動區動趨BlockTempo是中文區塊鏈媒體的領導品牌，為您帶來最即時最全面區塊鏈消息與全球脈動剖析
Joined December 2017
- Tweets20.9K
- Following1.1K
- Followers25.8K
- Likes5.3K
🚨 Linux 核心 SMB 伺服器爆出兩個 CVSS 9.0 遠端執行漏洞，主線尚未修補
資安媒體 @TheHackersNews 報導，Linux 核心內建的 SMB 伺服器 KSMBD，被公開披露兩個評分達 CVSS 9.0 的遠端程式碼執行漏洞。這兩個漏洞是在修補尚未就緒前，就已出現在公開的核心郵件清單上。
📌重點整理
1️⃣ ZDI-CAN-33774：無需認證即可觸發，任何開啟 KSMBD、監聽 445 埠的伺服器都可能受影響
2️⃣ ZDI-CAN-33549：發生在 SMB Direct 路徑，需具備 RDMA 網路介面、可寫入的 KSMBD 分享，以及客戶端協商 SMB Direct
3️⃣ 截至 10 月 22 日，主線核心與 linux-next 都還沒有正式修補，也尚未分配 CVE（核心專案慣例是穩定分支修補後才編號）
4️⃣ 由趨勢科技 Zero Day Initiative（TrendAI）發現；Red Hat Enterprise Linux 預設不安裝 KSMBD
管理員可用 `systemctl status ksmbd` 或 `lsmod | grep ksmbd` 確認模組是否啟用。若非必要，建議先關閉 KSMBD。
‼️ALERT - Two new unpatched CVSS 9.0 RCE flaws in #Linux's KSMBD SMB server were disclosed on public kernel mailing lists before fixes were ready.
One can be triggered WITHOUT authentication.
Neither has a mainline kernel fix.
Details here ↓ thehackernews.com/2026/10/tw…
🚨 警告：印度憑證機構私鑰過弱，pip 安裝恐遭中間人攻擊
印度憑證機構 eMudhra（emSign）的 8 組中繼 CA 私鑰被發現「弱到荒謬」：全部小於 256，其中一組私鑰數值甚至只有 4，任何人都能偽造看似合法的網站憑證。
對 Python 生態最大的風險是：有人若在你的網路路徑上（例如公共 Wi‑Fi、ISP）假冒 pypi.org，舊版 `pip install` 可能在毫無警示下下載到被植入後門的套件。
據 Python 社群公告，目前尚未有已知攻擊；但因為舊版 pip 內建的憑證套件仍信任這些弱金鑰，只更新作業系統憑證不夠。
📌 請立刻更新
1️⃣ pip 升到 26.2.2 或以上（每個虛擬環境都要）
2️⃣ uv 升到 0.13.4 或以上
3️⃣ certifi 升到 2026.10.19 或以上，並重建 Docker 映像
eMudhra 已於 10 月 18 日撤銷這 8 組中繼憑證，並表示這些金鑰從未正式簽發過任何憑證。Node.js、Go、Rust 等生態也已陸續釋出修補。
來源：@L4UR3N7／Python Discuss
🚨🚨🚨 ALERTE SÉCURITÉ MAXIMALE ! Python est compromis.
🔸 Mettez immédiatement pip à la version 26.2.2 ou plus.
🔸 Dans chaque projet Python (chaque venv) : python -m pip install --upgrade pip
🔸 uv : uv self update (0.13.4 ou plus)
🔸 Mettez aussi à jour les certificats du système (apt / dnf upgrade ca-certificates) et vos images Docker
pip install est compromis.
L'autorité indienne eMudhra (emSign), qui signe les « passeports » prouvant qu'un site est bien celui qu'il prétend être, utilisait des clés secrètes ridiculement faibles : 8 clés, toutes inférieures à 256. L'une valait 4. Autrement dit, n'importe qui peut fabriquer un faux passeport valide pour n'importe quel site.
Le risque pour Python : quelqu'un sur ton réseau (wifi public, FAI, État) se fait passer pour pypi.org, et ton « pip install » télécharge un paquet piégé sans aucune alerte. Aucune attaque n'a été signalée pour l'instant, mais c'est trivial à faire.
Un paquet piégé peut installer n'importe quoi. Porte dérobée, virus, vol d'informations en tout genre.
La situation est terrifiante !
Rien que dans l'écosystème Python, chaque installation de CPython, chaque venv, uv, tout est exposé.
Et je ne vous parle même pas de npm, pnpm, yarn, Go, Rust.
