一、核心洞察

本周公开披露的安全事件中，社会工程攻击与私钥泄露取代智能合约漏洞成为主要攻击方式。密钥泄露依旧是最大脆弱点。跨链桥在6小时内连续发生三起攻击，合计损失超3500万美元，同一协议出现第二次桥接漏洞，表明行业在信任边界审计上存在系统性短板。政策侧，美国SEC冻结纳斯达克比特币期权批准以回应CME管辖权挑战，Clarity Act在参议院表决前遭遇民主党拖延，短期监管框架仍不确定。宏观经济层面，美联储内部出现加息票，30年期美债收益率创2007年以来新高，叠加AI硬件板块暴跌，加密市场在FOMC会议前震荡偏空。

二、要闻速览

• Coldcard硬件钱包第三波攻击致8900万美元损失，涉及4500个地址
• BNB Chain前员工未授权使用测试钱包部署Meme币ASTEROID，已启动法律程序
• 6小时内Verus、B² Network、AFX三座跨链桥合计损失超3500万美元
• SEC冻结纳斯达克QBTC比特币期权批准，回应CME管辖权挑战
• 美国30年期国债收益率收于5.267%，创2007年7月以来新高
• 美联储7月会议三位票委支持加息，中金称沃什试图将紧缩功能外包
• 缅甸通过反网络诈骗法，强迫诈骗劳工可判死刑，加密诈骗可判无期
• 韩国拟立法赋予金融当局冻结可疑加密账户权力
• 马来西亚警方捣毁碧桂园森林城市诈骗窝点，拘捕309名中国公民
• 对冲基金Situational Awareness因AI交易巨额亏损平仓，规模一度达450亿美元
• BitMEX和BitMart先后宣布关闭，结束多年运营
• Movement Labs开发公司MVMT Labs申请Chapter 11破产

三、全域动态

1.安全事件

社会学工程攻击

Coldcard硬件钱包第三波攻击损失升至8900万美元
由于弱生成密钥，第三波针对Coldcard硬件钱包的攻击已影响4500个地址，累计损失近8900万美元。Binance创始人CZ警告用户进行钱包多元化。

冒充Mind Network招聘钓鱼攻击窃取Web3从业者数据
攻击者通过LinkedIn冒充FHE区块链项目Mind Network的招聘人员，诱导受害者下载含恶意软件的压缩包。该手法与Lazarus Group的ClickFake Interview攻击一致，曾用于Ronin Bridge等重大盗币案。

新型Obsidian恶意插件钓鱼攻击窃取资产
诈骗者冒充项目方联系KOL进行合作营销，要求下载Obsidian笔记应用并登录其提供的账号。恶意插件PhantomPulse在获得授权后安装远程访问木马，窃取密码、浏览器会话和加密钱包。

私钥/签名泄露

SwanTreasury签名密钥泄露损失约62.5万美元
BNBChain上去中心化资管协议SwanTreasury的链下签名密钥被泄露，攻击者以100倍折扣购买STY代币并抛售套现。链上ecrecover验证确认密钥本身被攻破，而非签名逻辑缺陷。

Ostium预言机权限遭入侵，2375万USDC被套利
攻击者盗窃Ostium链下价格报告系统的权限，利用合法数据转发路径提交伪造BTC价格并在约5分钟内完成套利。资金被转换为ETH并通过混币服务转移。

AFX桥接遭利用损失2400万美元
AFX协议因桥验证器密钥泄露损失约2400万美元。同一周内Verus桥和B² Network桥也分别被盗754万美元和386万美元。三桥均涉及权限管理失败而非密码学缺陷。

P2P.me后端严重安全漏洞致资金和KYC数据暴露
安全审计发现P2P.me的热钱包私钥明文存储在未加密Redis中，KYC护照和生物识别数据可公开访问，CORS配置存在缺陷可被用于会话窃取。共发现46项安全发现，整体风险评级为CRITICAL。

供应链攻击

朝鲜黑客入侵npm包debug和chalk植入盗币脚本
TRC分析显示，朝鲜Sapphire Sleet通过维护者钓鱼入侵npm包debug和chalk，向18个以上包含每周20亿次下载量的包注入钱包盗取脚本。

Adform广告平台遭供应链攻击劫持加密钱包地址
Adform广告平台遭供应链攻击，攻击者在加载的第三方脚本中替换加密钱包地址。

Bittensor钱包PyPI包确认被植入后门
PyPI上的bittensor-wallet 4.0.2版本被确认遭入侵，植入私钥窃取后门。

2.政策监管

全球监管政策

SEC冻结纳斯达克QBTC比特币期权批准，回应CME管辖权挑战
SEC已冻结纳斯达克关于QBTC比特币期权的批准，以重新审查CME提出的法律挑战。CME认为比特币属于商品，其期权应归CFTC专属管辖。SEC将在8月24日前征求各方意见。

SEC主席称若Clarity Act未获通过将自行制定加密规则
SEC主席Paul Atkins表示，若国会未能通过Clarity Act，SEC已随时准备好自行出台加密货币市场规则，但强调立法是防止监管框架随政府更迭的唯一方式。Clarity Act已通过众议院和参议院银行委员会，尚未进行全体投票。

