产正是知识产权高度集中的地方。它还显示出大模型辅助的自动化正在缩短从发现漏洞到写出可用利用程序的时间，从而提高了整个软件供应链在补丁管理与身份治理上的门槛。

该溢出漏洞编号为 CVE-2026-32741，影响 libheif 1.21.2 及更早版本：构造一个包含恶意 “mski” 蒙版图像的 HEIF 文件，即可在 MaskImageCodec::decode_mask_image() 中触发堆缓冲区溢出；相应的补丁主要针对图像叠加图层的边界检查。社区分析指出，HEIF 支持多图像合成、旋转、裁剪、Alpha 通道和缩略图等特性，使其攻击面远大于传统的 JPEG 解码器，而照片上传功能恰恰会引入这类代码路径。

据《华尔街日报》报道，Coinbase Derivatives 已向美国商品期货交易委员会（CFTC）提交申请，拟上线与苹果、特斯拉、英伟达等美国上市个股及 ETF 挂钩的现金结算永续合约。此次申请将该交易所的境内永续合约布局从股票指数扩展到单一证券。

若获批，这将成为美国受监管平台上最早的一批个股永续合约产品之一，模糊加密原生衍生品与传统股票交易的边界。它表明头部加密交易所正在争夺股票挂钩的流量，可能重塑市场结构，并把新的机构与散户参与者吸引到 7×24 小时交易的场所。

拟议合约采用现金结算且为永续结构，即没有到期日，而是通过定期资金费率机制来锚定标的股价。该申请建立在 Coinbase 现有的衍生产品线之上——其平台已提供加密期货、Mag7+Crypto 指数产品以及 7×24 小时的比特币和以太坊期货交易——但相关个股产品目前尚未获批，也未正式上线。

币安宣布推出7×24小时外汇永续合约，首个产品为USDBRLUSDT合约，将于9月21日上线，以USDT结算并提供最高100倍杠杆。该合约采用双模式定价：在正常外汇交易时段跟踪第三方数据供应商提供的加权指数，在周末及公共假日则改用基于订单簿的指数加权移动平均（EWMA）定价。

此举使全球最大加密货币交易所切入外汇这一按成交额计算全球最大的金融市场——国际清算银行数据显示，2025年4月全球场外外汇日均成交额约为9.6万亿美元。此前Bybit和Kraken已推出类似的7×24小时外汇永续产品，说明加密衍生品平台正竞相争夺传统外汇市场无法覆盖的汇率敞口与盘外价格发现需求。

周末定价刻意不依赖外部价格源，而是通过EWMA从币安自身订单簿推导价格，这一设计此前已用于币安基于大宗商品的TradFi永续合约，意味着盘外时段的保证金要求与强平价位可能由更薄的内部流动性而非参考汇率决定。根据币安合约公告，该合约以USDT结算，最小变动价位为0.0001，最小名义价值为5 USDT。

Neutrl 已按约 0.51 美元兑 1 美元的价格开放 NUSD 赎回；与此同时，Strata 安排了为期 48 小时的估值更新，将其次级份额代币 jrNUSD 的估值直接归零，并以调整后的份额价值用 sNUSD 结算优先级份额的提现。Strata 的披露文件称，问题并非智能合约漏洞利用、黑客攻击或代码缺陷。

对于这一结构化 DeFi 产品的存款人而言，这是一次实质性亏损事件，说明当损失规模较大时，作为首损缓冲的次级份额并不足以保护优先级资金。它凸显了一个风险：把分层结构叠加在单一收益策略之上，可能让损失直接传导给持有类稳定币代币的普通存款人。

Strata 的 srNUSD 与 jrNUSD 份额均暴露于策略合约所持有的 sNUSD；按照 Strata 的损失分摊规则，jrNUSD 在 srNUSD 之前承受损失。在 0.51 美元 NUSD 参考价值下，损失已超过次级份额的保护额度，这正是优先级持有人也以缩水价值结算的原因。jrNUSD 与 srNUSD 均为无需许可的代币，可在 DEX 上交易，用户在赎回后还需手动领取 NUSD/sNUSD。

Chainalysis 报告称，过去 12 个月内区块链“死信箱”（dead drop）攻击增长了 420%，到 2026 年第二季度，与朝鲜和伊朗有关联的操作者约占新观测活动总量的三分之二。与朝鲜有关联的团伙 UNC5342 使用 Tron 和 Aptos 作为冗余路径，将已感染设备引向存储在 BNB Smart Chain 上的恶意软件指令；而疑似伊朗行为者则把命令与控制路由信息嵌入发送至历史上与中本聪相关地址的比特币交易中。

这标志着攻击者的命令与控制手段从传统域名转向公共区块链基础设施，而传统执法下架手段难以将其关闭，意味着防御方必须同时在多条链上协调行动。对于加密交易所、钱包服务商以及企业而言，其合法流量与攻击者滥用的是同一批网络，安全与合规负担因此显著上升。

Chainalysis 表示，在高容量开源权重的中国 AI 模型出现后，恶意区块链写入从每天 2.06 次升至每天 11.1 次，不到一年增长 440%；不过该公司也提醒，其测量并不能锁定某一个具体模型，也无法证明增幅完全由 AI 造成。该恶意软件会优先查询 Tron，若该路径失败则回退至 Aptos，因此要瓦解该行动需要同时在三条链上采取行动。

比特币在24小时内上涨5.88%至80,846美元，开盘报76,355美元，盘中最高触及80,857美元。此前美联储加息25个基点，但其点阵图显示到2027年底政策利率中值仅为4.1%。这轮上涨清算了超过4.45亿美元的加密空头头寸，其中比特币空头就超过2.3亿美元。