Ma stratégie de sécurité 2026 : rester chez moi et ne me connecter à Internet que depuis un FAI de confiance.
C'est quand il y a de la mer qu'on reconnaît les vrais marins...
Readers added context they thought people might want to know
Ce n'est pas un bug Python mais une vulnérabilité des clés privées faibles des certificats intermédiaires eMudhra/emSign (d<256 dont une valant 4), exposant les bundles certifi/pip à des MITM TLS potentiels jusqu'aux mises à jour.
discuss.python.org/t/information-…
emudhra.we-have-a-problem.com
scotthelme.co.uk/eight-bits-of-…
github.com/advisories/GHS…
🚨 正式官宣！a16z Crypto 更名為 a16z Frontier
繼 The Information 先前報導後，a16z 合夥人 @cdixon 今日證實，旗下新基金的投資範圍將從加密新創擴大到更廣泛的「前沿科技新創」，a16z Crypto 也正式更名為 a16z Frontier。
📌重點整理
1️⃣ 是擴張，不是退出：Dixon 強調會繼續投資加密相關項目，也會持續推動合理的加密監管
2️⃣ 「加密公司」這個標籤沒那麼重要了：華爾街和金融科技公司已經常在區塊鏈上推出產品，比起用了什麼技術，更應該看公司在做什麼
3️⃣ 重押 AI 原生應用：Dixon 認為 AI 目前多半還是讓舊工作做得更快更便宜，接下來會出現前所未見的「原生」新用途，一開始可能看起來像玩具
4️⃣ 新硬體與機器網路：包括能在現實世界感知、推理、行動的自主機器、生物醫療，以及連結人和 AI 代理的新型網路
5️⃣ 區塊鏈仍是關鍵：穩定幣正成為金融科技與傳統機構的標準工具，加密能讓機器對機器交易成為可能
基金將由 Chris Dixon 和創辦人 Marc Andreessen、Ben Horowitz，以及普通合夥人 Eddy Lazzarin、Guy Wuollet 共同領導。
a16z Crypto 這塊招牌就此走入歷史 🫡
🐳 沉睡 9 年半的 ETH 巨鯨醒了！
據 @EmberCN 監測，一個在 2017 年從 Gemini 提出 3,000 枚 $ETH 的地址，在休眠約 9 年半後，於今（22）日晚間把這批 ETH 轉入 Kraken。
這批 ETH 在 2017 年提出時，ETH 價格只有 19 美元左右，總價值約 5.6 萬美元。
今天轉入 Kraken 時已價值約 723 萬美元，9 年半漲了約 128 倍。
轉進交易所，是不是準備獲利了結了 👀
一笔在 2017 年从 Gemini 提出的 3,000 枚 ETH，在休眠了 9 年半之后，10 分钟前转进了 Kraken。
◎2017 年从 Gemini 提出时 ETH 价格仅 $19，这 3,000 枚 ETH 当时价值 $5.6 万。
◎今天转进 Kraken 时价值 $723 万，9 年半升值了 128 倍。
arkm.com/explorer/address/0x…
--------------------------------------------------------------------------
#Bitget 来了就是VIP！Crypto、美股、CFD，全球先机一站布局
📊 鏈上交易數據也有「彭博終端機」了？
鏈上數據平台 @Dune 今（22）日推出「Dune Market Data Feeds」，提供現貨與永續合約市場的即時成交數據。
Dune 表示，鏈上交易數據雜亂，流動性也分散在不同鏈和交易場所。這項產品會把所有成交整合進同一套標準化數據模型，並搭配參考數據，辨識並分類每一種資產。
📌 Dune 點出鏈上市場數據越來越重要的原因：
1️⃣ 目前約 25% 的加密貨幣現貨交易發生在鏈上
2️⃣ 代幣化股票與 ETF 第三季交易額超過 370 億美元
3️⃣ Hyperliquid 上的股票、ETF 與股指永續合約，第三季交易額達 2,010 億美元
4️⃣ 美國 SEC 已為代幣化美股上鏈交易開路，首批交易場所已在申請中
目前產品開放機構申請試用。
Today we’re launching Dune Market Data Feeds: real-time trades for spot and perpetual markets.
Onchain trading data is messy and liquidity is fragmented across chains and venues. Dune turns it into market data by putting trades in one normalized data model, alongside reference data that identifies and classifies every asset.
