Критические оповещения для биткоинеровhttps://sec.21ideas.org/ruhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-23-security-alert/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-23-security-alert/6 сентября 2026 года атакующий использовал ошибку в кэше проверки rangeproof в Elements: ключ кэша не включал asset commitment и scriptPubKey, поэтому узлы приняли транзакцию, выход которой не был обеспечен входами. Так было выпущено около 4000 LBTC без стоящего за ними биткоина, после чего средства ушли через штатный peg-out; резерв Liquid упал примерно с 4205 BTC до 197 BTC. Атакующий вернул 3400 BTC, около 602 BTC остаются невозвращёнными; другие активы Liquid (USDt, DePix и прочие) не затронуты, но были недоступны на время остановки сети. Blockstream остановил bridge-узлы, выкатил срочный временный патч и затем выпустил проверенный релиз Elements v23.3.4.Wed, 23 Sep 2026 22:00:37 GMT<p>6 сентября 2026 года атакующий использовал ошибку в кэше проверки rangeproof в Elements: ключ кэша не включал asset commitment и scriptPubKey, поэтому узлы приняли транзакцию, выход которой не был обеспечен входами. Так было выпущено около 4000 LBTC без стоящего за ними биткоина, после чего средства ушли через штатный peg-out; резерв Liquid упал примерно с 4205 BTC до 197 BTC. Атакующий вернул 3400 BTC, около 602 BTC остаются невозвращёнными; другие активы Liquid (USDt, DePix и прочие) не затронуты, но были недоступны на время остановки сети. Blockstream остановил bridge-узлы, выкатил срочный временный патч и затем выпустил проверенный релиз Elements v23.3.4.</p> <p><strong>Что делать:</strong> Операторам узлов Elements/Liquid — обновиться до Elements v23.3.4 немедленно, не откладывая на плановое окно: уязвимость подтверждённо эксплуатировалась на мейннете, а старые сборки могут разойтись с сетью по результатам валидации. Держателям LBTC — учитывать, что часть резерва не восстановлена, и сверять доступность peg-out перед крупными операциями; ссылки на отчёт и релиз — в посте.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://blog.blockstream.com/liquid-network-security-incident-assessment/">blog.blockstream.com</a></li><li><a href="https://github.com/ElementsProject/elements/releases/tag/elements-23.3.4?ref=blog.blockstream.com">github.com</a></li></ul>Эксплуатация подтвержденаПатч естьХодлерыОператоры нодhttps://sec.21ideas.org/incidents/core-lightning-2026-09-22-security-alert/https://sec.21ideas.org/incidents/core-lightning-2026-09-22-security-alert/Точечный релиз 26.06.8 закрывает набор уязвимостей, о которых сообщили внешние исследователи; в отличие от 26.06.7, периода эмбарго нет, исправления доступны немедленно. Проект временно придержал часть тестов, чтобы затруднить быстрое восстановление деталей уязвимостей и атаки до того, как операторы успеют обновиться — то есть окно до появления технических подробностей ограничено. Отдельно отмечено, что ноды, работавшие на сборках из master, откатиться на ветку 26.06.x не смогут из-за более новой схемы базы данных.Tue, 22 Sep 2026 13:40:03 GMT<p>Точечный релиз 26.06.8 закрывает набор уязвимостей, о которых сообщили внешние исследователи; в отличие от 26.06.7, периода эмбарго нет, исправления доступны немедленно. Проект временно придержал часть тестов, чтобы затруднить быстрое восстановление деталей уязвимостей и атаки до того, как операторы успеют обновиться — то есть окно до появления технических подробностей ограничено. Отдельно отмечено, что ноды, работавшие на сборках из master, откатиться на ветку 26.06.x не смогут из-за более новой схемы базы данных.</p> <p><strong>Что делать:</strong> Обновите ноду Core Lightning до 26.06.8 сейчас, не откладывая: детали уязвимостей станут публичными в ближайшее время. Dual funding остаётся экспериментальным, каналы zero-conf с недоверенными пирами по-прежнему не рекомендуются. Если нода крутилась на master-сборке, планируйте путь обновления вперёд, а не откат на 26.06.x.</p> <p><strong>Источник:</strong> <a href="https://github.com/ElementsProject/lightning/releases/tag/v26.06.8">github.com</a></p>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/stacker-news-security-2026-09-21-security-alert/https://sec.21ideas.org/incidents/stacker-news-security-2026-09-21-security-alert/Инженерная команда Block совместно с независимыми исследователями разобрала ошибку интеграции ГСЧ в прошивке COLDCARD: вместо аппаратного генератора STM32 используется детерминированный программный fallback MicroPython, инициализируемый из UID чипа и таймеров. На Mk2/Mk3 (v4) криптографическая энтропия в генерацию не добавляется вовсе, на Mk4/Q/Mk5 от secure element сохраняется лишь несколько байт, а переинициализация заменяет одно 32-битное слово состояния. Это делает сиды, сгенерированные на устройстве, восстановимыми. Поводом к расследованию стали сообщения владельцев COLDCARD о пропаже средств; Block пишет, что эксплуатация идёт, и отсылает к отдельному разбору Coinkite.Mon, 21 Sep 2026 12:00:57 GMT<p>Инженерная команда Block совместно с независимыми исследователями разобрала ошибку интеграции ГСЧ в прошивке COLDCARD: вместо аппаратного генератора STM32 используется детерминированный программный fallback MicroPython, инициализируемый из UID чипа и таймеров. На Mk2/Mk3 (v4) криптографическая энтропия в генерацию не добавляется вовсе, на Mk4/Q/Mk5 от secure element сохраняется лишь несколько байт, а переинициализация заменяет одно 32-битное слово состояния. Это делает сиды, сгенерированные на устройстве, восстановимыми. Поводом к расследованию стали сообщения владельцев COLDCARD о пропаже средств; Block пишет, что эксплуатация идёт, и отсылает к отдельному разбору Coinkite.</p> <p><strong>Что делать:</strong> Считай сид, сгенерированный на COLDCARD этих поколений, скомпрометированным: создай новый сид в другой доверенной среде (не на затронутом устройстве) и переведи туда все средства немедленно. Обновление прошивки само по себе не спасает уже созданный сид — замена секрета обязательна. Мультиподпись из нескольких затронутых устройств не защищает: нужен кворум устройств с независимой энтропией. Детали и ссылки на разборы — по ссылкам ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://engineering.block.xyz/blog/predictable-rng-fallback-and-32-bit-reseed-in-coldcard-firmware">engineering.block.xyz</a></li><li><a href="https://stacker.news/items/1536720">stacker.news</a></li></ul>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/stacker-news-security-2026-09-20-security-alert/https://sec.21ideas.org/incidents/stacker-news-security-2026-09-20-security-alert/Команда SlowMist сообщает, что получила несколько обращений от пользователей, у которых были украдены средства. По итогам разбора во всех этих случаях речь шла о раскрытии приватных ключей, а часть пострадавших ранее устанавливала и использовала приложение FomoPeek версий 1.1–1.2. Исправления или безопасной версии в сообщении не названо; связь приложения с кражами подана как результат расследования обращений, а не как разбор кода.Sun, 20 Sep 2026 23:50:24 GMT<p>Команда SlowMist сообщает, что получила несколько обращений от пользователей, у которых были украдены средства. По итогам разбора во всех этих случаях речь шла о раскрытии приватных ключей, а часть пострадавших ранее устанавливала и использовала приложение FomoPeek версий 1.1–1.2. Исправления или безопасной версии в сообщении не названо; связь приложения с кражами подана как результат расследования обращений, а не как разбор кода.</p> <p><strong>Что делать:</strong> Если вы ставили FomoPeek версий 1.1–1.2 на устройство, где хранились или вводились приватные ключи или seed, считайте эти секреты скомпрометированными: удалите приложение, на другом, заведомо чистом устройстве создайте новый кошелёк и переведите туда все средства со старых адресов. Не полагайтесь на переустановку или обновление приложения как на решение. Подробности алерта — по ссылкам ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/SlowMist_Team/status/2101211432541192615">x.com - SlowMist_Team</a></li><li><a href="https://stacker.news/items/1577991">stacker.news</a></li></ul>Ходлерыhttps://sec.21ideas.org/incidents/blink-2026-09-19-security-alert/https://sec.21ideas.org/incidents/blink-2026-09-19-security-alert/Blink сообщил, что уязвимость, стоявшая за недавним инцидентом, исправлена и проверена, а сервисы снова работают. Доступ восстановлен для всех незатронутых аккаунтов, аккаунты затронутых пользователей временно остаются заблокированными. По словам вендора, некастодиальные балансы не пострадали. Подробности уязвимости и масштаб инцидента вендор пока не раскрыл и обещает полный разбор позже.Sat, 19 Sep 2026 20:20:19 GMT<p>Blink сообщил, что уязвимость, стоявшая за недавним инцидентом, исправлена и проверена, а сервисы снова работают. Доступ восстановлен для всех незатронутых аккаунтов, аккаунты затронутых пользователей временно остаются заблокированными. По словам вендора, некастодиальные балансы не пострадали. Подробности уязвимости и масштаб инцидента вендор пока не раскрыл и обещает полный разбор позже.</p> <p><strong>Что делать:</strong> Если вы держите средства на кастодиальном балансе Blink, зайдите в приложение сейчас и проверьте, открылся ли доступ. Если аккаунт заблокирован, обращайтесь только в официальную поддержку Blink — контакт в посте вендора по ссылке ниже. Пока вендор разбирается с инцидентом, ждите фишинговых писем и сообщений о «разблокировке»: не вводите seed и коды доступа ни на каких сайтах и не переводите средства по чужим инструкциям.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/blinkbtc/status/2101405968982749517">x.com - blinkbtc</a></li><li><a href="https://x.com/blinkbtc/status/2101342192820178983">x.com - blinkbtc</a></li></ul>Патч естьХодлерыhttps://sec.21ideas.org/incidents/electrum-2026-09-19-security-alert/https://sec.21ideas.org/incidents/electrum-2026-09-19-security-alert/Кошелёк Blink сообщил об инциденте безопасности. Атакующий получил доступ к ограниченному числу кастодиальных счетов и вывел с них средства. По словам Blink, бо́льшая часть средств в безопасности, а некастодиальные кошельки не затронуты. Работа сервиса приостановлена на время расследования. Причина и масштаб пока не раскрыты.Sat, 19 Sep 2026 16:30:26 GMT<p>Кошелёк Blink сообщил об инциденте безопасности. Атакующий получил доступ к ограниченному числу кастодиальных счетов и вывел с них средства. По словам Blink, бо́льшая часть средств в безопасности, а некастодиальные кошельки не затронуты. Работа сервиса приостановлена на время расследования. Причина и масштаб пока не раскрыты.</p> <p><strong>Что делать:</strong> Если вы держите средства на кастодиальном счёте Blink, не отправляйте туда новые платежи, пока сервис не возобновит работу и не объяснит причину. Следите за обновлениями только через официальные каналы Blink, ссылка на исходное сообщение — в посте. Не отвечайте на письма и сообщения о «компенсации», «восстановлении доступа» или «верификации» и никому не вводите seed. На фоне таких инцидентов обычно появляется фишинг. Владельцам некастодиальных кошельков Blink, по данным сервиса, ничего делать не нужно.