React漏洞危機：數千網站資產恐被盜

協議：漏洞可能導致所有代幣被盜，影響「數千」個網站

還有：Ripple新聞、Aave協議辯論和Pudgy Penguins接管

2025年12月17日下午4:20

歡迎來到《協議》，CoinDesk每週報告加密貨幣技術發展中最重要的故事。我是CoinDesk的記者Margaux Nijkerk。

在這期中：

– 新的React漏洞可能導致所有代幣被盜，影響「數千」個網站
– Ripple將其13億美元的RLUSD穩定幣擴展至以太坊L2
– Aave DAO對界面費用的變化表示反對
– NFT項目Pudgy Penguins在假日活動中接管拉斯維加斯球場

網絡新聞

可能導致錢包被盜的漏洞影響數千個網站：React Server Components中的一個[關鍵漏洞](https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components)正在被多個威脅組織積極利用，將數千個網站（包括加密平台）置於即時風險中，受影響的用戶可能會看到其所有資產被盜。這一漏洞被追踪為CVE-2025-55182，暱稱為_React2Shell_，允許攻擊者在未經身份驗證的情況下遠程執行代碼。React的維護者於12月3日披露了該問題，並將其分配了最高的嚴重性評分。披露後不久，GTIG觀察到多個以財務利益為動機的犯罪組織和疑似國家支持的黑客團體對未修補的React和Next.js應用程序進行廣泛的利用。React Server Components用於直接在服務器上運行網絡應用程序的一部分，而不是在用戶的瀏覽器中。該漏洞源於React如何解碼發送到這些服務器端功能的請求。簡單來說，攻擊者可以發送特製的網絡請求，欺騙服務器運行任意命令，或有效地將系統控制權交給攻擊者。該漏洞影響React版本19.0至19.2.0，包括許多流行框架（如Next.js）使用的包。僅僅安裝了易受攻擊的包通常就足以允許利用。——_Shaurya Malwa_ [閱讀更多](https://www.coindesk.com/tech/2025/12/16/new-react-bug-that-can-drain-all-your-tokens-is-impacting-thousands-of-websites)。

Ripple進軍以太坊L2：Ripple，這家與XRP Ledger（XRP）密切相關的支付專注區塊鏈公司，正在將其以美元支持的穩定幣擴展至以太坊的L2區塊鏈，包括Optimism、Coinbase的Base、Kraken的Ink和Uniswap的Unichain，這是其在多鏈生態系統中進一步嵌入的推進。該公司表示，正在啟動測試階段，預計明年將進行更廣泛的推出，需獲得紐約金融服務部（NYDFS）的監管批准。該試點集成了Wormhole的本地代幣轉移（NTT）標準，允許RLUSD在不同鏈之間無縫移動，而無需包裝或合成資產。這有助於保持流動性和監管控制，同時支持一系列去中心化金融（DeFi）用例，並且網絡的速度和成本都經過優化。穩定幣迅速成為連接傳統金融和加密經濟的重要組成部分，這是一個3000億美元的加密貨幣類別，其價格與法幣（如美元）掛鉤。——_Krisztian Sandor_ [閱讀更多](https://www.coindesk.com/tech/2025/12/15/ripple-expands-usd1-3b-rlusd-stablecoin-to-ethereum-l2s-via-wormhole-in-multichain-push)。

