Crypto 风险日报 — 2026 年 9 月 8 日

H1： Crypto 风险日报 — 2026 年 9 月 8 日

9 月 8 日今天的风险格局，最明显的变化是：昨天最大的 Bridge Reserve 事件出现了实质性追回，但并没有真正结案；与此同时，Coldcard 被盗 BTC 的洗钱活动明显扩大。

今天最重要的更新仍然是 Liquid Network。

从 Liquid Federation 异常提出近 4,000 BTC 的 actor，在与 Blockstream 通过 Bitcoin 链上消息和 PGP 签名沟通后，已经准确返还 3,400 BTC。

目前仍有约：

598.5 BTC

留在 actor 控制的地址。

这意味着此前近乎整个 federation reserve 被抽离的状态得到大幅改善，但不能直接写成“资金已全部追回”或“事件结束”。

技术层面也出现了非常关键的新信息。

SideSwap 对原始事件的描述是：约 4,000 L-BTC 被发送到其 peg-out service，系统在拿到有效 authorization 后 burn 掉 L-BTC，随后 Liquid Federation 支付了约 3,996 BTC。SideSwap 表示自己的系统和 Peg-out Authorization Key 都没有被 compromise；同时，Blockstream 后续识别到 Elements software 中存在可导致 invalid L-BTC 被创建的 bug。

Blockstream 随后通过链上 PGP-signed message 表示 bridge nodes 已 patch，之后 3,400 BTC 被返还。

这一点非常重要：

这起事件目前不再适合简单描述成“SideSwap key 被偷导致 4,000 BTC 被盗”。

更准确的风险模型是：

Invalid L-BTC Creation → Valid-looking Peg-out Authorization → Federation BTC Release

而完整 technical post-mortem 仍未公开完成。

另外，约 598.5 BTC 有安全社区猜测可能属于 bounty，但今天没有看到正式 bounty agreement，因此 CEXVia 不会把它写成 confirmed whitehat reward。

更新原页面：Liquid Network 4,000 BTC Incident

第二个明显升级的事件是 Coldcard。

Galaxy Research 最新表示，Wave 3 attacker 已经移动：

97.09 BTC

约占这一波 stolen BTC 的 45%。

相比此前 CEXVia 追踪的约 20.5 BTC 初始 THORChain movement，资金移动规模已经明显扩大。

当前路径同时包括：

• THORChain cross-chain swap；
• CoinJoin；
• 从大额 vault 开始依次清空的模式。

Galaxy 对 broader Coldcard cluster 的判断是，大约 82% stolen BTC 仍停留在原 attacker-controlled addresses，约 18% 已进入移动/洗钱路径。

这意味着 Coldcard 现在必须同时作为：

Large Dormant Fund Watch + Active Laundering Event

来监控。

更新原页面：Coldcard Hack Update

今天新增一篇值得独立展开的 exploit 是 Cozy Finance on Optimism。

Security research 对主交易的追踪显示，约 163,326 USDC.e 被抽走，早期 alert 通常把金额四舍五入到约 $160K–$170K。

攻击逻辑不是“直接 Hack Aave 或 Curve”。

当前 reconstruction 指向：

攻击者先买入 Cozy protection market 的 PTokens，然后在 UMA Optimistic Oracle 路径中提交没有被 dispute 的 “YES” assertion；与此同时，protection trigger 没有独立验证真实 Aave v2 / Curve exploit 是否发生，而 payout eligibility 又没有绑定 pre-proposal holder snapshot。

因此这起事件更准确地说是：

Protection Market Settlement / Eligibility Design Exploit

而不是 Aave 或 Curve 本体安全事件。

详细页：Cozy Finance Optimism Protection-Market Exploit

Cronos / Tectonic 今天也必须更新原页面，因为新的 on-chain reconstruction 大幅修正了事件规模。

Bitquery 现在把 gross exploit transfers 估算为：

约 $120.375M

涉及 9 个 lending markets、11 笔 transfer leg。

Cronos validator 后续 rollback 了 10,961 个 blocks，把仍停留在 Cronos 的约 $111M attacker-controlled assets 从最终 chain state 中抹除。

但约：

$8.3M

已经 bridge 到 Ethereum，因此不受 Cronos rollback 控制。

所以今天必须非常清楚地区分：

• ~$120.375M = Gross on-chain transfers
• ~$111M = Rollback erased
• ~$8.3M = Escaped to Ethereum
• Final economic loss = 仍未完成 official reconciliation

不能再把 $120.4M 直接写成“最终损失”。

更新原页面：Cronos / Tectonic Exploit

第五个新增高优先级事件是 Harmony。

Harmony 提议 sunset 自己运行了七年的 Layer 1，并把 ONE 迁移成 Ethereum ERC-20。

这个 proposal 当前仍然是 non-binding，而且还没有确定 final block date。

但用户端已经出现真实 deadline：

Harmony 要求用户在 2026 年 9 月 10 日前退出所有 smart contracts，因为 multisig safes、liquidity pools 和 on-chain applications 无法直接自动迁移。

