投研早报丨互联网一夜连爆四层安全事故，加密用户该检查什么？/比特币如何抵御量子攻击？Coinbase 给出五步迁移思路/Robinhood Chain 赚了 5,000 万美元，以太坊为何只拿到 6.9 万美元？

8700+ 订阅者，ChainFeeds 精选的信息流帮你做出聪明决策

📢 热点新闻 ｜2026.10.24

🔥 Initia：暂停 L1 及 Rollup 运行，团队正调查影响范围

🔥 美国国税局计划 11 月底前推出改革后自愿披露制度，加密货币不设单独程序

🔥 慢雾：iOS 用户需及时更新系统以防 DarkSword 病毒攻击

🔥 YZi Labs 公布 Atlas Scout 计划首批 4 名学生成员

🔥 Bitcoin Core 修改安全政策，AI 易发现的漏洞将尽快修复并披露

👨‍💻 ChainFeeds 投研简报 ｜2026.10.23

chainfeeds.me

1️⃣ 安全｜互联网一夜连爆四层安全事故，加密用户该检查什么？

2️⃣ 预测市场｜Tiger Research：预测市场的价值，可能不在交易本身

3️⃣ 比特币｜比特币如何抵御量子攻击？Coinbase 给出五步迁移思路

4️⃣ 项目介绍｜Meme 币贡献超 90% 收入，Meteora 如何撬动 Solana DEX 市场？

5️⃣ Meme｜Robinhood Chain 赚了 5,000 万美元，以太坊为何只拿到 6.9 万美元？

每日精选的加密信息由 ChainFeeds 团队与 AI 共同编写，我们已将内部的信息流工具优化并开放给所有读者及 Web3 行业者使用👇

🌞 Web3 行研早报来自：Web3 行业必读深度资讯「简报」平台｜chainfeeds.me

1️⃣ 互联网一夜连爆四层安全事故，加密用户该检查什么？

导读：四起事件同期爆发是偶然的。它们暴露出的攻击面重叠，不是。

深潮 TechFlow：PHP 基金会 10 月 21 日发布了 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 四个安全版本，修复了两个严重程度评分 9.2 的远程代码执行（RCE）漏洞。所谓远程代码执行，指攻击者无需登录服务器，通过网络发送请求就能让服务器运行任意指令。

两个漏洞的根源都藏在 PHP 引擎最核心的部件里：一个出在内存管理（CVE-2026-109618），当请求恰好触及 PHP 的内存上限时，引擎可能留下未初始化的数据，后续请求将其当作合法数据处理，导致内存损坏；另一个出在错误处理（CVE-2026-109619），致命错误发生在特定时点会让内部状态指向已被释放的内存，同一工作进程处理的下一个请求便可能触发「释放后使用」，实现代码执行。

据 PHP 基金会披露，第一个漏洞的苗头早在 2024 年的一次外部审计中就已发现，但安全团队在修复方案的取舍上反复停滞了数月。直到 2026 年 8 月，安全公司 Calif 的研究员 Ryan A 提交了无条件远程代码执行的完整利用链，OpenAI 也独立报告了相同根因，问题才被升到最高优先级。

PHP 8.1 及更早版本已经停止官方维护，不会收到此次补丁。

同一天，Node.js 项目发布了 26.x、24.x、22.x 三条线的安全更新，修复了共计 10 个漏洞：4 个高危、3 个中危、3 个低危。外界关注度最高的是 Brotli 解压模块的越界写入漏洞（CVE-2026-111497），由 OpenAI Codex Security 团队的 Khai Tran 和 Sylvie Mayer 报告，属于远程代码执行级别。

Brotli 是一种广泛使用的数据压缩格式，Node.js 内置了解码器。当应用处理经过 Brotli 压缩的恶意数据时，解码器可能写入超出分配范围的内存区域。触发这个漏洞需要应用确实在解压外部传入的 Brotli 数据，并非所有 Node.js 服务都会走到这条代码路径。另一个值得加密开发者留意的是随机数缓存漏洞（CVE-2026-106074，中危）：Node.js 的 crypto.randomUUID（）和 randomInt（）在生成启动快照（startup snapshot）和单文件可执行包（SEA）时，会把熵缓存一并打包进去，导致每个从同一快照派生的进程重复输出相同的「随机」值。

