以太坊基金会「ETH Rangers」安全资助计划完成首期六个月工作，累计追回或冻结 580 万美元资金，处理 36 起以上事件响应，并报告 785 项漏洞及客户端错误。

其中最受关注的是：项目识别出约 100 名渗透至 Web3 组织的朝鲜 IT 从业者，涉及约 53 个加密项目。朝鲜利用虚假身份进入 Web3 公司获取薪资，再通过复杂洗钱网络将资金

360 集团宣布其自主研发的漏洞挖掘智能体发现了两项潜伏多年的重大安全漏洞——Windows 内核提权漏洞和 Office 远程代码执行漏洞，已上报国家漏洞库（CNNVD/CNVD）并完成修复。两项漏洞影响全球超 10 亿 Windows 及 Office 用户。

• Windows 内核提权漏洞：攻击者可借此获取系统最高权限
• Office 远程代码执行漏洞：可通

4月14日凌晨2时48分，深圳市坪山区马峦街道一处立体车库发生火情。市区两级应急、消防等部门第一时间赶赴现场处置，目前火势已经扑灭，现场无人员伤亡。

据央视新闻报道，起火地点位于比亚迪坪山园区内。比亚迪方面随后回应确认，起火点为园区内的一处立体车库，该车库主要用于存放试验及报废车辆。

多名网友此前发布的视频显示，现场浓烟滚滚、火势明显，从远处可见大量黑烟从建筑物上方涌出。视

黑客组织 ShinyHunters 近日宣称已入侵 Rockstar Games 的数据环境，并设定 4 月 14 日为支付赎金的最后期限，要价 20 万美元。截至目前，ShinyHunters 已表示将公开所有窃取的数据。

Rockstar 发言人随后确认了此次入侵，称"少量非核心公司信息"遭到访问，"对本公司和玩家

安全研究员 Patrick Saif（GitHub: sai2fast）披露了金山毒霸和 360 安全卫士两款国产杀毒软件的内核驱动存在高危安全漏洞。两个漏洞均已提交至 LOLDrivers 数据库，目前均未获得 CVE 编号，也未被列入 Windows HVCI（Hypervisor-enforced Code Integrity）屏蔽名单。

金

谷歌 Chrome 浏览器在 Windows 版 146 更新中正式引入了 DBSC（Device Bound Session Credentials，设备绑定会话凭据），macOS 版本也将在后续更新中加入。该技术将身份验证会话与物理设备进行加密绑定，从根本上遏制 InfoStealer 恶意软件通过窃取 Cookie 劫持用户账户的攻击链路。

Web 认证模型依赖浏览器 Cookie 维持登录状态。一旦恶意软件（如 LummaC2、RedLine、Raccoon 等 InfoStealer 家族）感染用户设备，可在数秒内导出浏览器中存储的

知名 PC 硬件监测工具 CPU-Z 和 HWMonitor 的开发商 CPUID 证实，其官网在 4 月 9 日至 10 日凌晨期间遭到黑客入侵，入侵持续约 6 小时，导致部分下载链接被重定向至恶意服务器。

多名 Reddit 用户发现从 CPUID 官网下载的 CPU-Z、HWMonitor 被 Windows Defender 报毒。进一步调查后发现，官网的下载链接在入侵期间被随机重定向至其他服务器，被替换的 .exe 文件被植入了恶意代码。

CPUID 负责人 Doc TB 在 X 平台发文确认：

• 入侵是通过一个次要功能的侧边 API 实现

Claude 曝出"身份混淆"缺陷：AI 代理或因误认指令触发安全风险

开发者 Gareth Dwyer 近日发文披露，Claude 在使用 Claude Code 等自动化工具时会出现"身份混淆"（who said what）错误——模型将自己的内部推理或往期输出误认为是用户的当前指令，并基于这些虚假授权执行高危操作。

Dwyer 强调，这个 bug

Solayer 创始人 Chaofan Shou 联合 UCSB、UCSD 等机构发布论文《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》，揭示了 LLM 代理依赖的第三方 API 路由器存在系统性安全隐患。

研究团

使用 Claude Code 时，每次向 Anthropic API 发出的请求都会包含一个特殊的 system 块：

{
  "type": "text",
  "text": "x-anthropic-billing-header: cc_version=2.1.37.fbe; cc_entrypoint=cli; cch=a112b;"
}

这不是 system prompt，而是被伪装成文本的请求元数据。其中 cch 字段是请求完整性校验值——算错了，API 直接返回错误；算对了，fast mode 等功能才