Web3 月报 · 2026 年 10 月
9BTC
本月 30 件大事，最受关注的是：Ledger 发布供应链篡改案 72 小时调查更新：确认窃币案例均源自东南亚经销商 CryptoBilis；英国法院裁决天津蓝天格锐案比特币归属适用中国法，受害者或仅获本金；Babylon向Aave V4提交原生比特币抵押提案，通过BaBe系统实现资产自托管。
Ledger 发布供应链篡改案 72 小时调查更新：确认窃币案例均源自东南亚经销商 CryptoBilis
Ledger 于10月12日发布关于硬件钱包供应链篡改事件的72小时调查进展，确认所有涉及资产窃取案例均来自东南亚经销商 CryptoBilis 售出的装置，官方直销渠道未受波及。
BlockTempo 動區動趨原文 公链与基础设施
Odaily 星球日报文章10.21Solana Alpenglow 共识升级预计于主网激活
Solana 核心开发团队 Anza 主导的 Alpenglow 共识升级预计于 10 月 21 日在主网 epoch 1064 激活。该升级将投票交易移出区块以释放约 75% 空间，目标是将链上最终确认时间从约 12.8 秒缩短至 100–150 毫秒，并降低验证者年度成本约 60%。目前超过 90% 的验证者已满足切换要求，但实际运行效果仍待验证。
TechFlow 深潮 Web3 文章10.14Solana 计划于 10 月 21 日激活 Alpenglow 升级以压缩最终性至 150ms
Solana 核心开发团队 Anza 计划于北京时间 2026 年 10 月 21 日 22:50 在主网 Beta 环境激活 Alpenglow 共识协议升级。
Zcash Q3报告：Zakura节点落地与Ironwood激活推动屏蔽供应回升至29%
Blockworks发布Zcash 2026年第三季度报告，指出该季度完成了扩容路线图第一步。新全节点Zakura于7月15日上线，将全网同步时间从约21小时压缩至4小时，移动端证明生成速度提升超14倍。
DeFi
TechFlow 深潮 Web3 文章10.23Babylon向Aave V4提交原生比特币抵押提案，通过BaBe系统实现资产自托管
Babylon Labs于10月14日向Aave V4提交ARFC提案，请求支持将留在所有者钱包中的原生比特币作为抵押品。该方案利用BaBe零知识证明系统和Taproot脚本，使争议解决成本从BitVM2的14211美元降至37.82美元，且仅需单一诚实挑战者（可由持币者本人担任）即可阻止恶意提款。
Aero 合并上线并告别 ve(3,3) 模型，引入质押与预测分配机制
Aerodrome 与 Velodrome 将于10月22日停止排放并合并为 Aero，覆盖七条链，旧代币按特定比例兑换为新 AERO。新机制废除每周投票，改为 sAERO 质押及 Predictive Allocation，允许持有人实时调整奖励分配至任意支持链的池子。
Balancer Forum10.21Balancer 发布 BIP-XYZ：以太坊链上协议关停技术规格
Balancer 社区发布 BIP-XYZ 提案，详述了以太坊链上协议关停（Wind-down）的技术执行规格。计划于2026年10月30日通过 DAO 多签暂停 V2/V3 池工厂并将协议费用设为零，随后在2026年11月30日暂停 V3 Vault 并处理合作伙伴池的恢复模式。
稳定币与 RWA
Odaily 星球日报文章10.10Foresight News 编译分析：股票代币化繁荣背后的利润分配与四阶段演进
Foresight News 编译 @Decentralisedco 的分析文章指出，当前链上股票敞口超 60 亿美元，主要分为代币化和合成路径两条路线。文章将股票上链划分为包装索取权、抵押品应用、券商存量转化及原生股份上链四个阶段，并强调现阶段利润主要流向前端应用而非发行人或托管层。该分析基于特定市场数据与案例，揭示了股票代币化在流动性、借贷参数及周末定价机制等方面的实际约束与商业逻辑。
安全
Decrypt News10.23以太坊因Gas安全漏洞推迟Hoodi测试网Glamsterdam升级
以太坊开发者推迟了原定于周一在Hoodi测试网激活的Glamsterdam升级，原因是审计机构ChainSecurity发现该升级中的Gas变更存在安全隐患。ChainSecurity指出，这些变更可能导致部分智能合约永久记录本应可重试的失败操作，目前已发现13个现实案例并正与受影响项目沟通。