</p> <p><strong>Источник:</strong> <a href="https://x.com/ElectrumWallet/status/2101346233692443038">x.com - ElectrumWallet</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/stacker-news-security-2026-09-18-security-alert/https://sec.21ideas.org/incidents/stacker-news-security-2026-09-18-security-alert/Инвойс BOLT11 мог содержать несколько payment hash, и разные библиотеки брали разные из них: одни первый, другие последний. Если в системе сочетались обе трактовки, она считала выплату несостоявшейся после фактической оплаты, что позволяло вычерпывать баланс повторными выводами. По описанию в посте, именно так был взломан популярный Telegram P2P-бот и потеряны средства. Предложено изменение спецификации, отклоняющее инвойсы с более чем одним payment hash; обновлены тест-векторы.Fri, 18 Sep 2026 23:20:52 GMT<p>Инвойс BOLT11 мог содержать несколько payment hash, и разные библиотеки брали разные из них: одни первый, другие последний. Если в системе сочетались обе трактовки, она считала выплату несостоявшейся после фактической оплаты, что позволяло вычерпывать баланс повторными выводами. По описанию в посте, именно так был взломан популярный Telegram P2P-бот и потеряны средства. Предложено изменение спецификации, отклоняющее инвойсы с более чем одним payment hash; обновлены тест-векторы.</p> <p><strong>Что делать:</strong> Проверьте, как ваш стек парсит BOLT11: сравните поведение всех используемых библиотек и узла на инвойсе с несколькими payment hash. Отклоняйте такие инвойсы на входе и всегда сверяйте оплаченный хеш с тем, который ожидали, прежде чем считать выплату неуспешной. Проверьте логи автоматических выводов на расхождения между заявленными и реально проведёнными платежами. Подробности изменения спецификации — по ссылкам ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://github.com/lightning/bolts/pull/1357">github.com</a></li><li><a href="https://stacker.news/items/1576513">stacker.news</a></li></ul>Эксплуатация подтвержденаОператоры нодРазработчикиМерчантыhttps://sec.21ideas.org/incidents/zeus-2026-09-18-security-alert/https://sec.21ideas.org/incidents/zeus-2026-09-18-security-alert/Разработчики Zeus сообщают, что из-за бага в стороннем зависимом компоненте старые версии сохраняли данные кошельков, включая сиды и учётные данные подключения, в синхронизируемом через iCloud keychain вместо локального хранилища устройства. Версия v13.2.2 переносит их в локальное хранилище и затем автоматически и безвозвратно удаляет копии из iCloud — без запроса подтверждения. Удаление распространяется на все устройства с тем же Apple ID: любое устройство, ещё не открытое на v13.2.2, потеряет сохранённые конфигурации кошельков, поскольку в старых версиях отдельной локальной копии не было. Это касается и устройств, обновившихся в фоне; порядок обновления проблему не обходит. По заявлению вендора, iCloud Keychain шифруется end-to-end, данные были доступны только собственным доверенным устройствам, и признаков утечки пользовательских данных нет.Fri, 18 Sep 2026 14:41:21 GMT<p>Разработчики Zeus сообщают, что из-за бага в стороннем зависимом компоненте старые версии сохраняли данные кошельков, включая сиды и учётные данные подключения, в синхронизируемом через iCloud keychain вместо локального хранилища устройства. Версия v13.2.2 переносит их в локальное хранилище и затем автоматически и безвозвратно удаляет копии из iCloud — без запроса подтверждения. Удаление распространяется на все устройства с тем же Apple ID: любое устройство, ещё не открытое на v13.2.2, потеряет сохранённые конфигурации кошельков, поскольку в старых версиях отдельной локальной копии не было. Это касается и устройств, обновившихся в фоне; порядок обновления проблему не обходит. По заявлению вендора, iCloud Keychain шифруется end-to-end, данные были доступны только собственным доверенным устройствам, и признаков утечки пользовательских данных нет.</p> <p><strong>Что делать:</strong> Если вы используете Zeus на iOS больше чем на одном устройстве и у вас включён iCloud Keychain — до запуска новой версии на каждом устройстве убедитесь, что у вас есть резервная копия seed-фразы для каждого встроенного кошелька (и сида Cashu, если пользуетесь ecash), и выгрузите конфигурации кошельков. Отключите автообновление, пока не сделаете бэкапы. Устройств с выключенным iCloud Keychain это не касается. Подробности и полный список шагов — в заметках к релизу по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://github.com/ZeusLN/zeus/releases/tag/v13.2.2-rc1">github.com</a></p>ХодлерыОператоры нодhttps://sec.21ideas.org/incidents/aqua-2026-09-17-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-17-security-alert/Федерация Liquid и Blockstream сообщают, что первопричина и путь эксплуатации инцидента 6 сентября установлены, а немедленное исправление выпущено в Elements v23.3.4. Из примерно 4 000 BTC, выведенных при атаке, в резерв федерации возвращено 3 400 BTC; порядка 600 BTC остаются невозвращёнными, их возврат пытаются добиться. Производство блоков и переводы Liquid-активов, включая LBTC, работают с 10 сентября, но операции peg-out остаются приостановленными до подтверждения полного обеспечения LBTC в соотношении 1:1 и завершения обновлений, тестов и независимых аудитов. Даты возобновления peg-out нет, подробный технический отчёт обещан позже.Thu, 17 Sep 2026 21:30:56 GMT<p>Федерация Liquid и Blockstream сообщают, что первопричина и путь эксплуатации инцидента 6 сентября установлены, а немедленное исправление выпущено в Elements v23.3.4. Из примерно 4 000 BTC, выведенных при атаке, в резерв федерации возвращено 3 400 BTC; порядка 600 BTC остаются невозвращёнными, их возврат пытаются добиться. Производство блоков и переводы Liquid-активов, включая LBTC, работают с 10 сентября, но операции peg-out остаются приостановленными до подтверждения полного обеспечения LBTC в соотношении 1:1 и завершения обновлений, тестов и независимых аудитов. Даты возобновления peg-out нет, подробный технический отчёт обещан позже.</p> <p><strong>Что делать:</strong> Операторам узлов Elements и инфраструктуры Liquid — обновиться до v23.3.4 сейчас, не дожидаясь технического отчёта. Держателям LBTC — не рассчитывать на вывод в BTC через peg-out и не строить на нём срочных планов: сроков возобновления нет. Перед любым депозитом, выводом или свопом проверяйте фактическую доступность операции в официальных каналах конкретного сервиса: у части кошельков маршруты LBTC в BTC и в Lightning всё ещё отключены.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2100697398271938764">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаПатч естьХодлерыОператоры нодhttps://sec.21ideas.org/incidents/bisq-2026-09-16-security-alert/https://sec.21ideas.org/incidents/bisq-2026-09-16-security-alert/Bisq выпустил срочное обновление 1.10.8. Оно закрывает уязвимости, найденные при аудите безопасности. Исправления затрагивают выплаты возвратов: теперь для них нужны проверенные данные эскроу и авторизация заявителя или агента. Повторное использование квитанций возврата и межсетевые резервирования выплат заблокированы, а транзакции возврата проверяются тщательнее. Кроме того, исправлены проверки предложений Burning Man, подписей BSQ swap и получателей комиссий, обновлён Tor. Вендор не пишет, что уязвимости эксплуатировались. Изъяны в логике возвратов касаются средств в сделках, а без обновления торговать больше нельзя.Wed, 16 Sep 2026 14:40:10 GMT<p>Bisq выпустил срочное обновление 1.10.8. Оно закрывает уязвимости, найденные при аудите безопасности. Исправления затрагивают выплаты возвратов: теперь для них нужны проверенные данные эскроу и авторизация заявителя или агента. Повторное использование квитанций возврата и межсетевые резервирования выплат заблокированы, а транзакции возврата проверяются тщательнее. Кроме того, исправлены проверки предложений Burning Man, подписей BSQ swap и получателей комиссий, обновлён Tor. Вендор не пишет, что уязвимости эксплуатировались. Изъяны в логике возвратов касаются средств в сделках, а без обновления торговать больше нельзя.</p> <p><strong>Что делать:</strong> Обновите Bisq до версии 1.10.8 до следующей сделки. Перед установкой проверьте подпись загруженного файла по инструкции вендора. Ссылка на релиз — в посте.</p> <p><strong>Источник:</strong> <a href="https://github.com/bisq-network/bisq/releases/tag/v1.10.8">github.com</a></p>Патч естьХодлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-16-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-16-security-alert/JAN3, по пересказу Bitcoin News, сообщил о DoS-атаке на новую инфраструктуру свопов Indra в стадии открытой беты. Из-за атаки команда временно отключила прямые (forward) свопы и расследует инцидент. Indra заменяет Boltz в кошельке Aqua и переводит биткоин между Lightning и Liquid. Свопы, начатые до отключения, могут проходить с задержкой. Сведений о потере средств в сообщении нет.Wed, 16 Sep 2026 13:51:12 GMT<p>JAN3, по пересказу Bitcoin News, сообщил о DoS-атаке на новую инфраструктуру свопов Indra в стадии открытой беты. Из-за атаки команда временно отключила прямые (forward) свопы и расследует инцидент. Indra заменяет Boltz в кошельке Aqua и переводит биткоин между Lightning и Liquid. Свопы, начатые до отключения, могут проходить с задержкой. Сведений о потере средств в сообщении нет.</p> <p><strong>Что делать:</strong> Если у вас в Aqua есть незавершённый своп между Lightning и Liquid, дождитесь его завершения и не запускайте его повторно, пока команда не сообщит о восстановлении сервиса. Новые свопы отложите до официального объявления. Подробности — по ссылке в посте.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2100220266294948261">x.com - AquaBitcoin</a></p>Ходлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-15-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-15-security-alert/Сервис свопов Indra заявляет, что находится под DoS-атакой, и на время расследования и смягчения отключил форвард-свопы. Уже запущенные обмены могут выполняться дольше обычного. Затронуты те, кто пользуется свопами через Aqua и напрямую: новые обмены сейчас не проходят, а средства в уже начатых операциях зависают на неопределённое время. Обещаны дальнейшие сообщения по мере развития ситуации; сроков восстановления не названо.Tue, 15 Sep 2026 23:40:58 GMT<p>Сервис свопов Indra заявляет, что находится под DoS-атакой, и на время расследования и смягчения отключил форвард-свопы. Уже запущенные обмены могут выполняться дольше обычного. Затронуты те, кто пользуется свопами через Aqua и напрямую: новые обмены сейчас не проходят, а средства в уже начатых операциях зависают на неопределённое время. Обещаны дальнейшие сообщения по мере развития ситуации; сроков восстановления не названо.