GCSA披露KuCoin钓鱼、Bitkub供应链风险及Avalanche合约漏洞，攻击者转出约101.34万枚USDC

据 GCSA 监测，全球网络安全联盟（GCSA）发布三份独立技术调查报告，披露近期多项数字资产安全风险。攻击者冒用 security@ku.com 身份诱导用户下载远程控制程序。GCSA 发现相关域名此前未配置 DMARC；经通报后，KuCoin 已完成整改并启用 DMARC 隔离策略。

Bitkub 官方文档引用的 MCP 工具包原版下架后，第三方重新注册了 npm 包名。未固定版本的安装方式及明文密钥风险可能导致凭据泄露，目前尚无实际窃取证据，Bitkub 暂未回复通报。Avalanche 生态内 TranchePool 金库因跨日结算逻辑缺陷遭攻击，攻击者利用闪电贷与重复提款，在 202 秒内转出约 101.34 万枚 USDC。

该事件属于上层应用漏洞，底层网络未受影响。GCSA 表示已向相关平台通报线索，并公布原始分析与证据供业界参考。