TechFlow 深潮 Web3 文章10.12Papertrade 上线首日遭钱包通过操纵 Hyperliquid ETH 价格套利 128 万美元
Papertrade 上线八小时后，一个地址通过操纵 Hyperliquid 现货市场 ETH 价格，利用其 1000 倍杠杆机制从资金池提走约 128 万美元。
慢雾发布 DarkSword iOS 攻击链威胁情报：后端架构、漏洞利用及钱包窃取能力深度分析
慢雾威胁情报团队发布关于 DarkSword iOS 攻击链的深度分析报告，指出该攻击工具已从公开代码演变为具备完整管理后台和自动化部署能力的商业化产品。报告详细拆解了攻击基础设施，包括多个伪装成股票分析器或高端手表服务的钓鱼域名，以及基于 FastAPI 的管理面板。
XRP Ledger 修复存在约十年的支付引擎整数溢出漏洞
XRP Ledger 发布报告称其支付软件中存在一个自2015年以来未被发现的整数溢出漏洞，攻击者本可利用该缺陷凭空创造可花费的 XRP，从而破坏1000亿枚的供应上限。RippleX 表示未发现有人利用此漏洞，并于9月25日在服务器软件版本3.4.1中完成修复。此次修复未遵循需超过80%受信任验证者支持两周的常规规则，而是作为交易处理变更直接随软件更新生效，这是十多年来首次采用此种方式。
Delving Bitcoin10.24Core Lightning v25.02至v26.04存在自引用通道公告导致节点崩溃的拒绝服务漏洞
Core Lightning v25.02至v26.04版本存在一个拒绝服务漏洞，攻击者可通过发送包含相同node_id_1和node_id_2的channel_announcement消息使节点崩溃。
TechFlow 深潮 Web3 文章10.19Qubic 因客户端随机数漏洞致逾千钱包被盗，网络紧急暂停并冻结八成资产
Qubic 开发团队通报遭遇黑客攻击，1404 个独立钱包地址被清空，累计转走约 2.94 万亿枚 QU。攻击者利用部分苹果生态客户端在生成助记词时伪随机数熵源不足的漏洞推算私钥，底层协议共识未受直接篡改。
CoinDesk News10.23比特币核心修改安全政策以快速披露AI易发现的漏洞
比特币核心（Bitcoin Core）维护者合并了一项新的安全政策，规定对于能通过简单提示词被人工智能模型发现的漏洞，将不再执行长期保密期，而是尽快发布补丁和安全公告。
CoinDesk News10.26Electrum 钱包漏洞致恶意服务器利用 RBF 功能窃取比特币
Electrum 钱包存在漏洞，允许恶意服务器伪造待确认交易，诱导用户在尝试加速支付时授权转账至攻击者地址，开发者已确认至少一起资金被盗案例。该漏洞源于旧版 Electrum 依赖外部服务器且未验证未确认交易的签名，攻击者可拦截真实交易并在钱包历史中替换为无效签名的虚假交易，当用户使用 Replace-by-Fee（RBF）功能时，钱包会签署有效的新交易从而将资金转给攻击者。
Polkadot Forum10.21Polkadot 社区基金会发布 Fearless Wallet 浏览器扩展私钥泄露安全通告
Polkadot 社区基金会确认 Fearless Wallet 浏览器扩展存在恶意代码，导致用户私钥泄露。受影响版本为 3.0.1、3.0.3、3.0.4 和 3.0.5，恶意代码于 2025 年 2 月 19 日作为“TON ecosystem”变更的一部分被添加至公开源代码中，并在解锁钱包时将私钥发送至攻击者服务器。
零时科技发布9月加密安全报告：基础设施成攻击重点，总损失约7.3亿美元
零时科技发布2026年9月加密货币安全报告，指出当月因安全事件造成的总损失约7.3亿美元，攻击目标明显从智能合约向交易所后端和底层基础设施转移。其中Bitget热钱包后端系统操纵攻击造成约3.875亿美元损失，Liquid Network验证软件漏洞攻击造成约3.19亿美元损失，两起事件占当月总损失95%以上。
政策与监管
英国法院裁决天津蓝天格锐案比特币归属适用中国法，受害者或仅获本金
英国高等法院于10月12日就天津蓝天格锐非法集资案涉及的逾6.1万枚比特币作出裁决，认定中国受害者的财产权主张应依据中国法律判断。由于中国法律不承认比特币的财产属性，约1.6万名登记追索的中国受害者大概率只能追回本金和利息，无法分享比特币从2815元涨至约56万元带来的200倍增值收益。该判决尚未最终落锤，当事人可申请上诉，但法院已明确方向。
MSCI敲定新指数准入规则，14家加密公司列入潜在受影响名单
