该协议：可导致“数千”网站资金被清空的漏洞

欢迎来到《The Protocol》，这是 CoinDesk 每周一次的加密货币技术发展重要新闻汇总。我是 CoinDesk 记者 Margaux Nijkerk。

本期内容：

• 影响“数千”个网站的新React漏洞可导致所有代币被盗
• 瑞波通过 Wormhole 将价值 13 亿美元的 RLUSD 稳定币扩展至以太坊 L2，多链布局加速
• Aave DAO 对界面费用脱离国库一事提出异议
• NFT 项目 Pudgy Penguins 在假日活动中接管拉斯维加斯 Sphere

网络新闻

可能导致钱包资金被窃取的漏洞影响数千个网站：一个 关键漏洞 在 React 服务器组件中正被多个威胁组织积极利用，使数千个网站——包括加密平台——面临即时风险，受影响用户可能会看到其所有资产被清空。该漏洞编号为 CVE-2025-55182，代号为 React2Shell，使攻击者能够在无须认证的情况下远程执行受影响服务器上的代码。React 的维护者于 12 月 3 日披露了该问题，并给予其最高严重性评分。披露后不久，GTIG 观察到由财务动机驱动的犯罪分子和疑似国家支持的黑客组织广泛利用该漏洞，针对云环境中未打补丁的 React 和 Next.js 应用进行攻击。React 服务器组件用于直接在服务器上运行网页应用程序的部分功能，而非在用户的浏览器中运行。该漏洞源于 React 解码传入请求到这些服务器端函数的方式。简单来说，攻击者可以发送特制的网络请求，诱使服务器运行任意命令，或实际上将系统控制权交给攻击者。此漏洞影响 React 版本 19.0 至 19.2.0，包括被 Next.js 等流行框架使用的相关软件包。仅仅安装了受影响的软件包，往往就足以导致漏洞被利用。— Shaurya Malwa 阅读更多.

瑞波币即将登陆以太坊二层网络：专注于支付的区块链公司 Ripple，与 XRP 账本（XRP）紧密相关，正将其以美元为支持的稳定币推向以太坊第二层（L2）区块链，包括 Optimism、Coinbase 的 Base、Kraken 的 Ink 以及 Uniswap 的 Unichain，旨在将这枚价值 13 亿美元的代币更深嵌入多链生态系统。该公司表示，正在启动测试阶段，预计将在获得纽约金融服务部（NYDFS）监管批准后，于明年进行更广泛的推广。该试点项目整合了 Wormhole 的原生代币传输（NTT）标准，使 RLUSD 能够在链间原生转移，无需进行包裹或合成资产处理。这有助于维护流动性和监管控制，同时支持跨多个针对速度和成本优化的网络的去中心化金融（DeFi）多样化用例。稳定币作为连接传统金融与加密经济的数字金融基础设施，正快速增长，已成为价值 3000 亿美元的加密货币类别，其价格与法定货币如美元锚定。 — 克里斯蒂安·桑多尔 阅读更多.

AAVE 协议界面争论升级：Aave DAO 内部的一场辩论正在引发关于谁控制该协议界面以及谁从中获得经济利益的问题。该问题首次出现于本月初，Aave Labs 将去中心化交易聚合器 CoWSwap 集成至 app.aave.com 界面，取代了此前用于抵押品兑换的 Paraswap 路由。尽管该变更被描述为提升用户体验、提供更优执行和 MEV 保护的升级，但代表们随后指出，与兑换相关的费用已不再流向 Aave DAO 金库。An 公开信 来自 Orbit 代表 EzR3aL 认为，该整合引入了约 15 至 25 个基点的前端费用，这些费用归属于外部接收方，而非 DAO。帖子中引用的链上数据显示，与 CoWSwap 合作伙伴费用机制相关的以太坊每周分配覆盖多个网络，年金额可能达到数百万美元。随着路由转向优先执行确定性的 CoWSwap 批量拍卖模型，这部分盈余已逐渐减少，该模型优先考虑执行确定性而非价格改善。但辩论的核心是 Aave Labs 所称一直存在的区分：协议与产品之别。在 论坛回复，Aave Labs 表示该界面由独立于 DAO 治理协议之外的实体运营、资助和维护。在此模式下，DAO 控制链上参数、利率及协议级别的费用，而 Labs 则保留对可选的应用层功能（如交换路由和界面货币化）的决策权。Aave Labs 写道：“任何货币化仅适用于辅助功能”，并认为这种分离保护了协议的中立性，避免了在基础层面集中的经济控制。然而，批评者表示实际情况并非如此。Aave Chan Initiative（ACI）的 Marc Zeller 表示，长期以来一直有一个预期，即与 aave.com 前端相关的货币化——包括交换盈余和闪电贷辅助执行——应当惠及 DAO，尤其考虑到品牌、治理合法性以及大部分基础开发均由代币持有者资助。 — Shaurya Malwa 阅读更多.

