Coinbase 漏洞报告数量增至三倍，AI 工具涌入安全审查领域

Coinbase 于 8 月 11 日披露，漏洞报告提交量预计将达到去年的三倍，而有效报告占比已从 2024 年的 14% 降至 2026 年上半年的 4%。这家加密货币交易所将提交量激增归因于安全研究人员越来越多地使用 AI 工具，从而能够快速、自动化地扫描漏洞。报告数量上升增加了人工审核人员的筛查负担，促使 Coinbase 于 7 月 29 日缩小其 Web2 漏洞赏金计划的范围，仅关注高危、严重和极端漏洞。

Coinbase 报告称 AI 工具普及推动漏洞提交量增至三倍

Coinbase 在 8 月 11 日发布的安全披露中表示，在前一年翻倍的基础上，通过 HackerOne 提交的报告量预计将达到去年的三倍。该公司将增长与研究人员日益广泛地使用 AI 联系起来，因为 AI 能够快速扫描软件并生成漏洞报告。在上半年结案的 HackerOne 报告中，44% 为重复报告，37% 包含相关信息但不存在可利用的缺陷，15% 无效。上半年通过 HackerOne 提交的报告中，只有 4% 涉及有效且符合奖励条件的漏洞，低于 2024 年的 14%。

Coinbase 于 7 月 29 日将其 Web2 漏洞赏金计划的范围缩小至高危、严重和极端漏洞。极端漏洞仍有资格获得最高 100 万美元的奖励。HackerOne 是一个外部平台，独立研究人员可在此向公司提交软件漏洞，供其审核并有机会获得奖励。Coinbase 使用 Web2 一词指代传统网站、应用程序及其支持服务。其独立的 Cantina 计划涵盖公链和智能合约漏洞。

人类研究人员发现 Stellar 出金对账缺陷

外部研究人员 Joe Almeida 和 Anh Nguyen 发现了一个涉及 Coinbase Stellar 出金对账的漏洞。Stellar 的费用提升机制允许第三方封装现有交易并支付更高的网络费，而无需新的签名或序列号管理。在某些情况下，即使预期转账已在链上成功，Coinbase 的系统仍可能将原始交易视为失败。这一差异可能导致内部系统将同一笔支出计算两次。

Coinbase 暂停了受影响的流程，确认已完成修复，并恢复了正常处理。客户资金未受影响，Coinbase 也未发现除研究人员概念验证和内部测试之外的利用证据。AI 还单独标记出了一个相关但严重程度较低的入金侧缺陷。一次由 AI 辅助的独立比特币安全审计在 27.5 小时的审查期间，对 390 个代码库产生了 4,962 个潜在发现。截至发布时，其中约五分之一已被独立复现，因此其余警报在被视为已确认漏洞之前，仍需经过人工确认。

FBI 警告 AI 加速犯罪网络钓鱼和凭证窃取

美国联邦调查局警告称，生成式 AI 可帮助犯罪分子更快地制作具有说服力的信息、实现操作自动化，并扩大潜在目标范围。8 月 10 日对与朝鲜有关联的 Kimsuky 活动进行的分析，在相关基础设施中发现了 AI 平台和生成的文档。调查人员观察到，网络钓鱼材料针对虚拟资产、金融投资和软件开发领域的目标。

3 月 6 日发布的一份关于 Tycoon 2FA 网络钓鱼服务的报告描述了一种能够拦截活跃会话并窃取令牌的技术，这些令牌可用于绕过多因素身份验证。一次协调行动移除了与该行动有关的 330 个域名。

安全公司统计：上半年发生 212 起漏洞利用，损失达 11 亿美元

一项于 7 月 30 日发布的区块链安全评估显示，2026 年上半年发生了 212 起漏洞利用事件，损失达 11 亿美元。对于消费者而言，AI 可以提高攻击速度，并使网络钓鱼信息更具说服力；而漏洞赏金数量上升主要增加了公司的审核负担。在交易所扩大自动化审核并保留专业研究人员的同时，个人防范措施仍然十分重要。标准的数字资产安全做法包括安全地备份钱包、妥善管理密码以及使用双因素身份验证。Coinbase 修订后的计划维持 Web3 奖励不变，同时将其面向公众的 Web2 漏洞赏金支付集中于高影响力缺陷。