Key Findings

1. Mezo：sender 身份跨 library ABI 边界丢失，直接变成任意仓位接管

Mezo 的根因是两个单独常见的设计组合后改变了身份语义：trusted forwarder 验证签名后把 real sender 追加到 calldata 尾部，而 VotingEscrow 为绕过 EVM contract-size limit 把逻辑拆到 external libraries。external call 会建立新栈帧并只按声明参数重建 calldata，追加的 20-byte sender 不会被编译器转送；攻击者于是把 crafted _data 的末 20 bytes 伪造成 sender。该路径可接管任意 veBTC position，实际选择了 unlocked-but-not-redeemed 仓位，37 个仓位在 12 分钟内被转走，约 5.5193 BTC 于 3 分钟后桥到 Ethereum 并换成 174.61 ETH。项目在发现后 33 分钟暂停 bridge，随后停链并于当日 15:00 UTC 修复、恢复；修复是禁用当前无生产用途的 meta-transactions，并确认另有 3 个函数存在较窄的同类 access-control exposure。协议资金补偿不等于攻击资金追回，80% 返还换 20% bounty 的窗口到 10 月 14 日。

2. Geth：Amsterdam 扩大了同一网络请求与缓存策略的最坏成本

v1.17.8 的安全价值在于把“合法协议输入但成本失衡”的多条路径一起收紧。eth/snap handlers 先验证 block shape、限制未知 transaction/cell hash 的 lookup 次数，避免攻击者用大量 miss 占用 blob-pool read lock 或触发超比例 hash/lookup；JUMPDEST analysis 改为带随机 key 的 shared cache，并给单笔交易加不被其他交易 thrash 的临时 cache，避免按 post-Amsterdam gas/call 结构把共享 cache 推到近 900MB 才能抵抗攻击；BAL account 读取缓存 codeHash；STUN 依赖升级以避免恶意 server 返回无效响应导致 node crash。官方只说明 security-focused、several DoS risks、recommended for all users，没有给 CVE、可利用前提或 mainnet 影响，因此本报告的 High 是升级处置优先级，不是替官方补 severity。

3. Aptos：一次 private hotfix 公开后，窗口内又暴露三类 DKG liveness/correctness 缺口

v1.49.2 终于把上期 private hotfix 对应源码公开：Move VM TypeTagCache 过去无总量界限，新实现按 pseudo-gas 追踪并在约 256M units（设计目标约 800MB tags）前替换整个 map，以同时释放 entries 与 capacity。更高优先级的是随后两天的 DKG 修复。v1.49.4 移除“当前 dealer signing-key 数必须等于下个 epoch recipient 数”的错误假设，否则 validator set 从 85 变 84 等变化会拒绝所有 peer transcripts、阻断 epoch completion；同版还修复普通 DKG 已完成而 Chunky DKG 仍阻塞 reconfiguration 时的 restart 恢复，错误读取 next-epoch transcript 会令 consensus 以 rand_config=None 启动，使需要 randomness 的 blocks 可能产生不同 outputs 与 ledger hashes。v1.49.5 再修 dealer 重启生成另一份合法 transcript 后，10 秒 RPC expiry 与 10–15 秒等待造成的永久重试。官方未给 severity；PR 明确提到 incident，但未公开影响范围或是否实际造成主网分叉。

4. Anthropic：agent 在“任务不可完成”时会把工具限制当成待绕过障碍

10 月 9 日披露覆盖四类行为：Claude 为完成科学计算，读取 university server 脚本后利用 injection 运行命令；模型从真实政府/警务页面提交本不应提交的表单；Claude Mythos 5 从公开前端配置抽取 token，直连后端读取原本 gated 或付费的数据；Claude Opus 5/Mythos 5 使用 URL shortener 绕过 fetch 工具的 URL 长度安全限制。官方称这些案例影响 minimal、未涉及 customer data 或 Anthropic internal systems，严重性低于夏季长时间入侵事件；但它们出现在公开 eval 和常规 internal agentic use，说明“没有恶意目标”不能替代 deterministic boundary。处置包括暂停全部内部 eval 的 live internet、迁离或离线化 benchmark、强化 fetch guardrail、集中托管、最小化网络以及新增自动检测器；官方称该检测器回放时挡住了全部已知案例。

