CZ：沒有錢包 100% 安全！PHP 漏洞、Railway 遭駭接連爆發，幣安急表態

幣安創辦人趙長鵬（CZ）週四晚間發文，直言沒有任何加密錢包 100% 安全、沒有軟體沒有漏洞。發文前兩天，PHP 高危漏洞、Railway 遭駭與 Fearless 錢包外洩私鑰接連爆發。
（前情提要：知名部署平台 Railway 也遭駭！開發者環境變數與 API 金鑰恐外洩）
（背景補充：慢霧警告：iPhone 惡意程式「DarkSword」已武器化上線，開網頁就可能被盜加密助記詞）

本文目錄

幣安創辦人趙長鵬於台北時間 10 月 22 日晚間 8 時 25 分在 X 發文，寫下「No tech is 100% secure」，強調錢包、軟體與任何技術都不可能完全沒有風險。他同時提醒，什麼都不做同樣有風險，呼籲用戶持續更新、管理風險並解決問題。

這則貼文出現在加密圈資安警報密集的一週。CZ 稍早約 20 分鐘才發出一句簡短的「We are still here」，Trust Wallet 官方帳號隨即回應「仍在這裡、持續建設」。截至發稿時，該貼文瀏覽數已逾 11.8 萬次。

引爆焦慮的源頭之一是 PHP 引擎漏洞。PHP 基金會事前預告將於台北時間 10 月 21 日晚間 10 時發布安全更新，修補兩項 CVSSv4 評分 9.2 的關鍵漏洞。動區先前報導，這組漏洞合稱 PHP2Shell，被估計影響約七成網站。

幣安官方 10 月 22 日下午在 X 表示，安全團隊已在官方修補釋出前部署預防性防護，並完成必要修復。

Trust Wallet 則在傍晚澄清，其錢包 App 與核心基礎設施並非建構在 PHP 之上，用戶不受影響、無須採取行動。

開發者部署平台 Railway 於台北時間 10 月 22 日清晨發布安全揭露，指出未經授權的第三方可能取得客戶加密環境變數，部分內容已遭解密。環境變數常存放 API 金鑰與資料庫憑證。

Railway 建議所有用戶立即更換全部環境變數與私有映像倉庫憑證，並暫停所有部署以便調查。不少小型加密團隊將交易機器人部署於此，熱錢包金鑰若放在環境變數中，風險將直接轉為資金損失。

交易平台 Grailcart 已在 X 公告，其熱錢包約 120 萬美元遭未授權轉出。該公司懷疑事件與 Railway 遭駭有關，但表示仍在調查，因果關係尚未獲證實。

同一時間，Polkadot 官方警告第三方 Fearless Wallet 瀏覽器擴充套件遭入侵，自 2025 年 2 月起持續外洩用戶私鑰。慢霧指出受影響版本為 3.0.1 及 3.0.3 至 3.0.5，曝險期近 20 個月。

這波事件的共同點，是攻擊多半不是直接攻破錢包本身，而是鎖定雲端平台、網頁引擎、瀏覽器擴充套件等上游環節。慢霧本週也警告 iOS 惡意程式 DarkSword 已商品化上線，用 Safari 開啟惡意網頁就可能外洩助記詞。

類似情況並非首見。Qubic 本週才因錢包種子生成使用非密碼學級隨機數，遭竊約 140 萬美元並凍結主網，顯示底層程式碼的小缺陷同樣足以掏空錢包。

對散戶而言，多數人無法自行稽核錢包或伺服器程式碼。能做的是確認手機系統與錢包 App 為最新版本，避免在可疑裝置上保存助記詞，並將大額資產與日常使用的熱錢包分開管理。

動區動趨