</p> <p><strong>Что делать:</strong> Не запускай новые свопы, пока функция отключена. Если обмен уже в процессе — дождись завершения и не повторяй и не дублируй отправку, чтобы не потерять средства на второй транзакции. Следи за обновлениями сервиса по ссылке ниже; при необходимости срочного перевода используй другой маршрут, не связанный с этим сервисом.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/AquaBitcoin/status/2100004505874043288">x.com - AquaBitcoin</a></li><li><a href="https://x.com/excellion/status/2099961353314111510">x.com - excellion</a></li></ul>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/start9-2026-09-15-security-alert/https://sec.21ideas.org/incidents/start9-2026-09-15-security-alert/Start9 ссылается на критическое предупреждение Core Lightning и даёт пользователям StartOS конкретный шаг защиты: отключить экспериментальную функцию «Dual funding and liquidity ads». Выпущенного исправления и подтверждённой эксплуатации в сообщении нет.Tue, 15 Sep 2026 20:50:43 GMT<p>Start9 ссылается на критическое предупреждение Core Lightning и даёт пользователям StartOS конкретный шаг защиты: отключить экспериментальную функцию «Dual funding and liquidity ads». Выпущенного исправления и подтверждённой эксплуатации в сообщении нет.</p> <p><strong>Что делать:</strong> Если ваша нода Core Lightning работает на StartOS, отключите функцию прямо сейчас: CLN &gt; Actions &amp; Config &gt; Experimental Features &gt; «Dual funding and liquidity ads» &gt; disabled. Прежний совет в силе: если у вас включены и другие экспериментальные функции, отключите их тоже, не дожидаясь итогов проверки. Предупреждение Core Lightning — по ссылке ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/Core_LN/status/2099927317107839188">x.com - Core_LN</a></li><li><a href="https://x.com/start9labs/status/2099962305740190111">x.com - start9labs</a></li></ul>Операторы нодhttps://sec.21ideas.org/incidents/core-lightning-2026-09-15-security-alert/https://sec.21ideas.org/incidents/core-lightning-2026-09-15-security-alert/Core Lightning в собственном security advisory сообщает, что проверяет сообщения о возможной проблеме в экспериментальных функциях. По словам вендора, она может затронуть средства пользователей. Проблема касается нод, на которых включены экспериментальные функции. Технические детали, затронутые версии и признаки эксплуатации вендор пока не раскрыл, исправления нет.Tue, 15 Sep 2026 18:31:07 GMT<p>Core Lightning в собственном security advisory сообщает, что проверяет сообщения о возможной проблеме в экспериментальных функциях. По словам вендора, она может затронуть средства пользователей. Проблема касается нод, на которых включены экспериментальные функции. Технические детали, затронутые версии и признаки эксплуатации вендор пока не раскрыл, исправления нет.</p> <p><strong>Что делать:</strong> Если на вашей ноде Core Lightning включены экспериментальные функции, отключите их немедленно, не дожидаясь итогов проверки: так советует вендор. Не включайте их обратно, пока Core Lightning не опубликует результаты проверки или исправление. Следите за обновлениями по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://x.com/Core_LN/status/2099927317107839188">x.com - Core_LN</a></p>Операторы нодhttps://sec.21ideas.org/incidents/bisq2-2026-09-15-security-alert/https://sec.21ideas.org/incidents/bisq2-2026-09-15-security-alert/Разработчики Bisq 2 называют релиз v2.1.13 важным обновлением безопасности. В нём Tor обновлён до последнего security-релиза, версии 0.4.9.12. Подробности уязвимости Tor в заметках не раскрыты. Без обновления продолжить торговлю нельзя. Из-за переименования сборки для Apple Silicon пользователи Mac на Intel могут получить через встроенное обновление несовместимую версию.Tue, 15 Sep 2026 15:21:22 GMT<p>Разработчики Bisq 2 называют релиз v2.1.13 важным обновлением безопасности. В нём Tor обновлён до последнего security-релиза, версии 0.4.9.12. Подробности уязвимости Tor в заметках не раскрыты. Без обновления продолжить торговлю нельзя. Из-за переименования сборки для Apple Silicon пользователи Mac на Intel могут получить через встроенное обновление несовместимую версию.</p> <p><strong>Что делать:</strong> Обновите Bisq 2 до v2.1.13 до следующей сделки. Если у вас Mac на процессоре Intel, не полагайтесь на встроенное обновление: вручную скачайте Intel-сборку со страницы релиза (ссылка в посте). Перед установкой проверьте подпись загрузки по официальной инструкции проекта.</p> <p><strong>Источник:</strong> <a href="https://github.com/bisq-network/bisq2/releases/tag/v2.1.13">github.com</a></p>Патч естьХодлерыhttps://sec.21ideas.org/incidents/liana-2026-09-15-security-alert/https://sec.21ideas.org/incidents/liana-2026-09-15-security-alert/Команда биткоин-кошелька Liana в своём официальном аккаунте сообщила, что аккаунт @LianawalletRH поддельный и выдаёт себя за проект. У Liana нет токена и не будет. Всё, что продвигает этот аккаунт, и его личные сообщения стоит считать мошенничеством. Под угрозой пользователи Liana и все, кто следит за проектом в X: так можно потерять деньги на фальшивой покупке или раскрыть данные кошелька в переписке.Tue, 15 Sep 2026 10:40:43 GMT<p>Команда биткоин-кошелька Liana в своём официальном аккаунте сообщила, что аккаунт @LianawalletRH поддельный и выдаёт себя за проект. У Liana нет токена и не будет. Всё, что продвигает этот аккаунт, и его личные сообщения стоит считать мошенничеством. Под угрозой пользователи Liana и все, кто следит за проектом в X: так можно потерять деньги на фальшивой покупке или раскрыть данные кошелька в переписке.</p> <p><strong>Что делать:</strong> Прямо сейчас не покупайте ничего, что продвигает @LianawalletRH, и не отвечайте на его личные сообщения. Пожалуйтесь на аккаунт в X, как просит команда. Никогда и никому не сообщайте seed-фразу: ни один «представитель» кошелька не вправе её запрашивать. Проверяйте, что читаете официальный аккаунт проекта, — ссылка на предупреждение в посте.</p> <p><strong>Источник:</strong> <a href="https://x.com/lianabitcoin/status/2099807953612124514">x.com - lianabitcoin</a></p>Ходлерыhttps://sec.21ideas.org/incidents/eclair-2026-09-14-security-alert/https://sec.21ideas.org/incidents/eclair-2026-09-14-security-alert/ACINQ выпустила патч-релиз Eclair 0.14.3 с исправлениями безопасности. Большая часть исправлений найдена в рамках проекта Loupe. По словам разработчиков, часть этих проблем может эксплуатироваться вредоносными узлами Lightning. Какие именно ошибки исправлены и к чему они могут привести, в этом сообщении не сказано. Затронуты операторы узлов Eclair на версиях до 0.14.3.Mon, 14 Sep 2026 16:10:25 GMT<p>ACINQ выпустила патч-релиз Eclair 0.14.3 с исправлениями безопасности. Большая часть исправлений найдена в рамках проекта Loupe. По словам разработчиков, часть этих проблем может эксплуатироваться вредоносными узлами Lightning. Какие именно ошибки исправлены и к чему они могут привести, в этом сообщении не сказано. Затронуты операторы узлов Eclair на версиях до 0.14.3.</p> <p><strong>Что делать:</strong> Обновите Eclair до версии 0.14.3 как можно скорее: разработчики настоятельно рекомендуют обновиться. Перед установкой проверьте подписи и контрольные суммы релиза ключом E434ED292E85643A. Закрывать каналы не нужно: остановите eclair, обновите его и запустите снова. Подробности — по ссылке на релиз в посте.</p> <p><strong>Источник:</strong> <a href="https://github.com/ACINQ/eclair/releases/tag/v0.14.3">github.com</a></p>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/stacker-news-security-2026-09-12-security-alert/https://sec.21ideas.org/incidents/stacker-news-security-2026-09-12-security-alert/Revolut подтвердил, что раскрыл конфиденциальные данные клиентов посторонним. Злоумышленник отправлял поддельные запросы с легитимного почтового домена государственного ведомства. По заголовку публикации, среди раскрытого — KYC-данные и данные биткоин-транзакций. В Revolut назвали это «сложной схемой внешнего выдавания себя за другого», адрес заблокировали и заявили, что системы и средства клиентов не затронуты. Сколько клиентов пострадало, в сообщении не указано. Связка личности с биткоин-активностью позволяет готовить адресный фишинг и выбирать цели для физического давления.Sat, 12 Sep 2026 22:30:11 GMT<p>Revolut подтвердил, что раскрыл конфиденциальные данные клиентов посторонним. Злоумышленник отправлял поддельные запросы с легитимного почтового домена государственного ведомства. По заголовку публикации, среди раскрытого — KYC-данные и данные биткоин-транзакций. В Revolut назвали это «сложной схемой внешнего выдавания себя за другого», адрес заблокировали и заявили, что системы и средства клиентов не затронуты. Сколько клиентов пострадало, в сообщении не указано. Связка личности с биткоин-активностью позволяет готовить адресный фишинг и выбирать цели для физического давления.</p> <p><strong>Что делать:</strong> Если вы клиент Revolut и покупали или выводили там биткоин, считайте, что вашу личность могли связать с этой активностью. Не отвечайте на звонки, письма и сообщения от имени Revolut, госорганов или «службы безопасности». Никому не сообщайте seed-фразу, PIN и коды подтверждения, не переходите по ссылкам из таких сообщений. Если выводили монеты в собственный кошелёк, учитывайте, что адреса могут быть связаны с вашим именем. Подробности по ссылке ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516">www.theblock.co</a></li><li><a href="https://stacker.news/items/1569883">stacker.news</a></li></ul>Ходлерыhttps://sec.21ideas.org/incidents/electrum-2026-09-12-security-alert/https://sec.21ideas.org/incidents/electrum-2026-09-12-security-alert/Разработчики Electrum в своём официальном аккаунте объявили релиз 4.8.2. Они называют его очередным обновлением безопасности и поблагодарили исследователей, сообщивших о проблемах. Какие именно уязвимости закрыты и насколько они серьёзны, в анонсе не сказано. Сведений об эксплуатации нет. Затронуты пользователи кошелька Electrum на версиях до 4.8.2.Sat, 12 Sep 2026 14:41:24 GMT<p>Разработчики Electrum в своём официальном аккаунте объявили релиз 4.8.2. Они называют его очередным обновлением безопасности и поблагодарили исследователей, сообщивших о проблемах. Какие именно уязвимости закрыты и насколько они серьёзны, в анонсе не сказано. Сведений об эксплуатации нет. Затронуты пользователи кошелька Electrum на версиях до 4.8.2.</p> <p><strong>Что делать:</strong> Обновите Electrum до версии 4.8.2 в ближайшее время, не откладывая до планового обновления. Скачивайте установщик только со страницы загрузки проекта: ссылка в посте. Не пользуйтесь ссылками из сообщений, рекламы и личных писем с предложением «срочного обновления».