📰 重點摘要

Cloudflare 以外的網站安全與區塊鏈動態同週登場。一個名為「Steal My Bitcoin」的網站刻意不修補 PHP2Shell 漏洞，把價值約 2,000 美元的比特幣錢包金鑰藏在伺服器上，只有 PHP 使用者帳號能透過名為 print-flag 的執行檔取得，藉此證明該錢包並未身處風險。截至撰文已運作 25 小時無人成功入侵，期間曾因流量與探測而短暫離線。此漏洞讓未經驗證的攻擊者可遠端執行程式碼，荷蘭、澳洲、日本、芬蘭等國的政府機關週三已先行下線關鍵網站，等待兩個相關嚴重漏洞的緊急修補。Solana 首次重大共識升級 Alpenglow 於週三約 UTC 13:54 上線主網，Anza 指出交易最終確認時間由約 12.8 秒降至約 150 毫秒。第一階段 Votor 以驗證者直接投票與憑證機制取代原有投票與確認流程，預期使交易筆數下降約 60%；後續 Rotor 將取代 Turbine 負責區塊資料分發。升級後 DeFi 活動持平或小幅下滑。Starknet 社群以約 3,200 票、93.52% 同意票支持研究轉型為獨立的抗量子 Layer-1，正式轉換仍需另一次具約束力的投票，目前仍為以太坊 Layer-2，StarkWare 執行長預計十一月釋出白皮書草案。Starknet 本週在前百大幣種中跌幅最大，市值蒸發四分之一。美國參議員 Blumenthal 則致函 Tether 執行長 Ardoino，要求提供與 Bo Hines 共同創辦的行銷公司簽下 630 萬美元合約的相關紀錄。

💬 JudyAI Lab 觀點

這週的新聞看似各自獨立，實際上都在問同一件事：系統宣稱自己安全或更快時，有沒有公開的證據撐著。「Steal My Bitcoin」刻意不修補PHP2Shell漏洞，並把約2,000美元的錢包金鑰放在伺服器上，運作25小時仍無人攻破。

此案例把「我們很安全」變成可以公開驗證的實驗，這種設計思維值得AI builder參考。同週Solana的Alpenglow升級，也用具體數字說話：交易最終確認時間由約12.8秒降到約150毫秒。Starknet社群則以93.52%的同意票支援研究轉型為抗量子Layer-1，但正式轉換仍要另一次具約束力的投票，這代表重大架構調整會先經過社群共識。這三件事的共通點是，設計決策被攤開接受檢驗，而不是隻靠自我宣稱。反觀荷蘭、澳洲、日本、芬蘭的政府機關為了等待緊急修補，已先讓關鍵網站下線，可見漏洞一旦被利用，代價遠大於事前的謹慎。

下次我們評估自己用的AI工具或服務時，不妨先問一句：它的安全或效能宣稱，有沒有可以獨立驗證的數字或實測？

📅 原文資訊

🔗 延伸閱讀