Drift 安全事件波及协议增至 20 个，Prime Numbers Fi 预估损失超 1000 万美元

霍尔木兹海峡出现比特币通行费骗局，船只支付后仍遭炮击

据 CoinDesk 于 4 月 22 日报道，希腊海事风险服务公司 Marisks 发出警告，称诈骗者冒充伊朗当局向多家航运公司发送消息，索取比特币或 USDT 作为通过霍尔木兹海峡的“通行费”。Marisks 确认相关消息并非来自伊朗官方渠道，并据路透社报道，表示相信至少有一艘船上当受骗，在周末尝试通过时仍遭炮击。

RHEA Finance 安全事件更新：剩余约 40 万美元缺口，承诺全额赔付

RHEA Finance 发布针对 4 月 16 日安全事件的后续更新，确认在资产追回方面已取得实质进展；截至此次更新，估计仍存在约 40 万美元的资金缺口，主要源于借贷市场资金池中 NEAR、USDT 及 USDC 的组合。RHEA Finance 承诺全额弥补任何剩余缺口，确保所有受影响用户获得完整补偿。

研究员披露：Cosmos 共识层 CometBFT 中存在关键 CVSS 7.1 零日漏洞

安全研究员朴度妍（Doyeon Park）披露了 Cosmos 的 CometBFT 中一个 CVSS 7.1 的零日漏洞，可能在同步期间导致节点冻结；厂商的抵制、降级以及披露最终促成了 4 月 21 日的揭露；验证者应在修复补丁发布前避免重启。 摘要：安全研究员朴度妍（Doyeon Park）披露了 Cosmos 的 CometBFT 共识层中一项关键的 CVSS 7.1 零日漏洞，该漏洞可能导致节点在区块同步时冻结，从而潜在影响为 $8 billion 以上资产提供安全保障的网络。该漏洞无法直接窃取资金。Park 从 2 月 22 日开始推动协调披露，但遭遇厂商对公开披露的抵制以及与 HackerOne 相关的问题。厂商于 3 月 6 日将相关漏洞 (CVE-2025-24371) 降级为信息级别（informational），促使 Park 在 4 月 21 日公开披露前先发布了网络层面的概念验证（proof-of-concept）。公告建议 Cosmos 验证者在发布补丁前避免重启节点；已经处于共识中的节点可能继续运行，但重启并进入同步可能使其遭受恶意对等方的攻击，进而带来死锁风险。

Venus 攻击者转移 2,301 ETH 至混币器，使用 Tornado Cash 进行洗钱

链上分析追踪到一名 Venus 协议攻击者将 2,301 ETH (~$5.32M) 转移到疑似钱包，然后通过 Tornado Cash 进行分批处理；链上仍保留约 $17.45M。 摘要：本笔记概述与 Venus 协议攻击者相关的链上活动，包括将 2,301 ETH (~$5.32M) 转至某个钱包，以及通过 Tornado Cash 进行批量混币，并且约 $17.45M 仍持有在链上。

诈骗犯冒充伊朗当局，要求以比特币和 USDT 作为霍尔木兹海峡通行费；至少一艘船在付款后遭袭

Gate 新闻简讯，4月22日——据 CoinDesk 报道，冒充伊朗当局的诈骗犯正向航运公司索要加密货币款项，要求以比特币或 USDT 进行支付，以换取其在霍尔木兹海峡安全通行。希腊航运风险公司 Marisks 已发出警告，称

Volo Protocol 金库遭攻击损失 350 万，剩余 TVL 确认安全

Sui 生态系统协议 Volo 在 X 平台发布声明，确认发生安全漏洞，导致 3 个特定金库中约 350 万美元资产被盗，涉及 WBTC、XAUm 及 USDC。Volo 表示已在检测到攻击后立即通知 Sui 基金会及生态系统合作伙伴，冻结所有金库以防止进一步损失；Volo 承诺承担全部损失，不让用户承担任何责任。