这个漏洞的触发前提是应用使用了启动快照或 SEA 打包方式，且在运行时依赖上述两个函数生成关键随机数。绝大多数加密钱包的私钥生成走的是更底层的密码学随机数接口，不经过这两个函数，因此「所有钱包随机数失效」的说法缺乏依据。

10 月 21 日，云部署平台 Railway 发布安全披露：平台检测到异常活动，初步调查显示未经授权的第三方可能访问了存储客户环境变量的系统，部分环境变量的加密内容可能已被解密读取。环境变量通常包含 API 密钥、数据库凭据、私有镜像仓库认证信息等敏感内容。Railway 在披露中表示，他们认为这是近期针对平台类公司的一系列攻击的一部分，目标指向 AI 推理服务提供商。

Railway 已通知上游供应商主动撤销所有密钥。平台同时暂停了所有构建和部署流程以进行调查，要求所有用户立即轮换存储在 Railway 中的环境变量。Railway 的用户画像里有相当比例的独立开发者和小型团队，其中不少人在上面部署交易机器人、链上监控服务、Telegram 通知机器人等加密相关应用。

这些应用的环境变量里往往存放着交易所 API 密钥、钱包热签名私钥、RPC 节点认证令牌。如果这些凭据已被窃取，攻击者可以直接调用交易所 API 下单、转移资产，或者利用 RPC 认证令牌发送恶意交易。Railway 公告措辞是「可能访问」和「部分用户」，尚未确认全部客户密钥泄露。

但从风险管理角度看，任何曾在 Railway 环境变量中存放过敏感凭据的用户都应当立即轮换，不必等待平台的逐户通知。（ 来源）

2️⃣ 【英文】Tiger Research：预测市场的价值，可能不在交易本身

导读：预测市场的应用已超越体育赛事和选举预测，逐渐成为宏观经济和地缘政治领域的重要数据基础设施，并被主流财经媒体、央行研究人员及机构级市场平台广泛采用。

Tiger Research：预测市场的核心机制是二元合约，通常根据特定事件是否发生，最终支付 1 美元或 0 美元。例如，如果「明天会下雨」的合约以 0.62 美元交易，就意味着市场参与者认为该事件发生的概率为 62%。因此，预测市场价格能够将未来事件转化为直观的概率数据。与传统民调和专家调查不同，预测市场的参与者需要投入真实资金，并承担判断错误带来的损失。

这种「利益攸关」机制促使参与者更谨慎地核实信息，并将真实判断反映到价格中。当大量承担资金风险的预测汇集在一起，且市场具备充足流动性时，价格就可能成为可靠的概率数据。预测市场还能够持续实时更新。传统民调只能反映调查时点的情况，难以及时捕捉突发事件或政策变化，而预测市场参与者会随着新闻、意外事件和监管公告不断调整仓位，使价格迅速反映新信息。

此外，预测市场不仅提供单一预测结果，还能展示不同情景的概率分布。例如，央行维持利率不变的概率为 20%，降息 0.25 个百分点的概率为 70%，降息 0.5 个百分点的概率为 10%。这种分布不仅能够反映最可能发生的结果，也有助于衡量发生概率较低、但潜在影响巨大的尾部风险。预测市场的数据还可以在事件结束后，通过历史价格与实际结果进行定量比较，为研究人员和金融机构评估预测准确性提供依据。

预测市场最早展现价值的领域之一是选举预测。爱荷华电子市场（IEM）在 1988 年至 2004 年的五届美国总统选举中，与 964 项民调结果进行比较，发现其在 74% 的情况下比民调更准确地预测了实际选举结果。另一项针对 1988 年至 2000 年总统选举的研究发现，在选举前一周，IEM 对最终得票率的预测平均误差为 1.5 个百分点，低于盖洛普最终民调的 2.1 个百分点。

不过，民调反映的是「如果今天举行投票」的结果，而预测市场预测的是选举日的最终结果，两者不能直接等同。在宏观经济领域，预测市场也开始成为衡量市场预期的重要工具。传统专家调查通常每隔数周才更新一次，期货价格主要提供单一数值，而预测市场能够通过不同结果对应的价格，实时形成完整的概率分布。