Onchain market data is becoming more important than ever:
- About 25% of spot crypto trading now happens onchain
- Tokenized stocks and ETFs traded more than $37 billion in Q3
- Perpetuals on stocks, ETFs and equity indices traded $201 billion on Hyperliquid in Q3
- The SEC has opened the path for tokenized U.S. stocks to trade onchain, and the first venues are already applying
Request a trial if onchain trades and prices matter to your team: eu1.hubs.ly/H0zjr2W0
🦄 Uniswap 變成聚合器了！
@Uniswap 宣布，Uniswap v4 正式支援聚合器功能。
透過新的「Aggregator Hooks」，Uniswap 可以把外部流動性來源包裝成 Uniswap 池，讓用戶在同一個介面裡使用其他場所的流動性。
這項功能今天起在 Ethereum、Base 和 Robinhood Chain 上線，可以透過 Uniswap 網頁版和 API 使用。
以前是別人聚合 Uniswap，現在換 Uniswap 聚合別人了。
🚨 Grok 4.8 要來了？馬斯克：參數量達 2.5 兆
據 @Priyannkaaaa 整理，SpaceXAI 正在開發下一代旗艦模型 Grok 4.8。
📌重點整理
1️⃣ 馬斯克稱 Grok 4.8 參數量達 2.5 兆，Grok 4.7 為 2.1 兆、Grok 4.6 為 1.5 兆
2️⃣ 模型建構在 xAI 從零自研的 C++ 軟體架構上
3️⃣ 預訓練結束後將直接進入強化學習階段
4️⃣ 過去 Grok 通常在訓練完成後 3 至 6 週上線，推測最快 10 月就會推出
5️⃣ 馬斯克表示 Grok 4.8、4.9 和 Grok 5 都以搶下前沿模型領先地位為目標
不過官方目前還沒公布模型卡、API 識別碼或定價。
🚨 Grok 4.8 leak beat fable 5.1
>SpaceXAI’s next flagship is in the works
>Musk says it has 2.5 trillion parameters, up from 2.1T in Grok 4.7 and 1.5T in Grok 4.6
>It was built on an in-house C++ software stack, written from scratch by xAI
>After training ends, it goes straight into reinforcement learning
>Past launches landed 3 to 6 weeks after training finished, which points to October
>Musk says Grok 4.8, 4.9 and Grok 5 will all target frontier leadership
>Worth noting: no model card, API identifier or price has been published yet
🤖 宇樹機器人要當保鑣了？
中國人形機器人公司宇樹科技（Unitree）發布「H2-X 功夫傳奇守護者」，官方說它能提供服務和守護功能，最長續航約 8 小時，並提醒使用者「請以安全、友善的方式使用機器人」。
據 @CyberRobooo 分享的宣傳影片，H2 會擋下持刀闖入者、抬起汽車救出底下受困的人，還會把行人推離迎面駛來的車輛。
小編：影片裡是超級英雄，現實中先求它不要被駭 🫠
🤖 馬斯克：AI 若比人類聰明百萬倍，人類很難還握有主導權
據 @cb_doge 分享的影片，Elon Musk 表示，若數位智慧發展到比生物智慧強大一百萬倍，人類恐怕很難繼續掌控局面。
「很難想像在那種情境下人類還能掌控一切。所以我希望 AI 會對我們好一點。」
ETF 資金是比特幣的「抄底買盤」？DWF Labs：其實是追漲殺跌的動能資金
@DWFLabs 研究比對 2024 年 1 月至 2026 年 10 月共 694 個交易日的美國現貨 $BTC ETF 資金流與價格，結論是：ETF 投資人不是在逢低買進，而是跟著價格跑。
📌重點整理
1️⃣ 追漲殺跌：ETF 時代 8 次跌幅 15% 以上的下跌中，有 7 次出現淨流出；9 次漲幅 15% 以上的反彈全部淨流入。8 次低點中有 7 次在最低點當天仍在賣，8 次高點中有 7 次在頂部當天仍在買
2️⃣ 資金跟著價格走，而非領先價格：資金流與前 5 日報酬相關係數 0.54，與後 5 日僅 0.03，幾乎沒有預測力
3️⃣ 跌 7% 是賣壓觸發點：$BTC 自 20 日高點回落 5% 時資金流變化不大；跌到 7%，日均流量一週內從約 +7,400 萬美元翻成約 −7,200 萬美元
4️⃣ 拋售加劇：最近兩次下跌是 ETF 時代最重的賣壓，分別約流出 69 億美元（2025 年 10 月至 2026 年 2 月）與 82 億美元（2026 年 5 月至 6 月）