</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/ElectrumWallet/status/2098783674221150344">x.com - ElectrumWallet</a></li><li><a href="https://electrum.org/#download">electrum.org</a></li></ul>Патч естьХодлерыhttps://sec.21ideas.org/incidents/robosats-2026-09-12-security-alert/https://sec.21ideas.org/incidents/robosats-2026-09-12-security-alert/RoboSats v0.8.7-alpha исправляет XSS в окне информации о координаторе: сообщение координатора теперь выводится как текст, а не HTML, поэтому этот путь закрыт для веб-, Android- и десктоп-клиентов. Однако исправление второй проблемы из advisory не подтверждено: при таймауте выплаты награды сумма может вернуться роботу, хотя первый Lightning-платёж ещё способен пройти, и награду можно получить дважды. Она затрагивает операторов координаторов. Обе проблемы в advisory оценены как средние; об эксплуатации не сообщается.Sat, 12 Sep 2026 09:31:00 GMT<p>RoboSats v0.8.7-alpha исправляет XSS в окне информации о координаторе: сообщение координатора теперь выводится как текст, а не HTML, поэтому этот путь закрыт для веб-, Android- и десктоп-клиентов. Однако исправление второй проблемы из advisory не подтверждено: при таймауте выплаты награды сумма может вернуться роботу, хотя первый Lightning-платёж ещё способен пройти, и награду можно получить дважды. Она затрагивает операторов координаторов. Обе проблемы в advisory оценены как средние; об эксплуатации не сообщается.</p> <p><strong>Что делать:</strong> Пользователям RoboSats: обновитесь до v0.8.7-alpha из официального релиза — это закрывает XSS через окно информации о координаторе. Операторам координаторов: до отдельного подтверждения исправления не считайте проблему с повторной выплатой наград закрытой; приостановите вывод наград либо увеличьте таймаут и вручную сверяйте платежи, которые ещё могут быть в пути, перед повторной выплатой.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://github.com/RoboSats/robosats/security/advisories/GHSA-hp64-3gp5-v8fr">github.com</a></li><li><a href="https://github.com/RoboSats/robosats/releases/tag/v0.8.7-alpha">github.com</a></li></ul>Патч естьХодлерыОператоры нодhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-10-security-alert-upd/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-10-security-alert-upd/Blockstream ретранслировала статус Liquid Network на 10 сентября, 19:55 UTC. Сеть перешла к следующему этапу восстановления: производство блоков возобновлено, функционарии подписывают и проверяют блоки, транзакции снова проходят. Peg-out остаются отключены в качестве меры предосторожности до завершения последнего этапа восстановления. Сроки их возобновления не названы. Параллельно идут тестирование, сканирование кода и мониторинг сети. Источник также сообщает, что мошенники пользуются ситуацией: рассылают сообщения и продвигают поддельные сайты с «обновлениями».Thu, 10 Sep 2026 20:10:11 GMT<p>Blockstream ретранслировала статус Liquid Network на 10 сентября, 19:55 UTC. Сеть перешла к следующему этапу восстановления: производство блоков возобновлено, функционарии подписывают и проверяют блоки, транзакции снова проходят. Peg-out остаются отключены в качестве меры предосторожности до завершения последнего этапа восстановления. Сроки их возобновления не названы. Параллельно идут тестирование, сканирование кода и мониторинг сети. Источник также сообщает, что мошенники пользуются ситуацией: рассылают сообщения и продвигают поддельные сайты с «обновлениями».</p> <p><strong>Что делать:</strong> Если вы запускаете ноду Liquid, обновитесь до Elements v23.3.4 прямо сейчас: источник требует сделать это немедленно. Что именно исправляет этот релиз, в сообщении не сказано. Скачивайте обновление только через официальные каналы Liquid Network и Blockstream, а не по ссылкам из сообщений или со сторонних сайтов. Обычным пользователям, по словам источника, сейчас ничего делать не нужно. Не отправляйте средства на незнакомые адреса и никому не сообщайте seed-фразу или приватные ключи в ответ на непрошеные сообщения.</p> <p><strong>Источник:</strong> <a href="https://x.com/Liquid_BTC/status/2098025275921490281">x.com - Liquid_BTC</a></p>Операторы нодhttps://sec.21ideas.org/incidents/aqua-2026-09-10-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-10-security-alert/По сообщению Aqua Wallet, сеть Liquid возобновила обработку транзакций. Переводы Liquid→Liquid подтверждаются, USDT и DePix снова работают. Peg-in и peg-out по-прежнему приостановлены, пока восстанавливается полное обеспечение L-BTC в соотношении 1:1. Aqua отдельно предупреждает: ручные P2P-обмены L-BTC со скидкой продавать не стоит, потому что работа над восстановлением обеспечения продолжается.Thu, 10 Sep 2026 19:10:26 GMT<p>По сообщению Aqua Wallet, сеть Liquid возобновила обработку транзакций. Переводы Liquid→Liquid подтверждаются, USDT и DePix снова работают. Peg-in и peg-out по-прежнему приостановлены, пока восстанавливается полное обеспечение L-BTC в соотношении 1:1. Aqua отдельно предупреждает: ручные P2P-обмены L-BTC со скидкой продавать не стоит, потому что работа над восстановлением обеспечения продолжается.</p> <p><strong>Что делать:</strong> Не продавайте и не меняйте L-BTC со скидкой во внебиржевых P2P-сделках, пока peg-операции приостановлены. Дождитесь официального объявления о возобновлении peg-in и peg-out. Не устанавливайте «обновления» из сторонних источников и никому не сообщайте seed-фразу.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2098126578907553890">x.com - AquaBitcoin</a></p>Ходлерыhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-10-security-alert/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-10-security-alert/По статусу на 10 сентября, 10:00 UTC, сеть Liquid перешла к следующему этапу контролируемого перезапуска. Для проверки стабильности блоки пока производятся без транзакций. Blockstream подтверждает, что обновления функционариев и bridge-нод развёрнуты и функционарии подписывают блоки штатно. Peg-операции, включая peg-out с авторизацией PAK, по-прежнему приостановлены: резерв BTC/LBTC ещё восстанавливают.Thu, 10 Sep 2026 17:01:29 GMT<p>По статусу на 10 сентября, 10:00 UTC, сеть Liquid перешла к следующему этапу контролируемого перезапуска. Для проверки стабильности блоки пока производятся без транзакций. Blockstream подтверждает, что обновления функционариев и bridge-нод развёрнуты и функционарии подписывают блоки штатно. Peg-операции, включая peg-out с авторизацией PAK, по-прежнему приостановлены: резерв BTC/LBTC ещё восстанавливают.</p> <p><strong>Источник:</strong> <a href="https://x.com/Liquid_BTC/status/2097695714310521331">x.com - Liquid_BTC</a></p>Ходлерыhttps://sec.21ideas.org/incidents/trezor-2026-09-10-security-alert/https://sec.21ideas.org/incidents/trezor-2026-09-10-security-alert/Trezor раскрыл детали. Взломан Brevo, платформа рассылок вендора; инцидент затронул 120 аккаунтов Brevo. Письмо ушло примерно на 347 000 адресов из базы новостной рассылки. Ссылка из письма предлагала скачать приложение, которое просило ввести бэкап кошелька. Trezor заблокировал домен через 20 минут, но до этого ссылку открыли около 2500 человек. Вендор не может подтвердить, выгружена ли база, поэтому считает все адреса известными атакующему. Их могут использовать для новых фишинговых рассылок.Thu, 10 Sep 2026 17:01:29 GMT<p>Trezor раскрыл детали. Взломан Brevo, платформа рассылок вендора; инцидент затронул 120 аккаунтов Brevo. Письмо ушло примерно на 347 000 адресов из базы новостной рассылки. Ссылка из письма предлагала скачать приложение, которое просило ввести бэкап кошелька. Trezor заблокировал домен через 20 минут, но до этого ссылку открыли около 2500 человек. Вендор не может подтвердить, выгружена ли база, поэтому считает все адреса известными атакующему. Их могут использовать для новых фишинговых рассылок.</p> <p><strong>Что делать:</strong> Если вы вводили бэкап кошелька в приложение из письма или где-либо ещё, кроме своего устройства Trezor, немедленно создайте новый кошелёк на устройстве и переведите на него средства. Если вы только открыли ссылку и ничего не вводили, средства в безопасности. Ваш адрес из рассылки Trezor, скорее всего, есть у атакующих: не переходите по ссылкам из писем от имени Trezor и никогда не вводите бэкап вне устройства. Подробности по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://trezor.io/blog/news/security-incident-at-brevo-our-third-party-email-provider">trezor.io</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/specter-2026-09-10-security-alert/https://sec.21ideas.org/incidents/specter-2026-09-10-security-alert/Specter сообщает о компрометации сервиса рассылок Brevo, которым пользуются несколько биткоин-проектов, в том числе две компании, делающие аппаратные кошельки. Через него уже рассылаются фишинговые письма — то есть у атакующих есть списки адресов клиентов и возможность писать от имени знакомых читателю брендов. Типичная цель такой рассылки — выманить seed-фразу под видом «обязательной проверки» или «срочного обновления» либо увести на сайт-двойник. Сам Specter указывает, что его подписчики и его собственная рассылка не затронуты, так как он использует другого провайдера; какие именно компании пострадали, в сообщении не названо.Thu, 10 Sep 2026 09:20:45 GMT<p>Specter сообщает о компрометации сервиса рассылок Brevo, которым пользуются несколько биткоин-проектов, в том числе две компании, делающие аппаратные кошельки. Через него уже рассылаются фишинговые письма — то есть у атакующих есть списки адресов клиентов и возможность писать от имени знакомых читателю брендов. Типичная цель такой рассылки — выманить seed-фразу под видом «обязательной проверки» или «срочного обновления» либо увести на сайт-двойник. Сам Specter указывает, что его подписчики и его собственная рассылка не затронуты, так как он использует другого провайдера; какие именно компании пострадали, в сообщении не названо.</p> <p><strong>Что делать:</strong> Прямо сейчас относитесь к любым письмам от кошельковых вендоров как к фишингу: не переходите по ссылкам из писем и не открывайте вложения, ни при каких условиях не вводите seed-фразу ни на сайте, ни в форме, ни в ответном письме — легитимный вендор её никогда не запрашивает. Проверяйте любые «срочные» требования обновиться или мигрировать средства только через официальный канал вендора, набранный вручную из закладки, а прошивку ставьте исключительно через штатное приложение. Если seed уже был где-то введён — считайте кошелёк скомпрометированным, создайте новый на доверенном устройстве и переведите средства на новые адреса.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/SpecterDIY/status/2097978438866833419">x.com - SpecterDIY</a></li><li><a href="https://x.com/coinjoined/status/2097788421305491513">x.com - coinjoined</a></li></ul>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/casa-2026-09-09-security-alert/https://sec.21ideas.org/incidents/casa-2026-09-09-security-alert/Есть подозрение, что скомпрометирован email-провайдер, которым пользуются Trezor и BitBox. От имени обоих вендоров рассылаются вредоносные письма; полный текст письма во входе обрезан, но сам факт подделки официальной переписки создаёт риск, что держатель введёт seed-фразу или перейдёт по фишинговой ссылке, поверив письму как настоящему.Wed, 09 Sep 2026 21:30:43 GMT<p>Есть подозрение, что скомпрометирован email-провайдер, которым пользуются Trezor и BitBox. От имени обоих вендоров рассылаются вредоносные письма; полный текст письма во входе обрезан, но сам факт подделки официальной переписки создаёт риск, что держатель введёт seed-фразу или перейдёт по фишинговой ссылке, поверив письму как настоящему.