美联储理事会 2026 年的一篇工作论文发现，Kalshi 对联邦基金利率的中位数和众数预测，在联邦公开市场委员会会议前一天保持了完全准确的预测记录，并在这一时间范围内显著优于联邦基金利率期货。与彭博一致预期相比，Kalshi 对整体 CPI 通胀的预测显著更准确，对核心 CPI 通胀和失业率的预测准确性则在统计上相近。

研究还指出，GDP 增长、核心通胀、失业率和非农就业等重要指标过去缺乏流动性充足的衍生品预期指标，而预测市场能够为这些变量提供实时的市场预期和详细概率分布。

预测市场的应用已经从选举和宏观经济扩展到公共卫生、企业管理和情报分析。在公共卫生领域，美国疾病控制与预防中心每周公布流感统计数据，因此实际疫情传播情况与官方数据之间存在时间差。为解决这一问题，爱荷华大学研究人员开展了一项流感预测市场试点，让医疗专业人员参与交易，汇集他们自愿提供的临床信息，并提前两到四周预测爱荷华州的流感活动。

这类预测有助于为治疗、预防和公共政策提供参考，但该研究仅限于爱荷华州。在企业内部，预测市场能够绕过传统汇报层级，将员工对收入、新产品发布时间和招聘目标等事项的判断直接汇集到价格中。惠普的内部销售预测市场由 20 至 26 名活跃参与者交易，在 8 个可比较案例中，有 6 次比管理层官方预测更准确，并且全部 8 次都正确识别了官方预测的偏差方向。

英特尔在 2006 年至 2013 年运行的 979 个内部预测市场中，超过一半比公司官方预测更准确。西门子的一项软件项目虽然在传统计划中仍显示可以按期完成，但内部预测市场提前发出了将延期两到三周的警告，项目最终延期 13 天。在国家安全领域，美国情报高级研究计划局于 2011 年至 2015 年开展的地缘政治预测竞赛中，超过 2,400 名参与者预测了 261 个事件。

研究发现，预测市场在两个赛季中的准确性均高于预测调查结果的简单平均值，但仍不及经过历史准确性加权和统计调整的团队预测。（ 来源）

3️⃣ 【英文长推】比特币如何抵御量子攻击？Coinbase 给出五步迁移思路

导读：新地址、新签名，以及针对长期未移动比特币的处理方案：Coinbase 认为，比特币需要做好这些准备。

Bankless：周二，Brian Armstrong 分享了 Coinbase 关于比特币应对量子计算威胁的最新思考。今年 1 月，Coinbase 成立了独立的量子计算顾问委员会，成员包括 Scott Aaronson、Dan Boneh 和 Justin Drake 等研究人员。

7 月，Coinbase 又与 BlackRock、Fidelity、Strategy 等机构共同发起比特币安全联盟，承诺在三年内投入 1,500 万美元用于比特币安全研究。如今，Coinbase 进一步提出了构建抗量子比特币的整体思路，涵盖新型地址、数字签名以及现有比特币的迁移方案。

Coinbase 的核心理念是将地址结构与签名机制分离。前者决定比特币存放在哪种地址中，后者决定用户通过什么方式解锁和使用资金。由于目前尚无法确定哪种抗量子签名方案能够长期保持最佳的安全性和效率，Coinbase 希望设计一种支持不同签名算法的地址结构，避免未来每次更换密码学方案时都必须重新设计地址。

Coinbase 提出了两种潜在路径：BIP-360（P2MR）和 P2TRv2。前者是一项旨在降低量子攻击风险的新型比特币地址提案，后者则可能支持抗量子签名。两者都具备一定灵活性，但均无法独立解决全部问题，尤其是 BIP-360 仍需后续升级才能真正支持抗量子签名。Coinbase 还提出混合地址方案，允许用户使用现有签名或抗量子签名花费同一笔资金，但只要旧签名方式仍然可用，资金就依然存在遭受量子攻击的风险。

在确定地址设计应具备灵活性之后，下一个问题是比特币应该采用哪种抗量子签名算法。Coinbase 列出了四种候选方案。ML-DSA 是一种已经标准化、基于格密码学的方案，被认为能够抵御量子攻击，但签名体积较大。SLH-DSA 同样已经标准化，使用成熟的密码学哈希函数，不过签名体积更大。