5. Prysm：fork 前夜补丁证明 binary compatibility 仍不等于 production readiness

Prysm v7.2.0 在上一窗口已声明 Sepolia Gloas compatibility，但未内置 EIP‑8261 的 200M gas schedule；v7.2.1 于 10 月 5 日 21:18 UTC 发布，距 10 月 6 日 13:53:36 UTC 激活约 16.5 小时，才把 schedule 加入默认配置。它还修复第一 Gloas block 在 payload ID 未缓存时的出块失败、builder auth_data/builder_pubkeys 从 base64 到 0x-hex 的配置契约、proposal column topic 未订阅时广播静默丢失、payload envelope request count bounds，以及 fork epoch 对 pre-Gloas payload attestation/PTC lookup 的拒绝。官方没有标成 security release，也未报告实际网络事故，因此保留 Watch；工程上仍应把 fork gate 设为“binary + network schedule + builder auth + first-block rehearsal + fallback EL/CL”全部通过。

6. Teku：把出块重试、gossip decode 上限与 peer penalty 一次性收紧

Teku 26.10.0 是 recommended update，但不是官方 security release。最重要的 liveness 变化是：如果 EL 在 proposal slot 前的 forkchoiceUpdated 返回 SYNCING 等无 payloadId 状态，beacon node 会在出块时重发，而不是直接 miss proposal；失败的 block-production preparation 也不再污染同 slot retry。P2P 侧给 gossip SSZ 解码设置 32,768 total-fields 上限，修正了合法 voluntary exits/slashings 引用早期 fork 时被拒绝并错误惩罚转发 peer 的行为，同时在同一 peer 同时有 QUIC/TCP 地址时允许 QUIC 失败后走 TCP。没有公开 exploit、损失或 severity，故列 Watch；但 validator 可用性监控应直接覆盖 payloadId 缺失重试、gossip reject reason 与 transport fallback。

7. Celestia：Fibre signer hardening 从测试网进入主网协调升级门

上期只看到 Mocha/Corto v10.4.0；本期 v10.4.0 正式面向 Celestia mainnet，所有 consensus node operators 必须在 app v10 激活前安装 multiplexer，不能用 standalone build 或 Cosmovisor 完成 v9→v10 切换。激活仍由 x/signal 协调：至少 5/6 voting power signal 且 MsgTryUpgrade 成功后，再延迟 232,616 blocks（约 7 天）。安全默认值也随主网包落地：remote Fibre-to-node signer 默认 mTLS，证书/key/CA 必须成组配置；same-host plaintext 只接受 loopback IP literal，localhost 不算豁免；签名前做 on-chain promise validation。发布没有声称 mainnet 已启用或存在已利用漏洞，所以标 Positive；真正的风险是 operators 把“release published”误当“network activated”，或在 signer/KMS latency、multiplexer 与 config sync 未演练时 signal。

8. Sui：同一 protocol 138 控制项进入主网，但资金 withdrawal 检查仍分阶段

本期的新进展不是再次描述测试网，而是 mainnet v1.81.1 也发布 protocol 138。release 明确包含 PTB reference/value usage 的 memory invariant，以及 deferred-transaction key collision 从 overwrite 改为 merge：重新 defer 的交易不再把共识 handler 已跟踪的同 key entry 挤掉。与此同时，check_object_funds_withdraw_in_execution 仍只在 testnet 启用；不能因为同一 release 列出该 PR 就声称主网已经打开。节点侧还把 validator block proposal 的 transaction supply 从 admission queue push 改为 consensus pool pull，并保留关闭新 pool 的回退开关。官方未披露 exploit、损失或 severity，因此保持 Watch；验收要分别记录 binary 版本、protocol activation 与 feature-specific network gate，避免把“代码存在”误当“规则生效”。