</p> <p><strong>Что делать:</strong> Не открывайте ссылки и не вводите seed-фразу из писем, пришедших якобы от Trezor или BitBox; любые действия по таким письмам проверяйте через официальные каналы вендора напрямую, а не через ссылки из самого письма.</p> <p><strong>Источник:</strong> <a href="https://x.com/CasaHODL/status/2097798752853725672">x.com - CasaHODL</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/bitbox02-2026-09-09-security-alert-upd/https://sec.21ideas.org/incidents/bitbox02-2026-09-09-security-alert-upd/Shift Crypto (BitBox02) сообщает, что около часа назад подписчикам их новостной рассылки пришло фишинговое письмо. По предварительным данным скомпрометирован общий с несколькими другими bitcoin-компаниями провайдер рассылок. Часть фишинговых доменов уже заблокирована, расследование продолжается.Wed, 09 Sep 2026 21:11:27 GMT<p>Shift Crypto (BitBox02) сообщает, что около часа назад подписчикам их новостной рассылки пришло фишинговое письмо. По предварительным данным скомпрометирован общий с несколькими другими bitcoin-компаниями провайдер рассылок. Часть фишинговых доменов уже заблокирована, расследование продолжается.</p> <p><strong>Что делать:</strong> Если вы подписаны на рассылку BitBox — не переходите по ссылкам из недавних писем от BitBox и не вводите seed-фразу ни на каких сайтах из этих писем; проверяйте подлинность через официальный сайт вендора.</p> <p><strong>Источник:</strong> <a href="https://x.com/BitBoxSwiss/status/2097793026336981079">x.com - BitBoxSwiss</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/stacker-news-security-2026-09-09-security-alert/https://sec.21ideas.org/incidents/stacker-news-security-2026-09-09-security-alert/После недавнего инцидента в сети Liquid мошенники массово выдают себя за Blockstream и техподдержку Liquid: рассылают письма и DM с «обязательным обновлением безопасности», просят ввести seed-фразу на сайтах-«миграциях», перевести средства на «адрес восстановления» или установить прошивку/приложение по ссылке из сообщения. Blockstream прямо заявляет, что сам инцидент не требует от пользователей ни одного из этих действий.Wed, 09 Sep 2026 21:01:03 GMT<p>После недавнего инцидента в сети Liquid мошенники массово выдают себя за Blockstream и техподдержку Liquid: рассылают письма и DM с «обязательным обновлением безопасности», просят ввести seed-фразу на сайтах-«миграциях», перевести средства на «адрес восстановления» или установить прошивку/приложение по ссылке из сообщения. Blockstream прямо заявляет, что сам инцидент не требует от пользователей ни одного из этих действий.</p> <p><strong>Что делать:</strong> Не переходите по ссылкам и не отвечайте на непрошеные письма и DM от имени Liquid/Blockstream, никогда не вводите seed-фразу на сторонних сайтах и не переводите средства на «адреса восстановления»; обновления и прошивку Jade устанавливайте только через официальное приложение Blockstream и официальный сайт — подробности и список официальных каналов по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://blog.blockstream.com/phishing-alert-do-not-act-on-unsolicited-liquid-or-blockstream-messages/">blog.blockstream.com</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/trezor-2026-09-09-security-alert/https://sec.21ideas.org/incidents/trezor-2026-09-09-security-alert/Сторонний email-провайдер Trezor был взломан, и от имени бренда рассылается поддельное письмо с темой про уязвимость энтропии в STM32. Это фишинг: письмо не от Trezor, ссылки в нём вести могут на вредоносный сайт. Вендор уже отключил использованный домен и расследует, как злоумышленники получили к нему доступ.Wed, 09 Sep 2026 20:40:20 GMT<p>Сторонний email-провайдер Trezor был взломан, и от имени бренда рассылается поддельное письмо с темой про уязвимость энтропии в STM32. Это фишинг: письмо не от Trezor, ссылки в нём вести могут на вредоносный сайт. Вендор уже отключил использованный домен и расследует, как злоумышленники получили к нему доступ.</p> <p><strong>Что делать:</strong> Не открывайте и не переходите по ссылкам в письме с темой про уязвимость энтропии STM32 — это фишинг, а не сообщение от Trezor; при сомнениях проверяйте информацию только через официальный аккаунт вендора.</p> <p><strong>Источник:</strong> <a href="https://x.com/Trezor/status/2097786518110609620">x.com - Trezor</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/bitbox02-2026-09-09-security-alert/https://sec.21ideas.org/incidents/bitbox02-2026-09-09-security-alert/Производитель аппаратного кошелька BitBox02 сообщил от своего официального аккаунта, что сейчас распространяется фишинговое письмо, замаскированное под сообщение от вендора. Компания подтверждает проблему и ведёт расследование. Цель таких писем — вывести пользователя на действия, ведущие к потере средств.Wed, 09 Sep 2026 20:10:26 GMT<p>Производитель аппаратного кошелька BitBox02 сообщил от своего официального аккаунта, что сейчас распространяется фишинговое письмо, замаскированное под сообщение от вендора. Компания подтверждает проблему и ведёт расследование. Цель таких писем — вывести пользователя на действия, ведущие к потере средств.</p> <p><strong>Что делать:</strong> Не открывайте вложения и не переходите по инструкциям в письмах, представленных как сообщения от BitBox02; ни при каких обстоятельствах не вводите seed-фразу. Сверяйте подлинность обращений через официальный канал вендора — ссылка в посте.</p> <p><strong>Источник:</strong> <a href="https://x.com/BitBoxSwiss/status/2097777460305657932">x.com - BitBoxSwiss</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-09-security-alert-upd/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-09-security-alert-upd/На фоне инцидента с выводом средств из федерального кошелька Liquid активизировались мошенники, выдающие себя за Liquid, Blockstream и их поддержку. Поддельные сайты и рассылки требуют ввести recovery-фразу, перевести средства на «recovery»-адрес, «обновить портфолио» или установить прошивку/приложение по ссылке из письма. Blockstream официально подтверждает: сам инцидент не требует от пользователей никаких таких действий.Wed, 09 Sep 2026 17:00:32 GMT<p>На фоне инцидента с выводом средств из федерального кошелька Liquid активизировались мошенники, выдающие себя за Liquid, Blockstream и их поддержку. Поддельные сайты и рассылки требуют ввести recovery-фразу, перевести средства на «recovery»-адрес, «обновить портфолио» или установить прошивку/приложение по ссылке из письма. Blockstream официально подтверждает: сам инцидент не требует от пользователей никаких таких действий.</p> <p><strong>Что делать:</strong> Не переходите по ссылкам и не вводите seed-фразу ни в каких «миграционных» формах или чекерах, не переводите средства на присланные адреса, не устанавливайте ПО из писем или DM. Обновления и прошивку Jade ставьте только через официальное приложение Blockstream или официальный сайт — ссылка в посте.</p> <p><strong>Источник:</strong> <a href="https://blog.blockstream.com/phishing-alert-do-not-act-on-unsolicited-liquid-or-blockstream-messages/">blog.blockstream.com</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-09-security-alert/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-09-security-alert/Blockstream ретранслировал собственное объявление Liquid Network об экстренном выпуске новой версии ПО Elements, на котором работает сеть Liquid. Текст объявления обрезан, поэтому точная причина экстренного релиза во входе не видна, но само обозначение «emergency» указывает на устранение значимой проблемы в узле сети.Wed, 09 Sep 2026 14:50:26 GMT<p>Blockstream ретранслировал собственное объявление Liquid Network об экстренном выпуске новой версии ПО Elements, на котором работает сеть Liquid. Текст объявления обрезан, поэтому точная причина экстренного релиза во входе не видна, но само обозначение «emergency» указывает на устранение значимой проблемы в узле сети.</p> <p><strong>Что делать:</strong> Операторам узлов Liquid Network следует обновиться до Elements v23.3.4.</p> <p><strong>Источник:</strong> <a href="https://x.com/Blockstream/status/2097698451064488377">x.com - Blockstream</a></p>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd3/https://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd3/Официальный аккаунт Aqua Wallet ретвитнул предупреждение о рассылках, ведущихся под видом Aqua Wallet или Liquid BTC: неизвестно, по каким именно спискам email-адресов идёт рассылка, но получателей просят что-то установить. Источник рассылок вендору неизвестен, легитимность содержимого не подтверждена.Tue, 08 Sep 2026 23:41:09 GMT<p>Официальный аккаунт Aqua Wallet ретвитнул предупреждение о рассылках, ведущихся под видом Aqua Wallet или Liquid BTC: неизвестно, по каким именно спискам email-адресов идёт рассылка, но получателей просят что-то установить. Источник рассылок вендору неизвестен, легитимность содержимого не подтверждена.</p> <p><strong>Что делать:</strong> Не устанавливайте ничего из писем, представляющихся Aqua Wallet или Liquid BTC; обновления и приложения берите только из официальных каналов вендора, ссылка на исходный пост — по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2097468077101207986">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd2/https://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd2/Злоумышленники рассылают пользователям Liquid_BTC/Aqua Wallet фишинговые письма, ведущие на поддельные сайты обновлений. Там предлагается скачать исполняемый файл, замаскированный под апдейт кошелька — фактически вредоносное ПО, способное привести к краже средств.Tue, 08 Sep 2026 23:20:41 GMT<p>Злоумышленники рассылают пользователям Liquid_BTC/Aqua Wallet фишинговые письма, ведущие на поддельные сайты обновлений. Там предлагается скачать исполняемый файл, замаскированный под апдейт кошелька — фактически вредоносное ПО, способное привести к краже средств.</p> <p><strong>Что делать:</strong> Не переходите по ссылкам на обновления из писем и не скачивайте оттуда исполняемые файлы; обновляйте кошелёк только через официальные каналы вендора.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/AquaBitcoin/status/2097464503440928857">x.com - AquaBitcoin</a></li><li><a href="https://x.com/lopp/status/2097457863635415062">x.com - lopp</a></li></ul>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd/https://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert-upd/Официальный отчёт по инциденту с несанкционированным выводом средств из федерального кошелька Liquid уточняет сроки восстановления: около 85% похищенных BTC уже возвращены федерации, готовится экстренный релиз ПО, а сама сеть по текущим оценкам заработает через 4–5 дней. Приватные ключи пользователей Aqua Wallet не затронуты, нативные биткоин-операции работают штатно — приостановлены только сервисы Liquid.Tue, 08 Sep 2026 21:30:17 GMT<p>Официальный отчёт по инциденту с несанкционированным выводом средств из федерального кошелька Liquid уточняет сроки восстановления: около 85% похищенных BTC уже возвращены федерации, готовится экстренный релиз ПО, а сама сеть по текущим оценкам заработает через 4–5 дней. Приватные ключи пользователей Aqua Wallet не затронуты, нативные биткоин-операции работают штатно — приостановлены только сервисы Liquid.