Aave協議界面辯論加劇：Aave的DAO內部辯論引發了關於誰控制協議界面以及誰從中受益的問題。這一問題出現在Aave Labs本月早些時候將去中心化交易聚合器CoWSwap集成到app.aave.com界面中，取代了之前用於抵押品交換的Paraswap路由。儘管這一變更被描述為用戶體驗的升級，提供了更好的執行和MEV保護，但代表們後來指出，與交換相關的費用不再流入Aave DAO的財庫。一封來自Orbit代表EzR3aL的[公開信](https://governance.aave.com/t/aave-cowswap-integration-tokenholder-questions/23530/40)指出，這一集成引入了約15到25個基點的前端費用，這些費用流向外部受益者而非DAO。該帖子中引用的鏈上數據顯示，與CoWSwap的合作費用機制相關的以太幣每週分配在多個網絡上進行，年均可能達到數百萬美元。隨著路由轉向CoWSwap的批量拍賣模型，這一盈餘隨後減少，該模型優先考慮執行的確定性而非價格改善。但辯論的核心是Aave Labs所稱的區別：協議與產品。在[論壇回覆](https://governance.aave.com/t/aave-cowswap-integration-tokenholder-questions/23530/2)中，Aave Labs表示，界面是獨立於DAO治理的協議運營、資助和維護的。在這一模型下，DAO控制鏈上參數、利率和協議級別的費用，而Labs則保留對可選的應用程序級功能（如交換路由和界面貨幣化）的裁量權。“任何貨幣化僅適用於附加功能，”Aave Labs寫道，認為這一分離保持了協議的中立性，並避免在基層集中經濟控制。然而，批評者認為實際情況有所不同。Aave Chan Initiative（ACI）的Marc Zeller表示，長期以來，人們一直期望與aave.com前端相關的貨幣化——包括交換盈餘和閃電貸款輔助執行——會使DAO受益，特別是考慮到品牌、治理合法性和大部分基礎開發都是由代幣持有者資助的。——_Shaurya Malwa_ [閱讀更多](https://www.coindesk.com/tech/2025/12/15/aave-dao-pushes-back-as-interface-fees-shift-away-from-treasury)。

Pudgy Penguins接管拉斯維加斯：曾在2021年加密熱潮中爆紅的NFT項目Pudgy Penguins，正在利用高調的廣告投放在聖誕周於拉斯維加斯球場獲得實體曝光。只有少數加密相關品牌在這個以沉浸式展示和U2、老鷹樂隊等表演者的表演而聞名的巨型LED場地獲得了廣告空間。據一位知情人士透露，Pudgy Penguins的廣告將於12月24日開始運行，並將包括多個動畫片段。該品牌在這一廣告投放上花費了約50萬美元，這是球場廣告的標準費用。“這顯示了一個加密項目可以超越加密，觸及普通消費者的心靈，”Pudgy Penguins的戰略與品牌主管Vedant Mangaldas告訴CoinDesk。他表示，這一交易之所以能實現，是因為該項目背後有一個「真正的業務」。——_Helene Braun_ [閱讀更多](https://www.coindesk.com/tech/2025/12/12/nft-project-pudgy-penguins-takes-over-las-vegas-sphere-in-holiday-campaign)。

其他新聞

– Securitize將於2026年初提供所謂的首個完全合規的鏈上交易平台，針對真實的公共股票，模糊了傳統市場與Web3基礎設施之間的界限。該公司的系統允許投資者直接擁有公共公司的代幣化股份，這些股份在鏈上發行和記錄，並可通過基於區塊鏈的界面進行交易。與通過離岸實體或衍生品跟踪股票價格的合成代幣模型不同，Securitize的方法提供了完整的法律所有權。每一股份由公司本身發行，並記錄在其官方資本表上。 “這不是合成價格跟踪器或對保管人的IOU，”Securitize在其公告中寫道。 “這些是真正的、受監管的股份：在鏈上發行，直接記錄在發行者的資本表上，並可通過熟悉的Web3交換風格體驗進行交易。”這意味著代幣持有者獲得真正的股東權利，包括分紅和投票權，並且其資產在自我保管下，沒有中介在背後重新抵押股份。然而，這些資產仍然是經過許可的，只能在合規的白名單錢包之間轉移。——_Francesco Rodrigues_ [閱讀更多](https://www.coindesk.com/business/2025/12/17/securitize-to-offer-first-fully-onchain-trading-for-real-public-stocks-in-early-2026)。

– 信用卡巨頭Visa（V）正在美國推出USDC結算，讓發卡方和收單方合作夥伴以Circle的美元掛鉤穩定幣結算對該卡網絡的義務。這一舉措標誌著穩定幣結算計劃在美國的階段，截至11月30日，該計劃達到了35億美元的年化運行率，根據Visa的新聞稿。這一新選項旨在為銀行和金融科技公司提供幾乎即時的資金流動、每周七天的結算以及在周末和假期期間更可預測的流動性，同時保持消費者卡的體驗不變。——_Will Canny_ [閱讀更多](https://www.coindesk.com/business/2025/12/16/visa-brings-circle-s-usdc-settlement-to-u-s-banks-following-usd3-5-billion-stablecoin-pilot)。

