2026年2月26日——总部位于越南的DeFAI Holdstation智能钱包项目（基于Worldcoin和BNB链）确认在2026年2月25日凌晨遭遇严重的链上供应链攻击。总损失为462,000 USDT。
这是该项目在2026年发生的第二起安全事件，之前在一月曾损失约100,000美元。
供应链攻击：不攻击智能合约，而是攻击分发基础设施
根据官方公告，黑客并未直接入侵用户钱包或智能合约。Holdstation和审计机构Verichains确认智能合约仍然安全。
相反，攻击者瞄准了应用的分发基础设施——为用户提供更新的渠道。
具体来说，黑客已：
控制基础设施后，修改了正式版本应用中的JavaScript文件，在其中植入后门式的恶意代码。用户在更新应用时，无意中安装了被感染的版本。
“静默”提款机制
恶意代码设计为在安装后立即生效：
导致许多钱包在恶意更新发布后的前几分钟内被盗取资金。
Holdstation的紧急反应（30分钟内）
根据公布的时间线（UTC+7）：
随后，Holdstation与Verichains合作，分析链上数据并收集证据以进行调查。
目前确认的总损失为462,000 USDT。
承诺全额赔偿用户
Holdstation承诺赔偿受影响资产的100%。用户需填写官方表格：
https://forms.gle/9FriUzFWHx6ZPXCS7
团队将进行链上验证和钱包所有权确认后再进行赔付。项目强调在赔偿过程中不要求提供助记词、私钥或任何费用。
行业的安全教训
此次事件显示，即使智能合约安全，软件分发基础设施的漏洞仍可能造成巨大损失。这是一种供应链攻击——黑客入侵产品的“入口”而非直接攻击用户。
Holdstation表示正在升级整个发布流程，包括：
此事件引起越南加密社区的广泛关注，Holdstation是胡志明市一家知名的DeFi钱包项目。
项目承诺将持续更新调查进展。
免责声明：本页面信息可能来自第三方，不代表 Gate 的观点或意见。页面显示的内容仅供参考，不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证，对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为，价格波动剧烈，您可能损失全部投资本金。请充分了解相关风险，并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
ZachXBT 警惕：反对使用 Bitcoin Depot ATM，存在 44% 以上的比特币加价
ZachXBT 警告称，比特币帝波特（Bitcoin Depot）自动取款机施加高额溢价——$25k 法币按每枚 BTC 108k 美元计价，而非约$75k 市场(约 44%)，在 0.232 BTC 上导致约 7.5k 美元损失；此外还指出一次 3.26M 美元的安全漏洞。
本文总结了 ZachXBT 对 Bitcoin Depot 定价做法及近期安全漏洞的警告，强调由于费率被抬高和安全疏漏而对用户带来的风险。
GateNews1小时前
隐私协议 Umbra 关闭前端以阻止攻击者洗钱被盗的 Kelp 资金
Gate 新闻消息，4月22日——隐私协议 Umbra 已关闭其前端网站，以防止攻击者在近期攻击之后利用该协议转移被盗资金，包括导致损失超过 $280 million 的 Kelp 协议泄露事件。约有 $800,000 的被盗资金通过“
GateNews3小时前
慢雾 23pds 警示：Lazarus Group 发布针对加密货币的全新 macOS 工具包
慢雾首席信息安全官 23pds 于 4 月 22 日发布警示，称朝鲜黑客组织 Lazarus Group 已发布全新的原生 macOS 恶意软件工具包“Mach-O Man”，专门针对加密货币行业及高价值企业高管。
Market Whisper4小时前
Venus Protocol 攻击者转移 2301 枚 ETH，流入 Tornado Cash 进行洗钱
根据链上分析师 Ai 阿姨于 4 月 22 日的监测，Venus Protocol 攻击者在 11 小时前向地址 0xa21…23A7f 转移 2,301 枚 ETH（约 532 万美元），随后将资金分批转入加密混合器 Tornado Cash 进行清洗；截至监测时，攻击者链上仍持有约 1,745 万美元的 ETH。
Market Whisper6小时前
CometBFT 零日漏洞曝光，80 亿美元 Cosmos 网络节点面临死锁风险
安全研究员 Doyeon Park 于 4 月 21 日公开揭露 Cosmos 共识层 CometBFT 中存在一个 CVSS 7.1 级高危零日漏洞，可能导致节点在区块同步（BlockSync）阶段遭恶意对等节点攻击而陷入死锁，影响保障超 80 亿美元资产的网络。
Market Whisper7小时前