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/AquaBitcoin/status/2097436877565419832">x.com - AquaBitcoin</a></li><li><a href="https://x.com/Excellion/status/2097413183459983629">x.com - Excellion</a></li></ul>Эксплуатация подтвержденаПатч естьХодлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-08-security-alert/Официальный отчёт по инциденту с несанкционированным выводом средств из федерального кошелька Liquid (ретранслирован через Aqua Wallet) впервые называет техническую причину: уязвимость в механизме range proof протокола Elements, а не только использование Peg-out Authorization Key, как говорилось ранее. Сама сеть Liquid по-прежнему не восстановлена в штатном режиме.Tue, 08 Sep 2026 20:10:15 GMT<p>Официальный отчёт по инциденту с несанкционированным выводом средств из федерального кошелька Liquid (ретранслирован через Aqua Wallet) впервые называет техническую причину: уязвимость в механизме range proof протокола Elements, а не только использование Peg-out Authorization Key, как говорилось ранее. Сама сеть Liquid по-прежнему не восстановлена в штатном режиме.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2097416274040983785">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаПатч естьВсе — старая категорияhttps://sec.21ideas.org/incidents/mempool-2026-09-08-security-alert/https://sec.21ideas.org/incidents/mempool-2026-09-08-security-alert/Разработчик Blockstream (Excellion) опубликовал официальный и актуальный отчёт об инциденте со взломом сети Liquid. Причина — уязвимость в range proof протокола Elements, на котором построена Liquid. Текст источника обрублен, дальнейшие детали (масштаб, статус фикса) по входу не видны.Tue, 08 Sep 2026 20:10:15 GMT<p>Разработчик Blockstream (Excellion) опубликовал официальный и актуальный отчёт об инциденте со взломом сети Liquid. Причина — уязвимость в range proof протокола Elements, на котором построена Liquid. Текст источника обрублен, дальнейшие детали (масштаб, статус фикса) по входу не видны.</p> <p><strong>Что делать:</strong> Изучите официальный отчёт по ссылке ниже; если держите активы на Liquid (L-BTC и другие эмиссии), воздержитесь от новых транзакций и депозитов до появления дополнительной информации от Blockstream.</p> <p><strong>Источник:</strong> <a href="https://x.com/mempool/status/2097416747792080990">x.com - mempool</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/btcpay-2026-09-08-security-alert/https://sec.21ideas.org/incidents/btcpay-2026-09-08-security-alert/BTCPay Server выпустил версию 2.4.4 — security-ориентированное обновление, выпущенное в ответ на продолжающиеся попытки атаковать проект. Вендор в собственном аккаунте рекомендует всем администраторам серверов обновиться. Часть изменений breaking — перед обновлением нужно ознакомиться с сопроводительной статьёй.Tue, 08 Sep 2026 12:10:58 GMT<p>BTCPay Server выпустил версию 2.4.4 — security-ориентированное обновление, выпущенное в ответ на продолжающиеся попытки атаковать проект. Вендор в собственном аккаунте рекомендует всем администраторам серверов обновиться. Часть изменений breaking — перед обновлением нужно ознакомиться с сопроводительной статьёй.</p> <p><strong>Что делать:</strong> Обновите BTCPay Server до версии 2.4.4; перед обновлением изучите статью с описанием breaking-изменений — ссылка ниже.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/BtcpayServer/status/2097296446823563672">x.com - BtcpayServer</a></li><li><a href="https://x.com/BtcpayServer/status/2097295933805572212">x.com - BtcpayServer</a></li></ul>Эксплуатация подтвержденаПатч естьМерчантыhttps://sec.21ideas.org/incidents/blockstream-blog-2026-09-08-security-alert/https://sec.21ideas.org/incidents/blockstream-blog-2026-09-08-security-alert/После инцидента с несанкционированным выводом средств из федерального кошелька Liquid Blockstream и члены Liquid Federation развернули обновлённое программное обеспечение и готовят скоординированный перезапуск сети для дальнейшего усиления защиты. Это новый шаг по сравнению с прошлыми апдейтами: тогда фикса не было, сейчас софт уже раскатан и идёт подготовка к рестарту.Tue, 08 Sep 2026 01:11:24 GMT<p>После инцидента с несанкционированным выводом средств из федерального кошелька Liquid Blockstream и члены Liquid Federation развернули обновлённое программное обеспечение и готовят скоординированный перезапуск сети для дальнейшего усиления защиты. Это новый шаг по сравнению с прошлыми апдейтами: тогда фикса не было, сейчас софт уже раскатан и идёт подготовка к рестарту.</p> <p><strong>Что делать:</strong> Операторам инфраструктуры и сервисов на Liquid — следить за официальными анонсами Blockstream о перезапуске сети и восстановлении peg-in/peg-out и вывода L-BTC, не возобновлять автоматические операции до подтверждения перезапуска.</p> <p><strong>Источник:</strong> <a href="https://x.com/Blockstream/status/2097127976672342487">x.com - Blockstream</a></p>Эксплуатация подтвержденаПатч естьМерчантыhttps://sec.21ideas.org/incidents/aqua-2026-09-07-security-alert-upd/https://sec.21ideas.org/incidents/aqua-2026-09-07-security-alert-upd/6 сентября из мультисиг-кошелька Liquid Federation было выведено порядка 4000 BTC. По данным официального аккаунта Aqua Wallet со ссылкой на Excellion, к текущему моменту около 3400 BTC уже возвращены обратно в кошелёк Федерации. Причины инцидента и судьба оставшейся суммы пока не раскрыты.Mon, 07 Sep 2026 21:10:23 GMT<p>6 сентября из мультисиг-кошелька Liquid Federation было выведено порядка 4000 BTC. По данным официального аккаунта Aqua Wallet со ссылкой на Excellion, к текущему моменту около 3400 BTC уже возвращены обратно в кошелёк Федерации. Причины инцидента и судьба оставшейся суммы пока не раскрыты.</p> <p><strong>Что делать:</strong> Если вы держите L-BTC или пользуетесь сетью Liquid, воздержитесь от новых депозитов и переводов до официальных разъяснений Федерации и следите за обновлениями.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2097067701101343196">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/aqua-2026-09-07-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-07-security-alert/Liquid Federation остановила боковую цепь Liquid после эксплуатации уязвимости; ответственный за эксплойт white-hat сейчас на связи с Blockstream ончейн. Aqua Wallet сообщает, что приватные ключи и ончейн-биткоин-транзакции в приложении не затронуты, но Liquid-транзакции сейчас не обрабатываются.Mon, 07 Sep 2026 19:51:28 GMT<p>Liquid Federation остановила боковую цепь Liquid после эксплуатации уязвимости; ответственный за эксплойт white-hat сейчас на связи с Blockstream ончейн. Aqua Wallet сообщает, что приватные ключи и ончейн-биткоин-транзакции в приложении не затронуты, но Liquid-транзакции сейчас не обрабатываются.</p> <p><strong>Что делать:</strong> Не пытайтесь проводить Liquid-транзакции, пока сеть на паузе; следите за официальными обновлениями по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2097048082319884579">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаПатча нетХодлерыhttps://sec.21ideas.org/incidents/ghsa-malware-2026-09-07-security-alert/https://sec.21ideas.org/incidents/ghsa-malware-2026-09-07-security-alert/Пакет wallet-engine-signing признан вредоносным: по данным advisory, любой компьютер с установленным или запущенным пакетом должен считаться полностью скомпрометированным. Удаление пакета не гарантирует удаления всех последствий заражения — злоумышленник мог получить полный контроль над машиной.Mon, 07 Sep 2026 05:21:10 GMT<p>Пакет wallet-engine-signing признан вредоносным: по данным advisory, любой компьютер с установленным или запущенным пакетом должен считаться полностью скомпрометированным. Удаление пакета не гарантирует удаления всех последствий заражения — злоумышленник мог получить полный контроль над машиной.</p> <p><strong>Что делать:</strong> Немедленно удалите пакет wallet-engine-signing, считайте затронутый компьютер скомпрометированным и смените все хранившиеся на нём ключи и секреты с другого, чистого устройства; при подозрении на глубокое заражение переустановите систему.</p> <p><strong>Источник:</strong> <a href="https://github.com/advisories/GHSA-qw4m-ccr9-7r43">github.com</a></p>Эксплуатация подтвержденаВсе — старая категорияhttps://sec.21ideas.org/incidents/aqua-2026-09-06-security-alert/https://sec.21ideas.org/incidents/aqua-2026-09-06-security-alert/Aqua Wallet подтверждает security incident в сети Liquid: предположительно white-hat хакеры вывели около 4000 BTC (~320 млн $) с федерального кошелька через Peg-out Authorization Key, используемый SideSwap, при этом сам ключ не был скомпрометирован. Биржи приостановили ввод и вывод L-BTC, bridge-ноды временно отключены, сеть Liquid фактически остановлена до разрешения инцидента. Другие активы Liquid (USDT, DePix, RWA) не затронуты.Sun, 06 Sep 2026 20:40:32 GMT<p>Aqua Wallet подтверждает security incident в сети Liquid: предположительно white-hat хакеры вывели около 4000 BTC (~320 млн $) с федерального кошелька через Peg-out Authorization Key, используемый SideSwap, при этом сам ключ не был скомпрометирован. Биржи приостановили ввод и вывод L-BTC, bridge-ноды временно отключены, сеть Liquid фактически остановлена до разрешения инцидента. Другие активы Liquid (USDT, DePix, RWA) не затронуты.</p> <p><strong>Что делать:</strong> Не отправляйте и не ожидайте транзакции в сети Liquid и не рассчитывайте на ввод/вывод L-BTC на биржах до восстановления сети; следите за официальными обновлениями Blockstream по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://x.com/AquaBitcoin/status/2096699175161467311">x.com - AquaBitcoin</a></p>Эксплуатация подтвержденаПатча нетХодлерыhttps://sec.21ideas.org/incidents/strike-2026-09-06-security-alert/https://sec.21ideas.org/incidents/strike-2026-09-06-security-alert/Strike сообщила от своего официального аккаунта, что сейчас рассылается письмо, выдающее себя за компанию, но фактически ею не отправленное. Такие письма используются для кражи учётных данных и средств пользователей Strike.Sun, 06 Sep 2026 18:56:37 GMT<p>Strike сообщила от своего официального аккаунта, что сейчас рассылается письмо, выдающее себя за компанию, но фактически ею не отправленное. Такие письма используются для кражи учётных данных и средств пользователей Strike.</p> <p><strong>Что делать:</strong> Прежде чем доверять письму от Strike, проверьте наличие вашего уникального антифишингового кода из настроек безопасности и значка верифицированного отправителя рядом с именем в почте; если хотя бы одного из признаков нет — письмо поддельное, не переходите по ссылкам в нём и не вводите данные.