安全情报日报 Security Intelligence Daily — 2026-11-01
========================================================

头条：币安 63 亿美元被盗，起点是 DevOps 笔记本

  入选 10 条，在野 5：头条是币安把约 6.3 billion 美元被盗与一台被控 DevOps 笔记本联系起来，分析人士归因
  North Korean 黑客，机制复盘又把签名侧通道指向 EIP-7702 拦不住 HSM。边界与站点侧另有在野：Ivanti
  Connect Secure 两个缺陷列入 KEV 并可串成免认证 root，WordPress 一处无编号 RCE 在补丁后
  24 小时内出现 63,000 次利用尝试。其余披露集中在解析不可信输入的服务：vLLM 图片入口串
  Ghostscript、imgproxy ICO 溢出 9.8、Thales Sentinel Keys 9.8、Hitachi
  TRO600 7.5。口径：签名环境与运维终端硬隔离，KEV 与在野项限期升级，前端脚本清点加 SRI。

共 10 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] 勒索团伙 genesis 七天新增 10 家受害者
    (ransomware | 置信high | 分58)
    摘要：
      RansomLook 跟踪数据显示，勒索团伙 genesis 近 7 天在泄密站发布 10 条帖子、涉及 10
      家受害者，最新发现时间 2026-10-30。被点名对象包括 A&B Lab、EAS
      Engineering、Illinois Work Injury Resource Center (IWIRC)
      等小型企业与专业服务机构。

[2] 币安被盗用到 EIP-7702，HSM 未能拦截
    (crypto-infra | 在野利用 | 置信medium | 分85)
    摘要：
      跟进 2026-10-30 报道的币安事件，增量在机制层：来源把 2026 年 10 月 29 日约 6.3 billion
      美元被盗归因于攻击者滥用 EIP-7702，并说明为什么 HSM 没能拦住这类授权，同时列出交易所必须改动的部分。

[3] Ivanti ICS 缺陷列入 KEV 且可串成免认证 root
    (vuln | 在野利用 | 置信high | 分88)
    摘要：
      CISA 于周五把两个影响 Ivanti Connect Secure（ICS）的缺陷列入 Known Exploited
      Vulnerabilities（KEV）目录，理由是有在野利用；报道称攻击者把三个 ICS 缺陷串联后拿到免认证
      root。清单内 CVE-2026-111357 评分 8.8，属关键功能缺失认证类型。来源文本未给出修复版本号。

[4] vLLM 图片入口可串 Ghostscript 执行代码
    (vuln | 置信high | 分70)
    摘要：
      GHSA 披露 vLLM 缺陷 CVE-2026-115915，评分 8.1：vLLM 0.30.0 的
      ImageMediaIO 把攻击者可控图片字节直接交给 Pillow 做格式自动识别且不限制可解格式，标注为
      image/png 的 EPS 载荷可到达宿主机 Ghostscript；若宿主 Ghostscript 含
      CVE-2024-29510，即串出已知沙箱逃逸，造成拒绝服务或 RCE。修复版本 0.32.0。

[5] Polymarket 被盗元凶脚本确认为 DebugBear
    (supplychain | 在野利用 | 置信medium | 分76)
    摘要：
      跟进 2026-10-30 报道的 Polymarket 前端供应链事件，增量是把攻击载体明确到具体第三方脚本：来源称
      2026 年 10 月 29 日的入侵经由 DebugBear RUM 脚本完成，并给出时间线、CSP 与 SRI
      为何没能挡住以及防御建议。

[6] 币安 63 亿美元被盗，起点是 DevOps 笔记本失陷
    (crypto-infra | 在野利用 | 置信medium | 分92)
    摘要：
      跟进 2026-10-30 日报的可疑转账报道：币安把约 6.3 billion 美元（约合 63
      亿美元）加密资产被盗与一台被入侵的 DevOps 笔记本联系起来，区块链分析人士把攻击归因于 North Korean
      黑客。此前通报的可疑转账早期估算最高 5.8 billion 美元，一天后媒体口径上修为 6.3 billion。

[7] Hitachi Energy TRO600 缺陷可用于 RCE 与信息泄露
    (vuln | 置信high | 分72)
    摘要：
      CISA 发布 ICS 通告 ICSA-26-302-02：Hitachi Energy 确认 TRO600
      系列存在多个缺陷，可被用于远程代码执行与敏感信息泄露，CVSS v3 7.5，涉及 CVE-2026-10756 与
      CVE-2026-106087；受影响版本含 TRO600 的 ≤9.2.1.6 与
      ≤9.1.1.0、9.2.2.1、9.1.2.0 组合。缺陷类型为对通信通道未做预期端点限制与关键功能缺失认证。

[8] WordPress RCE 补丁后 24 小时被试 63,000 次
    (vuln | 在野利用 | 置信high | 分80)
    摘要：
      来源称威胁行为者在补丁发布后随即尝试利用一个 WordPress Core 高危 RCE 缺陷，24 小时内出现近
      63,000 次利用尝试。该缺陷没有 CVE 编号，影响 WordPress Core versions 4.7
      through 7.1.3，评分 8.1，修复补丁已于 10 月发布。

[9] imgproxy ICO 整数溢出可致崩溃或 RCE
    (vuln | 置信high | 分70)
    摘要：
      GHSA 通告 imgproxy（go 模块 github.com/imgproxy/imgproxy）ICO
      加载器整数溢出，评分 9.8：加载器读取 32 位攻击者可控的 data_size 后按 data_size +
      BMP_FILE_HEADER_LEN 分配内存，加法在分配前回绕，随后写入 ICO
      前缀并按原始声明长度从欠分配区起读取，形成堆溢出。修复版本 4.0.16，后果为拒绝服务并可能通向远程代码执行。

[10] Thales Sentinel Keys 溢出可夺 SYSTEM 权限
    (vuln | 置信medium | 分78)
    摘要：
      NVD 于 2026-10-30 收录 CVE-2026-78403，评分 9.8：Windows 版 Sentinel
      Keys Server 同时存在栈缓冲区溢出与缺失授权，服务不校验 HTTP
      请求第一个字段的长度，攻击者构造请求发往该服务即可能以 NT AUTHORITY 的 SYSTEM
      身份远程执行代码。厂商通告给出的受影响范围未在来源文本中列全。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。