FN-DSA（Falcon）的签名较小，但安全实现难度更高，目前仍在等待标准化。SHRINCS 则是一种面向比特币设计的实验性方案，能够提供更小的签名，但对密钥管理提出了更严格的要求。不同方案之间最大的权衡在于签名大小。抗量子签名通常远大于现有签名，会占用更多区块空间，可能降低交易处理能力并推高手续费。

因此，Coinbase 建议从安全性、成本、速度、硬件钱包兼容性，以及完成高风险比特币迁移所需的时间等方面综合评估。另一个重要问题是签名状态管理。有状态签名要求用户记录哪些签名密钥已经使用过，如果用户意外重复使用密钥，例如恢复了过期的钱包备份，就可能让攻击者伪造签名并盗取资金。有状态签名的优势在于效率更高、体积更小，有助于降低交易费用，但也带来额外风险。

因此，Coinbase 认为比特币还应支持无需记录密钥使用状态的无状态签名。此外，抗量子签名也必须兼容机构托管场景，尤其是将私钥控制权分散到多台设备的多方签名机制。

除了选择抗量子签名方案，Coinbase 还希望制定清晰的分阶段迁移计划，让比特币逐步过渡到抗量子地址。其提出了五个潜在步骤：首先允许用户自愿将资金迁移至抗量子地址；其次通过混合地址支持现有签名与抗量子签名并行使用；随后探索在迁移过程中隐藏公钥的方法，以降低量子攻击风险；再逐步限制向存在漏洞的旧地址发送比特币，并最终限制从这些地址支出资金；最后决定仍然留在旧地址中的比特币如何处理，包括设置迁移期限、冻结资金、限制支出或建立恢复机制。

Coinbase 尚未支持其中任何一种最终处理方案，而是主张先评估各种选择及其对尚未升级的钱包和节点的影响。其中最具争议的问题，是如何处理长期没有移动的比特币。数百万枚 BTC 存放在公钥已经暴露的旧地址中，包括中本聪早期挖出的比特币。这些资产有的属于长期持有者，有的可能已经永久丢失。

一旦有人秘密开发出具备攻击能力的量子计算机，就可能在行业意识到威胁之前盗取这些资金。Coinbase 并未主张冻结、救回或放任这些比特币，而是建议将休眠资产的处置争议与签名升级分开讨论，避免相关分歧拖延其他用户获得保护。对于可能建立的资产恢复机制，Coinbase 提出两项要求：首先必须具备抗量子安全性，不能让仅掌握公开公钥的人通过恢复程序盗取资产；其次必须考虑用户丢失恢复信息、系统无法处理大量请求或错过迁移期限等特殊情况。

【原文为英文】（来源）

4️⃣ 【英文长推】Meme 币贡献超 90% 收入，Meteora 如何撬动 Solana DEX 市场？

导读：Meteora 承接了 Fomo 在 Solana 上约 30% 的 Meme 币交易量。

Kunal Doshi：Solana 仍然是 DEX 交易量最大的区块链，在大多数月份占据 35% 至 40% 的市场份额。2026 年，Solana 上的 Meme 币交易活动显著回升，上周 Meme 币交易量占比达到 37%，高于 6 月约 10% 的低点。这一增长与 ANSEM 在 6 月的上涨、Meme 股票交易对的兴起，以及市场风险偏好改善有关。

除 Meme 币外，Solana DEX 交易量主要来自 SOL 与稳定币之间的交易以及稳定币兑换，这些市场主要由 propAMM 主导。项目代币和代币化资产的交易量仍然较小，大多数周仅占 Solana 总交易量的约 15%。如果剔除 propAMM 并单独观察 Meme 币交易，Pump 在大多数周占据接近 70% 的市场份额。

排除 Pump 后，Meteora 在 7 月中旬之前一直是 Meme 币交易量第二大的 DEX，随后 Raydium 凭借 Stonkfun 的推出重新夺回部分份额。Pump 和 Raydium 的优势具有结构性，因为从 Pumpfun 和 Stonk 毕业的代币会直接进入各自的 DEX，毕业后的大量 Meme 币交易自然发生在这些平台。