所以不能写：

“Harmony 9 月 10 日一定关链。”

正确口径是：

Shutdown/Migration Proposed；Sep. 10 是 Smart-Contract Exit Warning，不是 confirmed final block。

详细页：Harmony Layer 1 Shutdown and ONE Migration

监管侧，菲律宾 BSP 出现新的 draft proposal。

Bangko Sentral ng Pilipinas 正计划：

• 暂停新的 Operator of Payment System registration 12 个月；
• 同时收紧 regulated VASP 相关 merchant acquisition；
• 要求更直接的 merchant relationship；
• Enhanced Due Diligence；
• 持续 monitoring；
• transaction / settlement limits；
• 更强 merchant traceability。

但这仍然是 draft / consultation-stage proposal，还不是已经生效的一年冻结。

因此 CEXVia 暂时评为 Medium，而不是把它写成已经生效的监管禁令。

详细页：Philippines BSP Payment-Operator Freeze and VASP Controls

今天还有一个很实际的 CEX asset-access deadline。

Phemex 已发布多份公告，多组 spot pair 都在 9 月 8 日 10:00 UTC delist。今天核验到的公告包括 EUL、UAI、IN、EVAA、B2、Q、ZBCN、AIN、IDOL、GOOGLX 等。

这些公告共同写明：

• Spot pair 下架；
• Pending orders 自动移除；
• 对应 token deposits 停止；
• Normal withdrawals 停止；
• Deadline 后如需 withdrawal，需要联系 customer service。

这属于 Medium / Asset Access Risk，不是 Phemex solvency risk。

① 今日最高优先级 Alerts

② 交易所退出 / 停运 / 提现风险

Phemex — Medium：今天是实际 Asset-Access Deadline

Phemex 多份公告集中在同一个时间：

September 8, 10:00 UTC

今天核验的 pair 包括： EUL、UAI、IN、EVAA、B2、Q、ZBCN、AIN、IDOL、GOOGLX 对 USDT。

Deadline 后：

• Spot trading removed；
• Orders canceled；
• Deposits unavailable；
• Normal withdrawals unavailable；
• 后续 withdrawal 要通过 CS。

因此对仍持有这些 token 的 Phemex 用户，风险不在“平台有没有钱”，而在：

Normal self-service withdrawal window 正在关闭。

AscendEX — Critical

今天没有新的 verified recovery milestone。

Claims Portal 仍是客户进入 recovery process 的核心界面，normal withdrawals 继续 suspended，recovery percentage 和 repayment timetable 都没有正式确定。

Kraken — High

9 月 11 日下一轮 21-asset delisting 的第一个 hard date 已经非常接近。

9/11 停 deposits/trading，但 withdrawal 会继续到 12/10。

真正的 forced execution risk 在 12/10 以后。

Orionx — Critical

Permanent shutdown + custody shortfall + withdrawal suspension 状态没有出现新的 verified recovery percentage。

Router Protocol — High

9/30 wind-down 不变，各 CEX 的 ROUTE withdrawal/delisting schedule 仍需要逐个平台跟踪。

③ 监管与牌照

Philippines / BSP — Medium，新 Draft

BSP 这次监管变化不是单纯“打击 Crypto”，而是在重新画 payment-system regulatory perimeter。

核心是：

• 新 OPS registration 暂停 12 个月；
• Pending application 可以继续 evaluation，但 freeze period 内不 final approve/deny；
• VASP merchant acquiring 需要更直接 relationship；
• Enhanced Due Diligence；
• Continuous monitoring；
• Transaction/settlement limits；
• 更强 merchant traceability。

目前仍是 draft，因此不得写成已经生效。

Pakistan / PVARA — High，Deadline 后仍有操作问题

9/5 NOC deadline 已经过。

今天重新核验 PVARA NOC application page 时，页面仍明确显示：

Online submission is temporarily unavailable

并要求申请人改用 email 提交材料。

目前仍没有看到公开的 operator-by-operator post-deadline list。

Poland / ZondaCrypto — High Stored Risk

BB Trade Estonia OÜ 已于 8/27 宣告 bankruptcy。

Polish authorities 提醒 creditor 在法定期限内向 trustee 提交 claim；第一次 creditors’ meeting 在：