5️⃣ 跌得更平緩，但沒有更淺：ETF 時代下跌中位數約 −21.3%，與過去相近；但每日跌速由 1.00% 降至 0.69%，單日跌逾 7% 的天數由每年約 6 天降至 2 天。DWF 認為這更可能來自市場結構成熟，而非 ETF 抄底
6️⃣ IBIT 沒有額外訊號：貝萊德 IBIT 資金流的預測力與整體 ETF 相同
說白了：ETF 資金流適合用來確認趨勢，不適合用來預測下一步。
「10 月只是小波動而已」：AI 半導體研究大戶 Serenity 曬出約 1,359 萬美元帳面回撤
專研 AI／半導體供應鏈的 @aleabitoreddit（Serenity）自嘲「10 月有點小波動」，並為了「透明」貼出個人回撤截圖：帳面虧損約 13,589,443 美元。
他稍早才發文勸散戶別因股價下跌就認賠殺出：如果只因為跌了就投降，代表一開始就沒有投資邏輯與信念。他舉例，Nebius 曾在 2025 年底至 2026 年初被避險基金放空到約 70 美元、Robinhood 一度回落至 17 美元，不少散戶在洗盤期就下車，沒等到原本的長線部位發酵。
說白了：大戶也在痛，只是他選擇抱著。
ICP 創辦人槓上 NEAR：指控 NEAR Intents 核心技術「偷自 DFINITY」
DFINITY 創辦人 @dominic_w 發布長文指控，NEAR Intents 與 Chain Abstraction 的關鍵元件，是未經授權使用 DFINITY 專有的門檻 ECDSA 簽名技術，並稱此事涉及法律責任。
📌重點整理（Dominic 一方說法）
1️⃣ 技術來源：他指 NEAR 採用的演算法出自 DFINITY 2022 年論文〈On the security of ECDSA with additive key derivation and presignatures〉，該技術讓多台電腦共同產生 ECDSA 公鑰並代簽交易，且簽名速度快約三倍；他稱此技術僅授權給 Internet Computer 使用
2️⃣ 人員爭議：他稱 NEAR 找來 DFINITY 於 2021 年夏天開除的員工主導這項工作，另挖角兩名 DFINITY 工程師，並指 GitHub 顯示對方一開始就在研究 ICP 的程式庫
3️⃣ 去中心化質疑：他稱 Internet Computer 由約 50 個獨立方節點組成的子網執行此演算法，而 NEAR 據報只跑在 8 台伺服器上，並批評 NEAR Intents「不是去中心化」、存在後門
4️⃣ 最新動作：他指 GitHub 顯示 NEAR 正緊急改用較簡單、需 3 輪簽名的版本（DFINITY 版本只需 1 輪），並稱這反映 NEAR 對自身行為有所顧慮
Dominic 表示，若 NEAR 當初提出合作且條件合理，DFINITY 本會願意分享技術；他說對 NEAR 共同創辦人 Illia 沒有個人敵意，但「這太過分了，必須有個解決方式」。
$ICP $NEAR
核融合新創 Marathon Fusion 宣稱：把汞變成穩定的金、速率達 CERN 紀錄 10 倍，還打破「蘇聯 40 年紀錄」，下一步在舊金山蓋小型反應爐。
Last month, we demonstrated high-rate alchemy: turning mercury into real, stable gold, beating CERN’s record by a factor of 10.
Last week, we enriched isotopes in the world’s most powerful plasma centrifuge, beating the Soviet record that stood for 40 years.
Now, we’re building a fusion reactor in San Francisco to achieve record power density.
剛續訂年費兩天就被封號？開發者 Damon Chen 控訴 Claude 帳號遭停權
獨立開發者 @damonchen 發文表示，自己用 @claudeai 多年，光過去一個月就付了逾 1,500 美元，剛續訂團隊方案年費兩天，整個帳號就被封。
📌事情經過
1️⃣ 他強調自己經營美國公司、具美國永久居留身分，Claude 只用於個人與工作用途，目前只是「暫時待在中國」
2️⃣ 他要求 Claude 至少說明原因：如果「人在中國」就是硬性限制，那就退還未使用的訂閱費，而不是剛收完年費就封號
3️⃣ 有網友指出，Anthropic 支援地區政策限制「人實際身處不支援地區時」使用，中國大陸與香港都不在名單內
說白了：帳號在哪註冊、公司在哪都不重要，Anthropic 看的是你「人在哪裡用」。
running a US company
being a US permanent resident
using claude only for personal + business work
temporarily staying in China
took my annual renewal for the team plan
2 days later: account is banned
@claudeai, can you at least explain what happened?