不过，虽然 Meteora 难以争夺 Meme 币早期的高频交易量，但从 Solana 各类发行平台成长起来的 Meme 币最终往往也会登陆 Meteora。其流动性池能够为这些代币提供具有竞争力的交易执行，并在后续交易中吸收相当一部分资金流量。尽管 PUMP 和 RAY 同样能够反映 Solana Meme 币市场的增长，但在 Meteora 完全稀释估值约为 3.7 亿美元的情况下，市场可能尚未充分反映其作为 Meme 币流动性基础设施的作用。

Meteora 的周交易量已从 8 月初约 6.3 亿美元的低点反弹至约 15 亿美元，增长接近 2.4 倍。虽然其中相当一部分增长来自市场反弹后 SOL 与稳定币交易量的增加，但 Meme 币仍是重要的交易来源，最近几周贡献了约 30% 至 45% 的交易量。Meteora 目前提供四类流动性产品。

DAMM v1 类似传统自动化做市商，将流动性均匀分布在无限价格区间，同时自动把闲置资金转入 Solana 外部借贷协议，为流动性提供者创造额外收益。2024 年初推出的 DLMM 引入基于价格区间的集中流动性机制，并率先在 Solana DEX 中采用动态手续费，使资金能够高度集中，在特定价格区间内实现零滑点交易，同时根据市场波动调整费用。

2025 年 4 月推出的 DAMM v2 允许用户创建具有自定义费率的流动性池，并通过 NFT 表示流动性头寸。随后推出的动态联合曲线 DBC 则面向第三方代币发行平台，支持公平发行并减少早期抢购行为，当代币达到联合曲线目标后，全部流动性将自动迁移至 DAMM v2 池并永久锁定。

值得注意的是，尽管 Meme 币在大多数周贡献的交易量不到 Meteora 总量的一半，却创造了超过 90% 的收入。SOL 等主流资产的流动性池通常只能收取约 0.01% 的低手续费，而 Meme 币交易者对价格和手续费相对不敏感。DLMM 还采用基础费率与动态费率相结合的机制，在波动加剧时提高收费，使 Meteora 能够从 Meme 币的高波动交易中获得更多收入。

衡量 Meteora 在 Meme 币交易中的竞争力，一个重要方法是观察 Jupiter 和 Fomo 等交易前端有多少交易最终被路由至 Meteora。Fomo 已成为本轮周期表现突出的消费级交易应用，在 Solana 上拥有接近 5 万名活跃交易者，超过 65% 的手续费收入来自 Solana。

自 7 月以来，Fomo 在 Solana 上的周交易量显著增长，其中 Meme 币占比达到 40%。在大多数周，Meteora 承接了 Fomo 约 30% 的 Solana Meme 币交易量。与此同时，Fomo 在 Solana Meme 币市场的份额已从 4 月的 2% 增至 8%，仍有进一步增长空间。

Jupiter 同样是重要的交易路由入口，其 DEX 聚合器上周占 Solana 现货 DEX 交易量的 27%。虽然 Meme 币仅占 Jupiter 聚合交易量的 10% 至 15%，但 Meteora 在大多数周仍能获得其中 25% 至 35% 的交易量。在过去 30 天交易量排名前 20、同时上线 Meteora 和 PumpSwap 的代币中，Meteora 在大多数交易对上的份额至少达到 20%，ANSEM、BATON 和 PAID 等代币的交易量份额最高达到 63%。

【原文为英文】（来源）

5️⃣ 【英文】Robinhood Chain 赚了 5,000 万美元，以太坊为何只拿到 6.9 万美元？

导读：从争夺底层定价权到争夺用户入口，盘点 20 个 Crypto 交易前端，看看谁在闷声赚钱，以及这门生意为何越来越火。

Oluwapelumi Adejumo：Robinhood Chain 自 7 月 1 日上线以来，代币化股票交易量在三个月内增长超过 20 倍，网络运营方从中获得了近 4,600 万美元的手续费收入。根据 Bitwise 10 月 20 日发布的报告，这条以太坊 Layer 2 网络在上线后的首个季度累计实现 140.5 亿美元的代币化股票交易量。