2026-09-17

这不是 9/8 新事件，因此今天不单独创建 Detail，但继续放入 Watchlist。

ASIC — High

9/30 licensing-transition deadline 继续。

UK FCA — Medium

9/30 crypto authorisation application window 即将开启。

④ 黑客 / 漏洞 / 资产损失

Liquid — Critical，但明显改善

3,400 BTC return 是重大正向进展。

但仍不能降级太快，因为：

• ~598.5 BTC 仍未解决；
• normal peg service 未确认恢复；
• complete Elements root cause 未正式公开完成；
• retained BTC 不是 confirmed bounty；
• L-BTC supply/backing 仍需要最终 reconciliation。

Coldcard — Critical

从之前的主要 dormant 状态，已经进入 active laundering。

97.09 BTC movement + THORChain + CoinJoin，是今天最重要的 stolen-fund movement。

Cozy Finance — High

金额不算最大，但技术意义很强。

问题是 protection product 对 event verification、oracle assertion 和 payout eligibility 的组合设计。

Tectonic — Critical

新的 on-chain accounting 把此前数字混乱的问题拆清楚：

• Gross transfer：~$120.375M
• Rollback erased：~$111M
• Ethereum escaped：~$8.3M
• Final loss：Developing

⑤ 用户投诉与运营异常

今天没有新的纯 Community complaint cluster 达到 CEXVia 平台级 High/Critical threshold。

以下内容继续不能升级为 Confirmed：

• Liquid 剩余 598.5 BTC “就是 bounty”；
• AscendEX 某个 recovery percentage；
• GoMining “600+ 一定全部都是客户钱包”；
• Coldcard 新增 unknown vault 一定属于受害者；
• 社区自行推算的 Tectonic final loss。

⑥ 链上和市场异常

今天三个最重要 on-chain movement：

Liquid

3,400 BTC return，是今天最大 positive recovery transaction。

Coldcard

Wave 3 movement 从初步跨链测试扩大为持续 laundering path。

Tectonic

Reconstruction 进一步证明：

Gross Exploit Transfer ≠ Final Attacker Proceeds

Chain rollback 会直接改变最终 economic outcome。

Cozy 则体现了另一类风险：小金额但高度自动化，一旦 payout condition 被满足，资金可以在十几分钟内跨链离开。

⑦ Watchlist

⑧ 今日无新增但仍高风险的存量事件

AscendEX — Critical： Withdrawals suspended，recovery framework 未完成。

Orionx — Critical： Permanent shutdown + custody shortfall，最终 restitution 未确定。

GoMining-linked wallets — High / Developing： 无 final official confirmation/root cause。

Notional Finance — High： 无 final official post-mortem。

Aquifer — High： 无新 verified recovery。

Zilliqa — Critical： Retail migration / compensation governance 未完成。

BitMart — Critical： 9/9 是下一关键 milestone。

Router Protocol — High： 9/30 shutdown 不变，CEX-specific deadlines 仍 developing。

Key Timeline

• 9/6：Liquid Federation 约 4,000 BTC 被提出。
• 9/7：Blockstream 链上确认 bridge nodes patched；随后 3,400 BTC return。
• 9/7：Galaxy 表示 Coldcard Wave 3 movement 达到 97.09 BTC。
• 9/7：Cozy Finance 约 163,326 USDC.e 被抽走，资金很快 bridge。
• 9/7：Tectonic revised gross accounting 升至约 $120.375M。
• 9/7：Harmony 提议 sunset L1、迁移 ONE 到 Ethereum。
• 9/8：Phemex 多组 spot/normal asset access 在 10:00 UTC 截止。
• 9/9：KuCoin UOS/REACT specified-network support 结束；BitMart roadmap milestone。
• 9/10 前：Harmony 要求用户退出无法自动迁移的 smart contracts。
• 9/11：Kraken 21 assets 停 deposits/trading。
• 9/17：ZondaCrypto operator first creditors’ meeting。
• 9/23：BitMEX trading closure。
• 9/30：Router wind-down + 多个 regulatory deadlines。

FAQ

今天相比昨天最大的变化是什么？

Liquid 已返还 3,400 BTC，约 598.5 BTC 仍未解决。

剩下 598.5 BTC 是官方确认的 Whitehat Bounty 吗？

不是。今天没有确认 formal bounty agreement。

Coldcard Wave 3 已经移动多少？

Galaxy 表示 97.09 BTC，约这一波的 45%。

Cozy 事件是不是 Aave 或 Curve 被 Hack？

不是目前证据所显示的情况。Aave/Curve 是 Cozy protection market 引用的 underlying market，问题发生在 Cozy protection/oracle settlement design。

Tectonic 是不是正式损失 $120.4M？

不能这样写。$120.375M 是 gross on-chain transfer estimate；约 $111M 被 rollback 抹除，约 $8.3M 已到 Ethereum，final economic loss 仍待 reconciliation。

Harmony 是不是 9 月 10 日一定关链？

不是。Proposal 仍 non-binding；9/10 是 smart-contract exit warning，不是 confirmed last block。