Date
Project
Surface
Signal
Risk
Aug 3 / 5
Move VM / Private Hotfix
v1.48 公开基线包含高风险闭包修复 c22d737；private commit 4fd259d… 的增量内容未披露。
P0
Aug 6
ABI Decoding
在物化动态数组前约束攻击者控制的长度，降低远程内存放大与节点 DoS 风险。
P1
Aug 7
Validator / Network
4.2.0 进入主网稳定基线，涉及 Turbine 边界、快照、XDP 权限及依赖修复。
P1
Carry-over
Delayed Disclosure
高优先级安全版本的部分细节仍延迟披露；数据列回填的高内存占用继续观察。
P0 watch
Carry-over
Funds / Recovery
对象资金结算、RPC 重建索引和认证后的分叉恢复需要持续验证状态一致性。
P1 watch
Carry-over
P2P / Block Sync
加强响应来源、签名数量、投票扩展及 mempool 消息放大防护。
P1
Key Findings
1. Aptos：高风险 Move VM 修复与私有 hotfix
PR #20283 修复了交易内模块升级时，Move VM 可能继续使用旧版闭包解析结果的问题，并重新验证类型参数能力。项目方将其标记为 High Risk，测试覆盖与 Coin 复制相关的场景。
该修复回补到 v1.48 的 commit 为 c22d737，也是两天后 v1.48.6-hotfix 发布页的公开基线。发布页另列 private commit 4fd259d…，只提供二进制与容器镜像；因此公开基线关系已经确认，但私有增量具体修复内容仍未知。
2. Nethermind：恶意 ABI 长度导致资源放大
PR #12588 显示，旧逻辑可能在充分验证前，根据外部动态数组或字节串长度申请大型内存。修复通过编码头部大小限制可物化数量，并将越界读取转成受控异常。类似规则应同步用于 ABI、RLP 与 Protobuf：先验证、再分配，同时设置累计解码预算。
3. Agave：4.2 成为主网安全基线
v4.2 changelog 收紧未来 shred 的接受边界，将增量快照默认间隔调整为 200 slots，并在满足能力条件时默认启用 XDP。版本还回补了 crossbeam-epoch 安全公告修复；维护者确认易受影响路径在 Agave 调用链中不可达，因此应视为供应链加固，而非已经确认的 Solana 漏洞。
Carry-over4. Lighthouse：安全细节延迟披露与数据列内存风险
Lighthouse v8.2.1 是 7 月 21 日发布的高优先级安全版本，要求主网 beacon node 用户尽快升级，但安全内容仍延迟披露。公开修复包括 partial data column 缓存与 gossip 校验；同时官方列出 data column backfill 可能 OOM 的已知问题，Gnosis 节点尤其需要关注。
Carry-over5. Sui：资金结算、重建索引与分叉恢复
Sui mainnet-v1.76.1 引入需要一次性、可恢复重建索引的新 RPC Store；协议 v130 改为按账户净额计算未结算 object-funds 提款。节点仅在网络已认证 canonical 结果且部署新二进制时自动恢复 checkpoint/transaction fork，否则保持停机等待修复或人工覆盖。
Carry-over6. CometBFT：Block Sync 与 mempool 输入边界
CometBFT v0.38.25 增加 Block Sync 响应发送者与签名数量校验、vote-extension 签名验证，并通过 MsgBytesFilter 在消息物化前限制 mempool heap amplification。该版本还修复切换到 consensus 后迟到的诚实节点响应处理和若干锁/队列问题。
Engineering Actions
1. Upgrade + cache invariants覆盖同一交易内模块升级、闭包调用、缓存失效与资产操作；缓存必须绑定代码哈希或模块版本。
2. Validate before allocate所有外部长度先做上限、溢出与剩余字节验证，再申请内存；增加整条消息累计预算。
3. Patch-gap drill对私有补丁执行二进制差分、签名验证、灰度发布与回滚演练。
4. Recovery gates将崩溃恢复、快照恢复、索引重建及分叉恢复纳入发布门禁。
5. Operator baseline升级评审同时覆盖依赖公告、系统权限、网络配置与二进制 provenance。
Watchlist
AptosPrivate hotfix disclosure跟踪公开源码、postmortem 以及 private commit 4fd259d… 的实际增量。
EthereumLighthouse delayed disclosure继续跟踪安全修复细节与数据列回填的内存问题。
SuiFunds and fork recovery验证抵消存取款、崩溃重启和重建索引期间的状态一致性。
CometBFTP2P materialization bounds在 protobuf 物化前限制消息体、发送者与签名数量。
Methodology: 仅采用项目官方发布页、代码仓库和合并记录。P0/P1 为本周报工程处置优先级；“强制升级”或“高风险”不等于已经发生攻击，无法确认的关联均明确标记为待确认。