監管與政策

– 美國參議員伊麗莎白·華倫已要求對加密行業的一個角落進行另一項國家安全調查，具體關注PancakeSwap，這是一個去中心化交易所，她指出該交易所試圖放大與唐納德·特朗普總統相關的World Liberty Financial Inc.發行的代幣。她在周一致財政部長Scott Bessent和檢察長Pam Bondi的信中表示，該交易所在多個區塊鏈上運行，是幣安鏈上的一個主要協議，應該檢查是否與“特朗普政府對執法決策的任何不當政治影響”有關。華倫在信中寫道：“隨著國會考慮加密市場結構立法——包括防止恐怖分子、罪犯和流氓國家利用去中心化金融（DeFi）為其活動提供資金的規則——了解你們是否正在認真調查這些風險至關重要。”——_Jesse Hamilton_ [閱讀更多](https://www.coindesk.com/policy/2025/12/16/u-s-senate-s-warren-asks-for-trump-tied-crypto-probe-as-market-structure-bill-drags)。

– 美國聯邦存款保險公司已推出[首個官方規則提案](https://www.fdic.gov/news/press-releases/2025/fdic-approves-proposal-establish-genius-act-application-procedures-fdic)，這是源於新法律的穩定幣發行者，該委員會投票開啟為期60天的公共評論期，針對其處理受監管銀行希望從子公司發行穩定幣的申請的系統。該機構——由代理主席Travis Hill領導，他也是唐納德·特朗普提名的永久席位候選人——將收集意見並進行審查，然後才能發布最終規則。周二的[提案](https://www.fdic.gov/board/federal-register-notice-approval-requirements-issuance-payment-stablecoins-subsidiaries-fdic)得到了三名短缺董事會成員的批准，將建立接受申請的程序，在120天的批准窗口內進行審查，並為被拒絕的申請提供上訴程序。“根據該提案，FDIC將採用量身定制的申請流程，使FDIC能夠根據法定因素評估申請人的擬議活動的安全性和穩健性，同時減少對申請人的監管負擔，”Hill表示。GENIUS法案是國會批准的首個主要加密法律，為希望發行穩定幣的公司設置了複雜的監管框架。對於受保存款機構，FDIC是指定的監管機構。——_Jesse Hamilton_ [閱讀更多](https://www.coindesk.com/policy/2025/12/16/u-s-fdic-proposes-first-u-s-stablecoin-rule-to-emerge-from-genius-act)。

日曆

– 2026年2月10-12日：[共識](https://consensus-hongkong.coindesk.com/)，香港
– 2026年2月17-21日：[EthDenver](https://ethdenver.com/)，丹佛
– 2026年3月30日至4月2日：[EthCC](https://ethcc.io/)，坎城
– 2026年4月15-16日：[巴黎區塊鏈週](https://www.parisblockchainweek.com/)，巴黎
– 2026年5月5-7日：[共識](https://consensus.coindesk.com/)，邁阿密

這篇文章的內容揭示了加密貨幣生態系統中的一個重要問題，即技術漏洞對用戶資產的潛在威脅。隨著加密技術的發展，安全性問題越來越受到重視。特別是React的漏洞影響了許多使用該技術的網站，這不僅對開發者提出了挑戰，也讓用戶的資產安全面臨風險。這提醒我們，在推動創新和擴展功能的同時，對安全性進行嚴格的監控和及時的修補是至關重要的。

此外，Ripple的穩定幣擴展和Aave的界面辯論顯示出加密市場的多樣性和複雜性，這需要更清晰的治理結構和透明度，以確保所有參與者的利益。隨著加密技術的進一步發展，這些問題將持續成為行業討論的焦點。

以上文章由特價GPT API KEY所翻譯及撰寫。而圖片則由FLUX根據內容自動生成。