and if being physically in China is a hard restriction, then just refund the unused subscription and maybe don’t ban accounts right after taking their annual renewal
Sam Altman：OpenAI 最強的內部模型，短期內無法負責任地開源
據 @firesidealpha 整理的影片，OpenAI 執行長 Sam Altman 表示：「我不認為我們能在短期內負責任地開源目前最好的內部模型。」
他說，要做到這點，整個網際網路的資安防禦模式都得改變，還要建立「生物安全層」等一長串配套。
但他也坦言，問題之所以真實而迫切在於：大家真的認為這個模型，領先「會開源同級模型的人」很多嗎？他的答案是「沒有領先太多」。
美國初領失業金人數降至 19.4 萬，優於預期
據 @DeItaone，美國截至 10 月 17 日當週初領失業救濟金人數減少 6,000 人至 19.4 萬，低於市場預期的 20 萬。
📌重點整理
1️⃣ 前一週（10 月 10 日當週）初領人數修正為 20 萬
2️⃣ 截至 10 月 10 日當週續領失業金人數增加 2.5 萬，至 172.8 萬
🚨 WAX 跨鏈橋遭攻擊，漏洞「仍未修補」
據資安公司 @blockaid_，@WAX_io 橫跨 WAX、Solana、以太坊的多鏈橋正遭攻擊：攻擊者在 WAX 端沒付錢就提領映射代幣，Solana 與以太坊端照樣放款。
📌重點整理
1️⃣ 損失：5 筆交易共約 52,986 $USDC、21,558 $USDT、840 $DAI、2.55 $WETH、0.11 $WBTC
2️⃣ 根因：eth.token 合約的 withdraw 沒檢查 max_fee 必須 ≥ 0。攻擊者把 max_fee 設成「負的提領數量」，實際扣款變 0，橋卻記成完整提領；Solana、以太坊端只是照記錄放款
3️⃣ 從建立帳號到兩條鏈放款約一小時完成；Blockaid 稱合約程式碼未變更，漏洞仍可被利用
⚠️ WAX 跨鏈橋使用者，官方修補前建議暫停操作。
🚨Blockaid detected an ongoing exploit on @WAX_io Multi-Chain Bridge on WAX, Solana, and Ethereum.
An attacker withdrew mapped tokens without paying on WAX; Solana and Ethereum released them.
~52,986 USDC, 21,558 USDT, 840 DAI, 2.55 WETH, 0.11 WBTC across 5 txs. 🧵
🚨 Drift 駭客兩天洗進 Tornado Cash 1.223 億美元，近兩年最大筆
據 @arkham，Drift Protocol 攻擊者於 10 月 20 日、21 日分 520 筆轉帳，共將價值約 1.223 億美元的 $ETH 存入 Tornado Cash。
Arkham 指出，這是近兩年來單一駭客存入 Tornado Cash 的最大規模。
📌前情：@lookonchain 先前追蹤，該攻擊者在 Drift 事件中竊取逾 2.7 億美元，沉寂約兩個月後才開始搬幣；截至 21 日晚間仍持有約 56,569 枚 $ETH。
CZ：沒有任何加密錢包是 100% 安全的
@cz_binance 發文表示：沒有加密錢包是百分之百安全，沒有軟體沒有 bug，也沒有科技是百分之百安全。
做任何事都有風險，什麼都不做也有風險；問題、挫折一定會出現。
他的建議很簡單：保持更新、管理風險、解決問題。
a16z 要把「Crypto」從旗艦基金名稱拿掉了？
據 @WuBlockchain 引述 The Information，加密圈最大創投之一 Andreessen Horowitz（a16z）計畫把旗艦區塊鏈基金名稱中的「Crypto」移除，並將投資範圍擴大到加密貨幣以外。
📌重點整理
1️⃣ 報導稱，a16z crypto 已向部分 LP（有限合夥人）告知更名計畫
2️⃣ 另據報導，該基金一名創始成員也將離開
3️⃣ a16z crypto 五檔基金累計募資近 100 億美元；2026 年 5 月完成的第五檔基金規模 22 億美元，約為 2022 年第四檔（45 億美元）的一半
a16z, One of Crypto’s Largest VCs, Plans to Drop “Crypto” From Flagship Fund Name
According to The Information, Andreessen Horowitz (a16z), one of the largest venture capital firms in the crypto industry, plans to remove “Crypto” from the name of its flagship blockchain fund and expand its investment focus beyond cryptocurrencies. One of the fund’s founding members is also reportedly departing. In May 2026, a16z Crypto closed its fifth crypto fund at $2.2 billion, roughly half the size of its $4.5 billion fourth fund raised in 2022.