月度交易量从 7 月的 5.26 亿美元增长至 8 月的 22.1 亿美元，并在 9 月达到 113.1 亿美元。交易活动的快速扩张使该网络第三季度产生了 5,111 万美元的交易手续费，其中 Robinhood 预计保留约 4,593 万美元，占比接近 90%，但尚未扣除运营成本。

增长并不局限于 Robinhood 自身的交易业务。Token Terminal 数据显示，自 Robinhood Chain 上线以来，整个市场代币化股票的 DEX 周交易量增长了 447%，从平均 6.27 亿美元升至 34 亿美元。与此同时，根据 DeFiLlama 数据，该网络的 DeFi 总锁仓价值已超过 11.4 亿美元，高于 9 月底约 10.3 亿美元的水平。

Robinhood Stock Tokens 的数量也从 7 月的 96 种增加至 9 月的 193 种，接近翻倍。其中，英伟达相关代币以 25 亿美元的季度交易量位居首位，SPY 和 SpaceX 相关代币分别以 15.5 亿美元和 15.1 亿美元紧随其后。

Robinhood Chain 的快速增长表明，金融服务公司可以通过控制交易执行所依赖的区块链基础设施，开辟新的收入来源。Bitwise 估计，在第三季度收取的 5,111 万美元交易手续费中，Robinhood 保留约 4,593 万美元，而提供底层技术的 Arbitrum 生态获得约 511 万美元。

作为结算和数据可用性服务提供方，以太坊在同期仅从 Robinhood Chain 获得约 69,170 美元的结算费用。相关许可协议规定，协议净收入的 8% 分配给 DAO，2% 分配给开发者组织，但代币持有者的权益与实际资金支付仍需区分。这种安排使 Robinhood 能够在将部分区块链基础设施外包的同时，保留绝大多数交易手续费收入，不过其留存收入仍需承担基础设施、开发及其他运营成本。

Token Terminal 指出，Robinhood 的市场估值约为 1,000 亿美元，年收入约为 50 亿美元，区块链业务有望成为新的盈利来源。随着区块链收入在 Robinhood 整体业务中的占比提高，其他金融服务公司可能越来越倾向于推出自己的区块链网络。与此同时，Abstract、Silicon 和 Blast 等规模较小的以太坊 Layer 2 网络正面临运营成本难以覆盖的问题。

Abstract 计划于 12 月 15 日关闭网络，此前增长停滞、流动性不足和收入疲弱削弱了其商业可持续性。尽管该网络曾吸引超过 40 万名用户和 144 个应用，但运营方表示，为维持业务已损失数千万美元。Blast 也因维护成本超过收入而宣布关闭。

Robinhood Chain 的财务表现也暴露出以太坊面临的一项新挑战：随着更多交易活动转移至二层网络，底层区块链能够获得的经济收益可能十分有限。尽管 Robinhood Chain 收取了 5,111 万美元的用户手续费，但其向以太坊支付的结算费用仅相当于这一金额的 0.135%，绝大多数交易收入仍留在 Robinhood 和 Arbitrum 生态。

这种差距说明，以太坊的扩容基础设施能够支持规模庞大的商业活动，却未必能为底层网络带来同比例的手续费收入。Bitwise 数据显示，以太坊第三季度产生的网络手续费和最大可提取价值收入合计为 4,060 万美元，低于前一季度的 6,300 万美元。尽管以太坊处理的交易数量同比增长 35.3%，但网络容量扩大和区块空间成本下降削弱了手续费收入。

Robinhood 自身的收入增长同样面临持续性考验。根据 growthepie 数据，该网络第三季度约 74% 的手续费收入集中在 8 月 30 日至 9 月 10 日的 12 天内。Bitwise 数据显示，仅 9 月就贡献了 4,080 万美元，占季度总收入近 80%，同期平均单笔交易成本从 7 月和 8 月的约 0.02 美元升至 0.143 美元。

Robinhood 自上线以来已将持续交易处理能力提高 67%，Bitwise 还将代币化股票借贷列为潜在的新增长来源，投资者未来可以通过 DeFi 平台以代币化股票持仓作为抵押进行借款。【原文为英文】（来源）