安全研究员 Doyeon Park 于 4 月 21 日公开披露 Cosmos 共识层 CometBFT 中存在一个 CVSS 7.1 级高危零日漏洞，可能导致节点在区块同步（BlockSync）阶段遭受恶意对等节点攻击而陷入死锁，影响保障超 80 亿美元资产的网络。
漏洞技术原理：恶意节点高度高报操纵致无限死锁
漏洞存在于 CometBFT 的 BlockSync 机制中。正常情况下，对等节点在连接时会报告递增的最新区块高度（latest）。然而，现有代码未验证对等节点先报高度 X 再报更低高度 Y 的情况——例如先报 2000，再报 1001。此时，同步中的节点 A 将永久等待追上高度 2000，即使恶意节点断线，目标高度也不会重新计算，导致节点陷入无限死锁，无法重新加入网络。受影响版本为 <= v0.38.16 和 v1.0.0，已修补版本为 v1.0.1 和 v0.38.17。
协调披露失败：供应商降级 CVE 的完整时间轴
Park 遵循了标准的协协调漏洞披露（CVD）流程，但过程多次遭遇阻碍：2 月 22 日提交首份报告，供应商要求以公开 GitHub issue 形式提交但拒绝公开披露；3 月 4 日第二份报告被 HackerOne 标记为垃圾邮件；3 月 6 日供应商将漏洞严重程度从「中等/高」自行降级为「信息性（影响可忽略不计）」，Park 提交网络级概念验证（PoC）以反驳；4 月 21 日最终决定公开披露。
Park 还指出，供应商此前曾对具有相同影响的漏洞 CVE-2025-24371 进行类似的降级操作，被认为违反了 CVSS 等公认的国际漏洞评估标准。
紧急指引：验证者现在需要采取的行动
在补丁正式部署前，Park 建议所有 Cosmos 验证者尽可能避免重启节点。已处于共识模式的节点可以继续正常运行；但如果重新启动并进入 BlockSync 同步过程，可能因遭受恶意对等节点攻击而陷入死锁。
作为临时缓解措施：若发现 BlockSync 卡住，可通过提高日志等级识别报告无效高度的恶意对等节点，并在 P2P 层封锁该节点。最根本的解决方案是尽快升级至已修补的 v1.0.1 或 v0.38.17 版本。
常见问题
CometBFT 的这个漏洞是否能直接窃取资产？
不能。此漏洞无法直接窃取资产或危及链上资金安全。其影响是导致节点在 BlockSync 同步阶段陷入死锁，使节点无法正常参与网络，可能影响验证者的出块和投票能力，从而影响相关区块链的活跃性。
验证者如何判断节点是否已遭受此漏洞攻击？
如果节点在 BlockSync 阶段卡住，目标高度停止增加是一个可能的迹象。可以提高 BlockSync 模块的日志等级，查看是否有接收到异常高度消息的对等节点记录，从而识别潜在的恶意节点，并在 P2P 层进行封锁。
供应商将漏洞降级为「信息性」是否符合标准？
Park 的 CVSS 评分（7.1，高危）基于标准国际评分方法，且 Park 提交了可验证的网络级 PoC 以反驳降级决定。供应商将其降为「影响可忽略不计」被安全社群认为违反了 CVSS 等公认的国际漏洞评估标准，这一争议也是 Park 最终决定公开披露的核心原因之一。
免责声明：本页面信息可能来自第三方，不代表 Gate 的观点或意见。页面显示的内容仅供参考，不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证，对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为，价格波动剧烈，您可能损失全部投资本金。请充分了解相关风险，并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
3.5 个月内法国 41 起加密绑架；Durov 归咎数据泄露
Gate News 消息，4月24日——据 Telegram 创始人 Pavel Durov 称，在 2026 年仅 3.5 个月内，法国已发生 41 起对加密货币持有者的绑架事件，他将激增归因于大规模的数据泄露。Durov 在一则 X 帖子中强调，敏感个人数据——包括税务机关掌握的信息，以及法国安全文件署发生的重大泄露中的信息——已经暴露了大约 1900 万人的姓名、地址和电话号码，使数字资产持有者更容易成为目标。
Gate News 消息，4月24日——据 Telegram 创始人 Pavel Durov 称，在 2026 年仅 3.5 个月内，法国已发生 41 起对加密货币持有者的绑架事件，他将激增归因于大规模的数据泄露。Durov 在一则 X 帖子中强调，敏感个人数据——包括税务机关掌握的信息，以及法国安全文件署发生的重大泄露中的信息——已经暴露了大约 1900 万人的姓名、地址和电话号码，使数字资产持有者更容易成为目标。
GateNews2小时前
意大利研究员因对椭圆曲线密钥发起 32,767 比特量子攻击而赢得 1 BTC 奖励
Gate News 消息，4月24日——意大利研究人员 Giancarlo Lelli 在展示迄今规模最大的椭圆曲线密码学量子攻击后，获得了 1 比特币的奖励。该突破加剧了对量子威胁的担忧，可能影响由椭圆曲线密码学所保障的比特币、以太坊及其他资产 ECC，从而波及超过 2.5 万亿美元的数字资产
GateNews4小时前
Luck.io，Solana 的非托管赌场关停；敦促用户立即提取资金
Gate 新闻消息，4月24日——Luck.io 基于 Solana 构建的非托管赌场平台宣布将于 2026 年 4 月 24 日关闭，敦促所有用户立即从 Smart Vaults 提现其余额。提现可通过 luck.io 网站发起，或通过位于以下地址的 Vault Withdrawal Tool 发起：
GateNews7小时前
美国制裁与伊朗有关联的加密钱包；Tether 冻结 $344 百万美元 USDT
Gate News 消息，4 月 24 日——美国财政部长 Scott Bessent 于周四宣布，对多个与伊朗有关联的钱包实施制裁，作为唐纳德·特朗普总统在持续停火背景下加大对该国经济压力努力的一部分。 “我们将追踪德黑兰正在竭力试图转移出该国的资金，并打击与该政权相关的所有金融生命线，”Bessent 在一份声明中表示。
GateNews9小时前
项目十一授予 Q-Day 1 BTC 悬赏：研究者使用量子计算机破解 15 位椭圆曲线密钥
专注研究「Q-Day（量子电脑破解区块链密码学日）」的非营利组织 Project Eleven 于 4/24 宣布，将 1 枚比特币悬赏颁发给独立研究者 Giancarlo Lelli。Lelli 在公开可存取的云端量子电脑硬件上，使用 Shor 演算法变体，成功破解 15 位元椭圆曲线密钥，这是迄今为止规模最大的公开量子攻击示范。
攻击规模与意义
项目 内容 获奖者 Giancarlo Lelli（独立研究者） 攻击目标 15 位元椭圆曲线密钥，搜索 32,767 种可能性 使用硬件 公开奖可存取的云端量子电脑 演算法 Shor
鏈新聞abmedia10小时前
研究人员破解15位椭圆曲线密钥，赢得1 BTC悬赏
独立研究员 Giancarlo Lelli 使用一台公开可访问的量子计算机推导出了一个 15 位的椭圆曲线密钥，这标志着根据该初创公司的说法，Project Eleven 所称的迄今在椭圆曲线密码学领域的“最大量子攻击”。Project Eleven 向 Lelli 授予了 1 BTC 奖金，
Crypto Frontier12小时前