</p> <p><strong>Источник:</strong> <a href="https://x.com/Strike/status/2096661971026280911">x.com - Strike</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/specter-2026-09-06-security-alert/https://sec.21ideas.org/incidents/specter-2026-09-06-security-alert/В прошлых версиях прошивки Specter-DIY сбой аппаратного генератора случайных чисел мог быть тихо принят за валидную энтропию, а сдача в транзакции проверялась по метаданным, переданным компьютером, без сверки на самом устройстве — это открывало путь к подмене адреса сдачи вредоносным хостом. Также была восстановлена предупреждающая проверка на смешивание входов из разных кошельков в одной транзакции, которая ранее не срабатывала. Затрагивает держателей аппаратного кошелька Specter-DIY.Sun, 06 Sep 2026 15:22:40 GMT<p>В прошлых версиях прошивки Specter-DIY сбой аппаратного генератора случайных чисел мог быть тихо принят за валидную энтропию, а сдача в транзакции проверялась по метаданным, переданным компьютером, без сверки на самом устройстве — это открывало путь к подмене адреса сдачи вредоносным хостом. Также была восстановлена предупреждающая проверка на смешивание входов из разных кошельков в одной транзакции, которая ранее не срабатывала. Затрагивает держателей аппаратного кошелька Specter-DIY.</p> <p><strong>Что делать:</strong> Обновите прошивку Specter-DIY до v1.10.5 через SD-карту; если у вас версия v1.9.0 или старше, сначала установите v1.10.3 — это было обязательное промежуточное обновление.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/SpecterDIY/status/2096553405728641444">x.com - SpecterDIY</a></li><li><a href="https://github.com/cryptoadvance/specter-diy/releases/tag/v1.10.5">github.com</a></li></ul>Патч естьХодлерыhttps://sec.21ideas.org/incidents/trezor-2026-09-04-security-alert/https://sec.21ideas.org/incidents/trezor-2026-09-04-security-alert/Trezor сообщил, что утечка данных у их партнёра по доставке ShipMonk оказалась крупнее, чем сообщалось ранее: дополнительно затронуты 67 000 клиентов из США, заказывавших устройства с ноября 2019 по август 2021 года. У них раскрыты имя, email, телефон, адрес доставки и номер заказа. Системы и устройства самого Trezor не скомпрометированы, но раскрытые персональные данные создают риск адресного фишинга и мошенничества под видом Trezor.Fri, 04 Sep 2026 09:40:45 GMT<p>Trezor сообщил, что утечка данных у их партнёра по доставке ShipMonk оказалась крупнее, чем сообщалось ранее: дополнительно затронуты 67 000 клиентов из США, заказывавших устройства с ноября 2019 по август 2021 года. У них раскрыты имя, email, телефон, адрес доставки и номер заказа. Системы и устройства самого Trezor не скомпрометированы, но раскрытые персональные данные создают риск адресного фишинга и мошенничества под видом Trezor.</p> <p><strong>Что делать:</strong> Если вы заказывали Trezor в указанный период и получили уведомление от компании — будьте настороже к подозрительным письмам, звонкам и посылкам от «Trezor»; никогда не вводите seed-фразу на сайтах и не сообщайте её никому, включая тех, кто представляется поддержкой.</p> <p><strong>Источник:</strong> <a href="https://x.com/Trezor/status/2095807665603584085">x.com - Trezor</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/ghsa-malware-2026-09-03-security-alert/https://sec.21ideas.org/incidents/ghsa-malware-2026-09-03-security-alert/Пакет @quantixfinance/supabase маскируется под клиент Supabase, но реально это пустышка: его preinstall-скрипт сканирует переменные окружения на подстроки вида key, secret, token, mnemonic, seed, wallet, private и вместе с именем хоста отправляет найденное на захардкоженный сервер злоумышленника. Название пакета похоже на внутренний scope конкретной организации — это dependency confusion атака, рассчитанная на автоматическую установку в чужом проекте. Если пакет оказался в зависимостях, секреты машины, включая возможные seed-фразы кошельков, уже могли утечь.Thu, 03 Sep 2026 18:40:26 GMT<p>Пакет @quantixfinance/supabase маскируется под клиент Supabase, но реально это пустышка: его preinstall-скрипт сканирует переменные окружения на подстроки вида key, secret, token, mnemonic, seed, wallet, private и вместе с именем хоста отправляет найденное на захардкоженный сервер злоумышленника. Название пакета похоже на внутренний scope конкретной организации — это dependency confusion атака, рассчитанная на автоматическую установку в чужом проекте. Если пакет оказался в зависимостях, секреты машины, включая возможные seed-фразы кошельков, уже могли утечь.</p> <p><strong>Что делать:</strong> Проверьте зависимости своих проектов на наличие пакета @quantixfinance/supabase; если он установлен — немедленно удалите его и ротируйте все секреты и seed-фразы, которые могли храниться в переменных окружения на этой машине.</p> <p><strong>Источник:</strong> <a href="https://github.com/advisories/GHSA-wwp6-gpx7-xrfq">github.com</a></p>Эксплуатация подтвержденаВсе — старая категорияhttps://sec.21ideas.org/incidents/core-lightning-2026-09-02-security-alert/https://sec.21ideas.org/incidents/core-lightning-2026-09-02-security-alert/Вендор сообщает: Docker-образ 26.06.7 обновлён и теперь действительно содержит security-фикс, которого раньше в нём не было. Затрагивает операторов, развёрнутых через Docker.Wed, 02 Sep 2026 06:40:11 GMT<p>Вендор сообщает: Docker-образ 26.06.7 обновлён и теперь действительно содержит security-фикс, которого раньше в нём не было. Затрагивает операторов, развёрнутых через Docker.</p> <p><strong>Что делать:</strong> Если нода Core Lightning развёрнута через Docker, подтяните обновлённый тег 26.06.7 прямо сейчас.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/Core_LN/status/2095038715748057309">x.com - Core_LN</a></li><li><a href="https://hub.docker.com/r/elementsproject/lightningd?tag=v26.06.7">hub.docker.com</a></li></ul>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/start9-2026-09-01-security-alert/https://sec.21ideas.org/incidents/start9-2026-09-01-security-alert/Вендор сообщает, что Docker-образы релиза, вышедшие 28 августа, фактически не включали объявленные исправления безопасности — об этом стало известно только сейчас, тихой правкой страницы релиза, без отдельного анонса. Это значит, что операторы, обновившиеся через Docker (в том числе через BTCPay Server), всё это время оставались…Tue, 01 Sep 2026 15:00:43 GMT<p>Вендор сообщает, что Docker-образы релиза, вышедшие 28 августа, фактически не включали объявленные исправления безопасности — об этом стало известно только сейчас, тихой правкой страницы релиза, без отдельного анонса. Это значит, что операторы, обновившиеся через Docker (в том числе через BTCPay Server), всё это время оставались…</p> <p><strong>Что делать:</strong> Операторам, развернувшим Core Lightning через Docker, срочно обновиться до версии 26.6.7:2, собранной из подписанных tarball, а не полагаться на прежний Docker-образ.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/start9labs/status/2094801551722533262">x.com - start9labs</a></li><li><a href="https://x.com/Core_LN/status/2093376708451635607">x.com - Core_LN</a></li></ul>Операторы нодhttps://sec.21ideas.org/incidents/specter-2026-09-01-security-alert-upd2/https://sec.21ideas.org/incidents/specter-2026-09-01-security-alert-upd2/Аккаунт Specter Desktop ретвитнул предупреждение о том, что та же фишинговая инфраструктура с поддельными сайтами, которая уже атаковала Specter, теперь нацелена и на пользователей других биткоин-кошельков — названы Fold и Phoenix Wallet. Подтверждения от самих этих вендоров во входе нет.Tue, 01 Sep 2026 12:51:29 GMT<p>Аккаунт Specter Desktop ретвитнул предупреждение о том, что та же фишинговая инфраструктура с поддельными сайтами, которая уже атаковала Specter, теперь нацелена и на пользователей других биткоин-кошельков — названы Fold и Phoenix Wallet. Подтверждения от самих этих вендоров во входе нет.</p> <p><strong>Источник:</strong> <a href="https://x.com/SpecterDIY/status/2094768169206329475">x.com - SpecterDIY</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/specter-2026-09-01-security-alert-upd/https://sec.21ideas.org/incidents/specter-2026-09-01-security-alert-upd/Помимо поддельного сайта, о котором вендор уже сообщал, теперь зафиксирована ещё и фальшивая email-рассылка с того же мошеннического домена. Атака нацелена на пользователей Specter Desktop и может привести к переходу по вредоносным ссылкам.Tue, 01 Sep 2026 10:00:45 GMT<p>Помимо поддельного сайта, о котором вендор уже сообщал, теперь зафиксирована ещё и фальшивая email-рассылка с того же мошеннического домена. Атака нацелена на пользователей Specter Desktop и может привести к переходу по вредоносным ссылкам.</p> <p><strong>Что делать:</strong> Не открывайте и не переходите по ссылкам в email-рассылках от имени Specter — используйте только проверенные официальные каналы для загрузки кошелька и обновлений.</p> <p><strong>Источник:</strong> <a href="https://x.com/SpecterDIY/status/2094726565510734293">x.com - SpecterDIY</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/specter-2026-09-01-security-alert/https://sec.21ideas.org/incidents/specter-2026-09-01-security-alert/Официальный аккаунт Specter Wallet сообщил о фальшивом сайте, выдающем себя за Specter Desktop; о подделке вендору сообщил независимый исследователь. Риск — загрузка вредоносной версии кошелька с поддельного ресурса, что может привести к компрометации ключей и потере средств держателей.Tue, 01 Sep 2026 09:20:30 GMT<p>Официальный аккаунт Specter Wallet сообщил о фальшивом сайте, выдающем себя за Specter Desktop; о подделке вендору сообщил независимый исследователь. Риск — загрузка вредоносной версии кошелька с поддельного ресурса, что может привести к компрометации ключей и потере средств держателей.</p> <p><strong>Что делать:</strong> Скачивайте и обновляйте Specter Desktop только по официальной ссылке из этого поста и проверяйте адрес сайта перед загрузкой.</p> <p><strong>Источники:</strong></p><ul><li><a href="https://x.com/SpecterDIY/status/2094714736327729301">x.com - SpecterDIY</a></li><li><a href="https://specter.solutions/desktop/">specter.solutions</a></li></ul>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/npm-2026-08-29-test-in-one/https://sec.21ideas.org/incidents/npm-2026-08-29-test-in-one/GitHub Security Advisory сообщает, что пакет test-in-one тянет локальную зависимость с постинсталл-скриптом, который запускается автоматически при установке пакета через npm. Скрипт обходит домашнюю директорию, Desktop, Documents, Projects и текущую папку, собирая содержимое директорий десктопных крипто-кошельков. Под угрозой те, кто устанавливал этот пакет и хранит на той же машине файлы биткоин-кошелька.Sat, 29 Aug 2026 03:51:31 GMT<p>GitHub Security Advisory сообщает, что пакет test-in-one тянет локальную зависимость с постинсталл-скриптом, который запускается автоматически при установке пакета через npm. Скрипт обходит домашнюю директорию, Desktop, Documents, Projects и текущую папку, собирая содержимое директорий десктопных крипто-кошельков. Под угрозой те, кто устанавливал этот пакет и хранит на той же машине файлы биткоин-кошелька.