安全情报日报 Security Intelligence Daily — 2026-11-02
========================================================

头条：FBI 归因 TraderTraitor 币安盗案

  入选 10 条，在野 2。币安案由官方归因定调：FBI 把逾 6 billion 美元资产被盗记到 TraderTraitor
  名下（亦被记作 Jade Sleet、UNC4899），提现自 bitcoin
  起分阶段重启，技术复盘指向热钱包签名基础设施失守。Ivanti Connect Secure 两枚缺陷列入 KEV
  并确认在野，互联网暴露的 VPN 设备要限期处置。披露面还有 LXD/MicroCloud
  免私钥冒充受信任客户端、Polymarket 外链提速脚本遭劫持后赔付 726 个钱包、AdminNeo 转发头注入
  cookie 属性。口径：KEV 项最优先补齐，前端外链脚本清点配合 SRI，签名环境与运维终端硬隔离。

共 10 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] 勒索团伙 direwolf 七日新增 3 家受害者
    (ransomware | 置信high | 分52)
    摘要：
      RansomLook 跟踪数据显示，勒索团伙 direwolf 近 7 天在泄密站发布 3 条帖子，涉及受害者 3
      家，最新发现时间 2026-11-01。受害者样例包括 GRUPO PETROIL、My Cloud
      Grocer、USClaims。

[2] 币安分阶段重启提现 比特币先行
    (crypto-infra | 置信medium | 分72)
    摘要：
      在创纪录的 6.3 billion 美元被盗事件后，币安开始分阶段恢复客户加密提现，第一阶段以 bitcoin
      领先。该条目为 11-01 的最新恢复状态。

[3] AdminNeo 存在 Cookie 属性注入
    (vuln | 置信high | 分58)
    摘要：
      GitHub 安全公告披露 AdminNeo 4.6.0 至至少 5.5.0 存在 Cookie 属性注入（CVSS
      8.2）：未净化的 X-Forwarded-Prefix 请求头可被写入
      Set-Cookie，能影响该头的攻击方（透传客户端该头的反向代理、被控上游代理或中间人位置）可注入
      Domain、Path、Secure 等任意 cookie 属性。修复版本 5.5.1。

[4] 币安热钱包签名基础设施被攻破
    (crypto-infra | 置信medium | 分74)
    摘要：
      The Block 复盘这起 6B 美元级最大加密盗窃案：调查者将其与 North Korea
      关联，还原热钱包签名基础设施（hot-wallet signing infrastructure）如何被攻破以及资金去向。

[5] LXD 免私钥冒充受信任客户端
    (vuln | 置信medium | 分68)
    摘要：
      Canonical 的 LXD 与 MicroCloud 曝出 CVSS 10.0 严重缺陷：攻击者只要网络可达其
      HTTPS API 并持有受信任客户端的公开证书，无需对方私钥即可登录为该客户端，进入集群并操作其中的虚拟机。来源未给出
      CVE 编号、修复版本与在野利用情况。

[6] 畸形 DICOM 可静默篡改 MONAILabel 推理
    (vuln | 置信high | 分56)
    摘要：
      GitHub 公告披露 MONAILabel 服务端缺陷（CVE-2026-48705，CVSS
      9.3）：未经认证的远程攻击者经 REST API 上传单个约 132 KB 的畸形 DICOM
      文件，即可使服务崩溃，或静默破坏其医疗 AI 推理结果。根因是 pydicom 未校验 DS/IS 值表示，NaN
      与无穷值得以穿透。修复版本 1.6.1。

[7] Polymarket 外链脚本被劫持盗卖仓位
    (supplychain | 置信high | 分76)
    摘要：
      10 月 29 日，预测市场 Polymarket
      页面上的恶意代码把部分登录中用户的仓位卖出、资金转入攻击者手中；该代码替换了站点从外部公司 DebugBear
      加载的页面提速脚本。Polymarket 称向 726 个受影响钱包退还约 2.7 million 美元，链上记录显示约
      2.64 million 美元到达攻击者侧。

[8] FBI 指认 TraderTraitor 盗取币安资产
    (incident | 置信high | 分88)
    摘要：
      FBI 正式把逾 6 billion 美元虚拟资产被盗归因于亲朝鲜精英黑客组织
      TraderTraitor——该组织亦被追踪方记作 Jade Sleet、Pressure
      Chollima、PUKCHONG、Slow Pisces、UNC4899。通报由 FBI
      联同美国特勤局（USSS）与国税局刑事调查处（IRS-CI）共同发出，案件规模创加密盗窃纪录。

[9] Ivanti Connect Secure 列入 KEV 确认在野
    (vuln | 在野利用 | 置信high | 分78)
    摘要：
      CISA 于 2026-10-30 将 Ivanti Connect Secure 的 CVE-2026-118527
      列入已知被利用漏洞目录（KEV），确认存在在野利用。处置要求：按厂商指引应用缓解措施、遵循 BOD 26-04
      风险优先补丁与取证分诊要求，无可用缓解措施时停用产品。此前 10-14/10-17 日报报道的是该产品的另一在野缺陷，本枚
      CVE 系首次入 KEV。

[10] Ivanti 第二枚缺陷同日入 KEV
    (vuln | 在野利用 | 置信high | 分77)
    摘要：
      跟进 2026-11-01 关于三枚 Connect Secure 缺陷被串成免认证 root
      攻击链的报道：CVE-2026-111357 已于 2026-10-30 被 CISA 单独列入 KEV
      并确认在野利用，处置要求同为按厂商指引缓解、遵循 BOD 26-04 与取证分诊，无缓解措施则停用。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。