本文由BlockWeeks编译整理
本周一份研究简报聚焦三件事：Bitget 3.875亿美元被盗事件的复盘、SEC关于代币回购的常见问题解答（FAQ），以及白宫AI峰会的要点。
一、Lazarus再出手：Bitget 3.875亿美元被盗复盘
上周，Bitget披露攻击者通过一系列未经授权的转账，从其热钱包和温钱包（warm wallets）中盗走3.875亿美元，并一度暂停所有提现。损失横跨11条区块链，包括 Ethereum、XRP、TRON、Arbitrum、Base 和 BSC，其中单链损失最大的是 XRP，约8300万美元。
按照 Bitget CEO Gracy Chen 的说法，私钥和冷钱包并未被攻破——这一说法也被被攻击地址中仍留存的数亿美元代币所印证。攻击者真正利用的是两款第三方安全产品（借助一个零日漏洞获取高级内部凭证），向钱包后台植入伪造的提现指令，并在资金转出后删除这些指令。Bitget 聘请的安全公司 SlowMist 将最早的恶意活动追溯到8月31日，并还原出一个围绕 Bitget 提现逻辑搭建的定制提现工具。整体指向一场经过高度研究、针对性极强的钱包管理攻击。
Bitget 依据 IP 行为和链上分析，将攻击归因于朝鲜行为体；链上追踪公司 Elliptic 和 TRM 发现相关钱包与过往黑客事件存在重叠。被盗资金大部分经由 THORChain 转移，而 THORChain 以“去中心化、无需许可”为由拒绝了 Chen 提出的停止服务请求。NEAR Intents 则采取相反做法，拦截了超过5000万美元的洗钱流量，并在执行过程中冻结约50.3万美元。Bitget 的保护基金及适用的储备证明（PoR）超额抵押覆盖了本次损失，全部损失由保护基金承担，该基金已补足至3亿美元。
紧接着在周四，NEAR Intents 自身也遭遇攻击：其 Omni 充值/提现基础设施中的一个漏洞造成约380万美元损失，官方表示将全额赔付。ZachXBT 标记出 BSC 热钱包的多笔异常资金外流，资金被转入 KuCoin 并进一步跨链至比特币。
二、私钥已被“解决”，真正的靶子是审批管道
如果这起事件听起来耳熟，那是因为2025年2月朝鲜黑客组织 Lazarus 曾以同样方式从 Bybit 盗走15亿美元——他们并未窃取 Bybit 的私钥，而是攻破了 Safe{Wallet} 的基础设施，向签名者展示被篡改的界面，签名者随后批准了一笔看起来例行的转账。密码学本身完全正常，它只是忠实地签署了被要求签署的内容。
这正是当下大型攻击的图景：没有人去攻击私钥数学，因为这套数学（目前）无法被攻破；他们攻击的是“告诉这套数学该做什么”的人或系统。大型加密交易所的私钥安全处于全球顶尖水平，一家大型交易所上一次出现私钥被攻破已是多年前的事。Phemex 在2025年1月遭遇的私钥攻击损失仅约5000万美元，Coincheck 在2018年那起超5亿美元的大案早已是“上古时代”。私钥安全基本已被解决，因此对攻击者而言，最有价值的目标不是密钥本身，而是决定“把什么送到密钥面前”的环节。Bitget 至今未披露被利用的供应商名称，取证报告仅以 “Product A” 和 “Product B” 代称。
被盗形态本身也说明了问题：如果攻击者拿到了私钥，他们会把资金一扫而空；但 Bitget 的首次通报仅描述了来自有限数量热钱包的未授权转账。缓慢流失，是“中间服务被攻破”而非“私钥被攻破”的指纹。
Nick Szabo 早在2001年就写下《可信第三方是安全漏洞》。这个行业每年都在付出约九位数的代价重新学习这一课：密码学数学是安全的，需要加固的是它周围的结构。今年夏天，AI 行业也学到了类似的一课。
三、SEC 回购 FAQ：功能型系统与“无中心方”的边界
SEC 发布的 FAQ 就代币回购给出了更细化的解释。在“投资合同”问题上，推广某个加密系统当前的实用性、或不附加盈利暗示地宣传其未来愿景，很可能不构成 Howey 测试下的“关键管理努力”承诺；一旦系统已经运行，为保障、维护、改进或增强它，或为促进网络效应所提供的服务，也不构成关键管理努力。
最受关注的是回购部分。FAQ 的 Q2.5 询问：发行方宣布针对非证券类加密资产的回购计划（无论是出于资金管理、减少供应、协议资助的销毁还是再平衡），本身是否构成一种“关键管理努力”的承诺——而这正是代币销售可能落入 Howey 投资合同的路径之一。工作人员的回答是：当加密系统已经运行且不存在中心方时，此类公告不构成那种承诺。
值得注意的是，“且不存在中心方”这一表述是在2026年9月28日才被加入的——即 FAQ 发布三天之后，此前业界批评原措辞（仅要求“已运行”）过于宽泛。若系统尚未运行，只要发行方把回购包装成给代币持有者带来收益或回报，该公告仍可能构成这类承诺。不过 FAQ 并未说明在“已运行但存在中心方”的系统中，回购公告应如何处理——由于答案已不再覆盖该情形，它很可能回落到一般的事实与情形 Howey 分析。
