BSC 链上 TENDRIL 项目遭攻击，损失约 55.5 万美元

GitBook 于 11 月 4 日发布事故复盘报告。11 月 2 日，攻击者利用 SSO 登录流程漏洞伪造员工会话，经配置错误的 GitHub App 取得内部代码仓库与 Cloudflare API 密钥，进而访问生产环境密钥并获基础设施权限。 时间线显示，11 月 3 日 00:32 取得员工会话与源码，01:48 进入生产环境，03:58 修复 SSO 漏洞，04:32 隔离账号并下线应用；11 月 3 日 11:56 密钥轮换完毕，服务恢复，停机约 16 小时。 攻击者访问生产环境期间可触及 GitBook API 令牌、集成令牌与密钥、会话签名密钥、认证访问文档站点、GitHub 与 GitLab 仓库及客户内容。账单信息、密码、IP 地址未泄露，未发现客户内容被修改证据。 调查指向针对单一客户的定向攻击，GitBook 按全部客户数据已暴露处理，已轮换全部基础设施及客户密钥、作废旧 API 令牌，并称攻击由 AI 代理驱动。报告由 CEO Sara Tandowsky 与联合创始人兼 CTO Samy Pessé 署名。

韩国政府将正式推进将数字资产所得税计划推迟两年，这是该政策的第四次延期。该税收计划原定于 2027 年 1 月 1 日启动，涉及对加密收益征收 22% 的税（含地方税），并设有 250 万韩元（约 1864 美元）的扣除额。（来源：韩联社）

Jupiter 在 2026 年第三季度交易量位居全链 DEX 聚合器第一，并已连续 8 个季度保持领先，该平台仅在 Solana 上运营。 DefiLlama 排名显示，Jupiter 居首，其后依次为 DFlow、0x Protocol、KyberSwap、OKX DEX、LiquidMesh、Uniswap、CoWSwap、1inch、Binance Wallet。

CertiK 监测显示，BSC 链上 TENDRIL 项目存在卖出 hook 漏洞。该漏洞允许卖方在剩余卖出输入到达前，先扣减交易对的代币余额并同步储备，随后延迟到达的输入提走几乎全部 USDT，造成约 55.5 万美元损失。

一个新地址分两笔从 Binance 热钱包累计转入约 6277 枚 ETH，价值合计约 1476 万美元。 两笔转账分别为 3000 枚 ETH 和 3277 枚 ETH，价值分别约 680 万美元和 796 万美元。