202 秒盗走 101 万美元：GCSA 曝光三大 Web3 高危漏洞

据 Woofun AI 消息，全球网络安全联盟（）于 11 月 5 日发布三份独立技术调查报告，集中披露近期数字资产领域的多重安全风险，涵盖身份冒用、供应链投毒及智能合约逻辑缺陷。

在身份验证层面，攻击者通过冒用 security@ku.com 邮箱地址，诱导 用户下载远程控制程序。GCSA 监测发现，该域名此前缺失 DMARC 配置，经通报后 KuCoin 已完成整改并启用 DMARC 隔离策略。供应链风险方面， 官方文档引用的 MCP 工具包在原版下架后，被第三方重新注册 npm 包名。由于未固定版本的安装方式及明文密钥风险，可能导致凭据泄露。目前尚无实际窃取证据，Bitkub 暂未回复通报。

更关键的变量在于 生态内的 金库，因跨日结算逻辑缺陷遭攻击。攻击者利用闪电贷与重复提款机制，在 202 秒内转出约 101.34 万 。此事件为上层应用漏洞，底层网络未受影响。

Woofun AI 整理数据显示，GCSA 已向相关平台通报线索，并公布原始分析与证据供业界参考。

从结构上看，此类攻击正从单一平台向供应链及跨链逻辑蔓延。这是继多起 DeFi 协议漏洞后，行业对基础设施安全审查的又一次警示。