韩国拟立法赋予金融当局冻结可疑加密账户权力
韩国国民力量党议员联合15人提出《特定金融信息法》修正案，允许金融信息分析院对涉嫌用于非法财产转移的虚拟资产账户提出支付冻结要求。冻结期30天，可延长一次，未执行者最高罚款1亿韩元。

缅甸通过反网络诈骗法，加密诈骗可判无期徒刑
缅甸军方支持的议会于7月28日通过《反网络诈骗法》，规定强迫他人从事网络诈骗致人死亡可判死刑，经营加密诈骗最高判无期徒刑。东南亚诈骗网络2025年损失估计达1140亿美元。

币安将多数外国执法请求转至阿联酋司法协助条约流程
币安采用新政策，将多数外国执法机构请求转至阿联酋及司法协助条约流程处理，导致用户数据访问速度放缓。欧洲调查人员和美国检方表示相关变化使追踪诈骗者和冻结资产更困难。

3.宏观经济

美国30年期国债收益率收于5.267%，创2007年7月以来新高
BTC下跌至62904美元附近，受Coldcard硬件钱包攻击消息及美国拟干预日元消息影响。

美联储7月会议三位票委投票支持加息
美联储维持利率不变，但内部鹰派力量增强，三位票委支持加息25个基点。中金研报称沃什试图减少政策干预，更多依赖市场利率自发上升收紧金融条件，将部分紧缩功能外包给市场。

美日近30年来首次联手买入日元
路透社照片显示美国财长贝森特记事本上写入买入日元50-100亿美元的待办事项。英国金融时报报道美财政部周五干预日元汇率，纽约联储代表财政部执行卖出欧元买入日元的操作。

AI对冲基金Situational Awareness巨额亏损平仓
由前OpenAI研究员Leopold Aschenbrenner创立的Situational Awareness基金因AI股票和做空软件股票押注均出现重大亏损，被迫平仓出售公开交易资产。

韩国超50万杠杆散户账户完全爆仓
高盛数据显示，截至7月13日韩国超120万个杠杆散户账户触发追加保证金通知，预计32万至36万个账户完全爆仓。随着KOSPI指数自7月13日再跌约18%，完全强制平仓账户总数已突破50万个。

美股AI硬件板块大跌，费城半导体指数跌约5%
英伟达跌超7%，AMD跌超8%，美光科技跌约10.9%至807美元，总市值跌至9000亿美元附近。闪迪下跌16.17%，受中国长鑫科技IPO爆火及国产DUV突破消息影响。

韩国股市8次熔断，三星电子与SK海力士跌
KOSPI指数盘中暴跌超8%触发熔断，海力士链上在Hyperliquid上出现闪崩，一笔867美元的1股成交导致近8000万美元异常清算。

英伟达CDS暴涨引AI基建循环融资担忧
英伟达五年期信用违约掉期利差一度涨至0.82%，创2025年11月以来最大单日涨幅。市场担忧英伟达可能以自身信用为OpenAI数据中心扩张提供支持，形成循环融资风险。

4.项目动态

项目关闭/破产

BitMart宣布退出，交易将于8月26日停止
BitMart宣布基于运营状况、市场环境和未来战略方向而逐步关闭运营，运营将于2027年1月31日结束。BitMart曾在2021年12月因热钱包入侵损失约1.96亿美元。

DFK Chain将于8月28日关闭，跨链资产或永久丢失
DeFi Kingdoms游戏将于8月28日关闭其Avalanche子网DFK Chain并迁移回C-Chain。团队警告仅有原生资产迁移，用户自行桥接的JEWEL、BTC、ETH、AVAX和USDC等资产将无法恢复。

发卡机构Kulipa倒闭导致Ready和Solflare加密信用卡停运
Kulipa突然关停，未向合作方发出提前通知。受影响Ready和Solflare的加密信用卡设计为购买时从用户钱包扣款，因此Kulipa倒闭时未持有客户余额。Kulipa倒闭前四个月刚完成620万美元种子轮融资。

Movement Labs开发公司MVMT Labs申请Chapter 11破产
MVMT Labs于2026年7月22日申请破产保护。该公司曾筹集约1.414亿美元，估值一度达30亿美元，但网络日收入曾低至10美元以下。MOVE代币发行时与做市商的争议合约导致大量抛售。但网络开发已转移至独立公司Move Industries，区块链活动继续。

5.公链/基础设施

Arc链安全事件致用户资产被盗，整条链关闭
用户通过Astra发射台交易时USDC被盗，Arc官方关闭RPC导致整条链无法使用、无法跨链。问题根源在于USDC同时作为Gas费代币并保留EVM的ERC-20授权属性，授权后攻击者可直接转走所有USDC。Arc由Circle孵化并已完成2.22亿美元融资。

Harmony链TVL从10亿美元暴跌至20.5万美元
Harmony链曾于2022年因跨链桥黑客攻击损失1亿美元。目前TVL仅为20.5万美元，收入为零，但其市值仍达9400万美元，被指为僵尸链。

Robinhood Chain上线十日即现大量rug pull和黑客事件
Robinhood链于7月1日上线，十天内已充斥蜜罐合约、Meme币rug pull和钱包盗取器。Meme币占该链交易量75%以上。一名CASHCAT持有者因被黑合约损失56000美元。2025年研究显示Solana上100063个新发行代币中有76469个为rug pull。