这一事件表明加密衍生品如今对美联储政策信号的反应极为直接：仅凭一份偏鸽的预测便引发了连锁空头挤压，抹平了此前Clarity Act在参议院表决失败后引发的恐慌性抛售。这说明推动比特币单日大幅波动的不仅是现货需求，杠杆头寸同样关键，而比特币目前仍较此前历史高点低近20%。

技术指标支持这轮涨势，但也提示涨速过快：ADX为40.6，远高于25的趋势确认门槛，且DI+高于DI-；50日EMA已上穿200日EMA，自上周六起形成黄金交叉。RSI为63.3，处于看涨区间但正快速逼近70的超买警戒线；挤压动能指标已连续11根K线保持开启，8.06%的收缩读数显示波动率仍被压缩，更大级别的释放可能还在后面。

Grayscale 旗下的 Zcash ETF（代码 ZCSH）计划实施 1 拆 3 的份额拆分，此前该基金在资金流入激增 2.33 亿美元后，资产规模已接近 8.9 亿美元。此举发生在 ZEC 价格大幅上涨、并把 Zcash 网络的挖矿竞争推向历史高位之后。

份额拆分将降低 ZCSH 的每份价格，使投资者能以更小金额买入，从而有可能扩大其散户投资者基础。这也表明，面向隐私类资产的机构化交易所交易敞口已成长到需要进行常规市场结构维护的规模，对一个长期被受监管场所视为小众的资产类别而言是值得关注的一步。

1 拆 3 的拆分会使流通份额数量增加两倍、每份价格降至原来的三分之一，基金总资产和每位持有人的整体价值不变。ZCSH 属于交易所交易产品，并未根据 1940 年《投资公司法》注册，因此不享有与 1940 法案注册的 ETF 和共同基金同等的监管保护。

9 月 18 日，Hyperliquid 推出原生手动借贷功能，用户可质押 HYPE 或比特币作为抵押品，直接通过 HyperCore 借入 USDC 或 USDT。上线首日借贷规模约 2.69 亿美元；同期 HYPE 一周内上涨约 15%，盘中最高触及约 91.06 美元，超过此前约 89.60 美元的纪录。

此次上线让 Hyperliquid 从衍生品与现货交易所扩展至信贷、抵押与收益生成领域，用户无需离开平台即可在交易与借贷之间切换。首日即达 2.69 亿美元的规模，说明该借贷原语有望成为该生态内重要的稳定币流动性来源与 HYPE 需求来源，而非孤立的附属产品。

HYPE 的贷款价值比（LTV）为 65%，比特币为 50%，对应的清算阈值分别为 82.5% 与 75%。由于同一批资金池此前已支持组合保证金业务，借款方可动用超过 4 亿美元的既有流动性；稳定币供给方按资金利用率获得浮动利息，组合保证金用户还能就闲置稳定币余额赚取收益。

Ledger Donjon 的研究人员展示了一种以光子发射（photon emission）为引导的激光故障注入（LFI）攻击，成功在被锁定安全调试的 RP2350-A4 微控制器上重新启用调试接口，从而能够暂停处于 Secure 状态的内核并提取受保护的机密数据。该成果发表在 Ledger Donjon 官方博客上，是首个公开记录的针对该芯片安全调试逻辑的光学故障攻击。

Raspberry Pi 将 RP2350 宣传为一款适用于安全敏感场景的微控制器，其安全隔离区（secure enclave）也让它成为 YubiKey 等专用安全芯片之外更廉价的选择。此次安全调试被成功绕过，削弱了在该芯片上构建密钥存储或硬件钱包者的信任假设，也加剧了安全硬件设计者与物理攻击者之间持续不断的攻防军备竞赛。

该攻击使用波长为 980 纳米、最大光功率 2.97 瓦的脉冲激光器，实际运行在约 40% 功率（约 1.2 瓦），脉冲宽度为 100 纳秒，并通过 50 倍物镜聚焦；在注入故障前，他们先用光子发射显微镜定位确切的攻击目标电路。攻击需要物理接触、对芯片封装进行破坏性处理，并配备价值约 25 万美元的实验室设备，不过有评论者认为在家庭实验室中复现的成本可低于 2.5 万美元。

9月17日，标普全球宣布达成协议收购智能合约安全与开发工具公司OpenZeppelin，交易财务条款未披露，且仍需满足交割条件。收购完成后，OpenZeppelin将保留其名称、由首席执行官Demian Brener领导的团队以及开源代码，作为独立业务部门运营，并向标普全球评级总裁Yann Le Pallec汇报。

OpenZeppelin Contracts是行业内使用最广泛的智能合约库，因此由一家大型金融数据与评级集团将其收入囊中，是传统金融不再局限于交易和托管、而是直接买入加密核心基础设施的最明显案例之一。这也让标普直接切入稳定币与代币化资产底层的安全层，此前标普还领投了加密数据服务商Kaiko，正在加速拓展数字资产业务。

OpenZeppelin表示，自2015年以来，通过其Contracts软件转移的价值已超过37万亿美元；当前代码库采用宽松的MIT许可证，公司声明已发布的版本将永久保持开源且不可撤回。此次公告对审计、工程工作、生态项目及开源代码作出了延续性承诺，但其现有服务条款仍允许对付费或托管方案进行调整，包括定价、功能、配额与使用限制，具体保护措施和通知方式视变更类型而定。