MSCI于10月16日敲定新的指数准入规则，将主要依靠持有资产而非实际经营的公司归入“非经营性公司”，可能导致其失去纳入全球可投资市场指数的资格。该规则将从11月指数审议开始实施，正式名单将于11月11日公布，并于11月30日收盘后生效。
Bitcoin Magazine News10.21OCC发布GENIUS法案稳定币实施规则，保留第三方奖励争议并放宽储备限制
美国货币监理署（OCC）周三敲定了实施《GENIUS法案》的稳定币规则，该规则将于2027年1月18日生效，为支付型稳定币发行方建立联邦标准及许可监管体系。与早期提案相比，最终规则取消了将发行方与第三方合作视为违反禁止付息规定的推定，改为个案审查，未解决交易所等第三方提供稳定币奖励的争议。
BlockTempo 動區動趨10.25阿根廷联邦法官裁定米莱等11人在LIBRA迷因币案中无罪结案
阿根廷联邦法官Marcelo Martínez de Giorgi于10月23日签署判决书，裁定总统米莱、其胞妹Karina Milei及Hayden Davis等11人在$LIBRA迷因币案中全数结案。
TechFlow 深潮 Web3 文章10.15韩国金融情报单位获批屏蔽 KuCoin 等 27 家未注册交易所网站
韩国金融服务委员会宣布，金融情报单位（FIU）已获媒体通信监管机构批准，将对 KuCoin、MEXC 等 27 家未注册加密平台实施网站屏蔽。这是韩国首次针对此类运营商采取直接阻断网络访问的措施，此前手段主要限于移送调查或限制信用卡支付。
Chainalysis 研究与安全一手10.09英国将Cryptomus、Heleket和TokenSpot列入涉俄制裁名单
10月8日，英国外交部将38个实体列入制裁名单，其中包括加密支付处理商Cryptomus和Heleket（均隶属于Xeltox Enterprises Ltd.）以及吉尔吉斯斯坦交易所TokenSpot CJSC。
Bitcoin Magazine News10.22爱尔兰央行因客户资金保障失职对 Coinbase 爱尔兰子公司处以325万欧元罚款
爱尔兰中央银行因 Coinbase Ireland Limited 未能妥善保障客户资金并过度依赖美国母公司进行合规管理，对其处以325万欧元（约365万美元）罚款。
项目与商业
Polkadot Forum10.22SDFI关于Kusama在JAM Prime上的决策文件与两项Wish for Change提案存在冲突
SDFI发布的《Kusama on JAM Prime: The Infrastructure Decision》决策文件（v0.1.0）与Kusama WFC #573及Polkadot WFC #1926两项已通过的提案存在冲突。
BlockTempo 動區動趨10.24Starknet 社群投票支持研究自建后量子安全 Layer 1
Starknet 社群以 93.5% 的投票权支持一项提案，授权 StarkWare 与 Starknet Foundation 研究将网络从以太坊 Layer 2 转为独立的后量子安全 Layer 1。
研究与数据
BlockTempo 動區動趨10.19Anthropic 发布 Claude 还原 NIST 椭圆曲线种子来源的研究成果
Anthropic 于10月16日发布研究称，其内部模型成功还原了 NSA 提供给 NIST 的 P-192、P-256 等椭圆曲线种子的生成方法。该发现表明种子由 POSIX/C 库的 lrand48() 函数基于 1997 至 1998 年的 Unix 时间戳生成，排除了故意植入后门的嫌疑，但揭示了“可验证随机”在来源审计上的缺失。
Pine Analytics解读Raydium季报：Q3交易费增至5710万美元但依赖单一合作伙伴
Pine Analytics发布Raydium第三季度数据分析报告，指出该季度交易费环比增长超两倍至5710万美元，RAY代币季度涨幅达204%。数据显示增长主要源于8月LaunchLab升级后，9月StonkFun平台迁移带来的交易量激增，其贡献了当月28%的交易量。报告同时警示，由于高度依赖单一合作伙伴且10月前四天日均费用较9月下降43%，Q4的增长持续性存疑。
BlockBooster 报告：130个加密AI项目月实际收入约870万美元，Venice占比超八成
BlockBooster研究员统计2026年9月13日至10月12日数据发现，除OpenRouter外，130个直接接触模型token的Web3项目30天内可核对或推算的模型付费总额约870万美元。