</p> <p><strong>Что делать:</strong> Если пакет test-in-one установлен на вашей машине — немедленно удалите его, считайте любые файлы кошельков на этой машине скомпрометированными и перенесите средства на новый адрес с чистого устройства.</p> <p><strong>Источник:</strong> <a href="https://github.com/advisories/GHSA-34hr-xghx-cfj4">github.com</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/btcpay-2026-08-29-cln-26067/https://sec.21ideas.org/incidents/btcpay-2026-08-29-cln-26067/BTCPay Server сообщил, что в Docker-развёртывании обновил Core Lightning до v26.06.7, а внешний доступ к CLN оставлен отключённым из соображений предосторожности — включить его планируют в течение одной-двух недель. Затрагивает операторов BTCPay Server, использующих Core Lightning в Docker-развёртывании. Отдельно отмечено, что ARM32-устройства, включая некоторые старые Raspberry Pi, могут не заработать — под этот релиз CLN бинарники ARM32 не собирались.Sat, 29 Aug 2026 02:41:03 GMT<p>BTCPay Server сообщил, что в Docker-развёртывании обновил Core Lightning до v26.06.7, а внешний доступ к CLN оставлен отключённым из соображений предосторожности — включить его планируют в течение одной-двух недель. Затрагивает операторов BTCPay Server, использующих Core Lightning в Docker-развёртывании. Отдельно отмечено, что ARM32-устройства, включая некоторые старые Raspberry Pi, могут не заработать — под этот релиз CLN бинарники ARM32 не собирались.</p> <p><strong>Что делать:</strong> Обновите BTCPay Server через Server Settings → Maintenance → Update или командой обновления из консоли; учтите, что внешний доступ к CLN временно отключён и появится позже.</p> <p><strong>Источник:</strong> <a href="https://x.com/BtcpayServer/status/2093528054505050599">x.com - BtcpayServer</a></p>Патч естьМерчантыhttps://sec.21ideas.org/incidents/cln-2026-08-28-blockstream-advisory/https://sec.21ideas.org/incidents/cln-2026-08-28-blockstream-advisory/Blockstream выпустил point-релиз Core Lightning 26.06.7, устраняющий уязвимости, о которых сообщили независимые исследователи по программе ответственного раскрытия. Исходный код фикса вендор публикует только через две недели, чтобы затруднить анализ уязвимостей до массового обновления нод, сейчас доступны только подписанные бинарники. Тем, кто не может обновиться немедленно, вендор рекомендует временный обходной путь.Fri, 28 Aug 2026 20:01:22 GMT<p>Blockstream выпустил point-релиз Core Lightning 26.06.7, устраняющий уязвимости, о которых сообщили независимые исследователи по программе ответственного раскрытия. Исходный код фикса вендор публикует только через две недели, чтобы затруднить анализ уязвимостей до массового обновления нод, сейчас доступны только подписанные бинарники. Тем, кто не может обновиться немедленно, вендор рекомендует временный обходной путь.</p> <p><strong>Что делать:</strong> Обновите ноду Core Lightning до версии 26.06.7, проверив подписи бинарников перед установкой. Если обновиться прямо сейчас нельзя, перезапустите демон с флагом --offline, чтобы отрезать входящие сообщения от узла до момента апдейта.</p> <p><strong>Источник:</strong> <a href="https://blog.blockstream.com/core-lightning-26-06-7/">blog.blockstream.com</a></p>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/ledger-2026-08-28-qr-phishing/https://sec.21ideas.org/incidents/ledger-2026-08-28-qr-phishing/Ledger сообщает о продолжающейся кампании: держателям приходят физические письма с QR-кодом, который ведёт на поддельный сайт с запросом ввести 24-словную recovery-фразу. Ввод фразы даёт злоумышленникам полный доступ к кошельку и приводит к потере средств. Ledger подчёркивает, что компания никогда не связывается с пользователями по DM, телефону или почте и никогда не запрашивает recovery-фразу.Fri, 28 Aug 2026 16:50:33 GMT<p>Ledger сообщает о продолжающейся кампании: держателям приходят физические письма с QR-кодом, который ведёт на поддельный сайт с запросом ввести 24-словную recovery-фразу. Ввод фразы даёт злоумышленникам полный доступ к кошельку и приводит к потере средств. Ledger подчёркивает, что компания никогда не связывается с пользователями по DM, телефону или почте и никогда не запрашивает recovery-фразу.</p> <p><strong>Что делать:</strong> Не сканируйте QR-код из подобных писем и не вводите 24-словную recovery-фразу нигде, кроме экрана самого аппаратного кошелька; письмо выбросьте, а для обращения в поддержку используйте только официальный сайт — ссылка в посте.</p> <p><strong>Источник:</strong> <a href="https://x.com/Ledger/status/2093380527164375224">x.com - Ledger</a></p>Эксплуатация подтвержденаХодлерыhttps://sec.21ideas.org/incidents/cln-2026-08-28-release-26067/https://sec.21ideas.org/incidents/cln-2026-08-28-release-26067/Core Lightning выпустил точечный релиз v26.06.7, закрывающий несколько уязвимостей, о которых сообщили независимые исследователи. Исходный код публикации не раскрыт намеренно — эмбарго на 14 дней, чтобы затруднить реверс-инжиниринг фиксов до того, как сеть обновится. Мейнтейнеры прямо просят обновляться сейчас, не дожидаясь Docker-образов.Fri, 28 Aug 2026 16:10:43 GMT<p>Core Lightning выпустил точечный релиз v26.06.7, закрывающий несколько уязвимостей, о которых сообщили независимые исследователи. Исходный код публикации не раскрыт намеренно — эмбарго на 14 дней, чтобы затруднить реверс-инжиниринг фиксов до того, как сеть обновится. Мейнтейнеры прямо просят обновляться сейчас, не дожидаясь Docker-образов.</p> <p><strong>Что делать:</strong> Обновите узел Core Lightning до v26.06.7 сейчас: скачайте и проверьте подписанные тарболы по ссылке ниже, не дожидаясь Docker-образов, перезапустите lightningd.</p> <p><strong>Источник:</strong> <a href="https://github.com/ElementsProject/lightning/releases/tag/v26.06.7">github.com</a></p>Патч естьОператоры нодhttps://sec.21ideas.org/incidents/ledger-2026-08-27-donjon-bulletins/https://sec.21ideas.org/incidents/ledger-2026-08-27-donjon-bulletins/Ledger Donjon опубликовал три бюллетеня о прошивке аппаратных кошельков: рассинхронизация экрана с подписываемыми данными при интерливинге команд во время проверки на экране, обход clear-signing через усечение счётчика массива и приём одобрения токена вместо платежа в свопе. Патчи уже доступны.Thu, 27 Aug 2026 06:21:23 GMT<p>Ledger Donjon опубликовал три бюллетеня о прошивке аппаратных кошельков: рассинхронизация экрана с подписываемыми данными при интерливинге команд во время проверки на экране, обход clear-signing через усечение счётчика массива и приём одобрения токена вместо платежа в свопе. Патчи уже доступны.</p> <p><strong>Что делать:</strong> Обновите прошивку устройства и Ledger Live до последней версии перед следующей подписью транзакции.</p> <p><strong>Источник:</strong> <a href="https://donjon.ledger.com/lsb/">donjon.ledger.com</a></p>Патч естьХодлерыhttps://sec.21ideas.org/incidents/cln-2026-08-27-offline-guidance/https://sec.21ideas.org/incidents/cln-2026-08-27-offline-guidance/Официальный аккаунт Core Lightning обратился к операторам нод: останавливать ноду сейчас не требуется, но после выхода готовящегося релиза обновление обязательно и без отлагательств. Тем, кто не готов обновиться сразу, рекомендован запуск ноды с флагом --offline.Thu, 27 Aug 2026 05:21:06 GMT<p>Официальный аккаунт Core Lightning обратился к операторам нод: останавливать ноду сейчас не требуется, но после выхода готовящегося релиза обновление обязательно и без отлагательств. Тем, кто не готов обновиться сразу, рекомендован запуск ноды с флагом --offline.</p> <p><strong>Что делать:</strong> Как только выйдет релиз, сверьте подписи и установите его без промедления. До обновления запускайте ноду с флагом --offline.</p> <p><strong>Источник:</strong> <a href="https://x.com/Core_LN/status/2092818758763180069">x.com - Core_LN</a></p>Патча нетОператоры нодhttps://sec.21ideas.org/incidents/umbrel-2026-08-27-cln-update/https://sec.21ideas.org/incidents/umbrel-2026-08-27-cln-update/Umbrel выпускает обновление для приложения Core Lightning в связи с обнаруженной проблемой безопасности. По рекомендации разработчиков Core Lightning узел продолжает работать и следить за сетью Bitcoin, но временно отключается от сети Lightning — до выхода отдельного подписанного релиза с самим исправлением.Thu, 27 Aug 2026 03:21:08 GMT<p>Umbrel выпускает обновление для приложения Core Lightning в связи с обнаруженной проблемой безопасности. По рекомендации разработчиков Core Lightning узел продолжает работать и следить за сетью Bitcoin, но временно отключается от сети Lightning — до выхода отдельного подписанного релиза с самим исправлением.</p> <p><strong>Что делать:</strong> Установите обновление приложения Core Lightning на Umbrel сейчас; узел останется в режиме отключения от Lightning до выхода подписанного релиза с фиксом — следите за отдельным анонсом об этом релизе.</p> <p><strong>Источник:</strong> <a href="https://x.com/nmfretz/status/2092769927627436065">x.com - nmfretz</a></p>Патча нетОператоры нодhttps://sec.21ideas.org/incidents/btcpay-2026-08-26-cln-routes-off/https://sec.21ideas.org/incidents/btcpay-2026-08-26-cln-routes-off/BTCPay Server сообщил в своём официальном аккаунте, что после публичных сообщений о проблеме отключил в дефолтной конфигурации маршрутизацию через реализации Lightning Core Lightning и Eclair. Затронуты операторы BTCPay Server, использующие эти ноды для приёма платежей.Wed, 26 Aug 2026 23:20:24 GMT<p>BTCPay Server сообщил в своём официальном аккаунте, что после публичных сообщений о проблеме отключил в дефолтной конфигурации маршрутизацию через реализации Lightning Core Lightning и Eclair. Затронуты операторы BTCPay Server, использующие эти ноды для приёма платежей.</p> <p><strong>Что делать:</strong> Обновите BTCPay Server через встроенный апдейтер в разделе настроек сервера (Обслуживание → Обновление) — подробности по ссылке.</p> <p><strong>Источник:</strong> <a href="https://x.com/BtcpayServer/status/2092751200923922932">x.com - BtcpayServer</a></p>Патча нетМерчантыhttps://sec.21ideas.org/incidents/start9-2026-08-26-cln-update/https://sec.21ideas.org/incidents/start9-2026-08-26-cln-update/Официальный аккаунт Start9 сообщает о проблеме в Core Lightning на StartOS: при старте ноды автоматически применяется флаг --offline. Вендор настаивает на немедленном обновлении до последней версии Core Lightning.Wed, 26 Aug 2026 20:20:35 GMT<p>Официальный аккаунт Start9 сообщает о проблеме в Core Lightning на StartOS: при старте ноды автоматически применяется флаг --offline. Вендор настаивает на немедленном обновлении до последней версии Core Lightning.</p> <p><strong>Что делать:</strong> На StartOS обновите Core Lightning до последней версии прямо сейчас — подробности по ссылке ниже.</p> <p><strong>Источник:</strong> <a href="https://x.com/start9labs/status/2092696243160170703">x.com - start9labs</a></p>Патча нетОператоры нод