胖嘟嘟企鹅称霸拉斯维加斯： 曾经是2021年加密货币热潮中的爆款非同质化代币（NFT）项目，Pudgy Penguins 正通过圣诞周在拉斯维加斯Sphere的高端广告投放，转向现实世界的可见度。 只有少数加密相关品牌获得了Sphere的广告位，这一巨型LED覆盖场馆以其沉浸式展示和如U2及Eagles等乐队的表演而闻名。 A 比特币聚焦激活 于七月播出，但其他类似案例较为罕见。知情人士表示，Pudgy Penguins 的广告将于12月24日开始播放，持续数天，并包含多个动画片段。该品牌在此广告投放上的花费约为50万美元——这是在 Sphere 播出广告的标准费用。Pudgy Penguins 战略与品牌负责人 Vedant Mangaldas 告诉 CoinDesk：“这在某种程度上表明一个加密项目能够超越加密领域，打动普通消费者的心灵与思维。”他表示，这笔交易得以达成，是因为该项目背后有“真实的业务”支持。– 海伦·布劳恩 阅读更多.

其他新闻

• Securitize 将于 2026 年初推出其所谓的首个完全合规的链上真实上市股票交易平台，模糊了传统市场与 Web3 基础设施之间的界限。该公司的系统允许投资者直接拥有以代币形式发行并在链上记录的上市公司股份，并通过基于区块链的界面进行交易，根据一则公告。不同于通过离岸实体或衍生品追踪股票价格的合成代币模型，Securitize 的方法提供了完整的法律所有权。该公司表示，每一股股份均由公司本身发行，并记录在其官方股权登记簿上。“这不是合成价格追踪器，也不是针对托管人的欠条，”Securitize 在公告中写道。“这些是真实的、受监管的股份：链上发行，直接记录在发行方的股权登记簿上，并可通过熟悉的 Web3 交换式体验进行交易。”这意味着代币持有者享有真实的股东权利，包括分红和投票特权，他们的资产由自我托管，且不存在中间人幕后重复质押股份的情况。尽管如此，资产仍为许可制，仅能在合规的白名单钱包之间转移。 — 弗朗切斯科·罗德里格斯 阅读更多.
• 信用卡巨头Visa（V）正在美国推出USDC结算，允许发卡行和收单行合作伙伴以Circle的美元挂钩稳定币结算对卡网络的义务。根据Visa发布的新闻稿，该举措标志着稳定币结算计划的美国阶段，截至11月30日，该计划的年化运行率已达35亿美元。此新选项旨在为银行和金融科技公司提供接近即时的资金流动、七天全天候结算以及在周末和节假日更可预测的流动性，同时保持消费者的卡片使用体验不变。 — Will Canny 阅读更多.

监管与政策

• 美国参议员伊丽莎白·沃伦已要求进行另一次美国国家安全调查「进入加密行业的一个角落，具体指出了对PancakeSwap的担忧，该去中心化交易所被她标记为试图放大由与前总统唐纳德·特朗普有关的World Liberty Financial Inc.发行的币种。她表示」该交易所“，该项目在多个区块链上运行，并且是币安链上的重要协议，应该被审查是否与‘特朗普政府在执法决策中的任何不当政治影响’有关，”沃伦在周一致财政部长斯科特·贝森特和司法部长潘姆·邦迪的信中表示，请求他们对此进行调查，并呼应了。她上个月参与的类似请求 关于WLFI。“随着国会审议加密市场结构立法——包括防止恐怖分子、犯罪分子和流氓国家利用去中心化金融（DeFi）资助其活动的规则——关键在于了解您是否正在认真调查这些风险，”作为参议院银行委员会的资深民主党成员，沃伦写道。该委员会必须对该立法进行审议并批准，随后整个参议院才能进行投票。 — 杰西·汉密尔顿 阅读更多 .
• 美国联邦存款保险公司（FDIC）已推出首次正式规则提案 源自于规范稳定币发行人的新法律，其董事会投票决定开启为期60天的公众意见征集期，针对其监管银行通过子公司发行稳定币的申请处理系统。该机构由代理主席 Travis Hill 领导，后者也是前总统唐纳德·特朗普提名的常任主席候选人——机构将在收集意见后进行审查，随后方能发布最终规则。星期二 提案，经董事会三名成员全体通过，将建立接受申请、在120天审批期限内进行审查以及为被拒绝者提供申诉程序的流程。“根据该提案，联邦存款保险公司（FDIC）将采取量身定制的申请流程，以便根据法定因素评估申请人拟开展活动的安全性和稳健性，同时最大限度地减少对申请人的监管负担，”希尔表示， 其提名最早可能于本周由参议院确认。指导和建立美国稳定币国家创新法案（GENIUS法案）是国会通过的首个重大加密货币法律，它为希望发行稳定币的公司设定了一系列复杂的监管机构安排，稳定币是数字资产领域交易中至关重要的与美元挂钩的代币。对于受保险的存款机构，联邦存款保险公司（FDIC）是指定的监管机构。— 杰西·汉密尔顿 阅读更多.

日历

• 2026年2月10-12日：共识，香港
• 2026年2月17日-21日：EthDenver，丹佛
• 2026年3月30日－4月2日：EthCC，戛纳
• 2026年4月15-16日：巴黎区块链周，巴黎
• 2026年5月5-7日：共识，迈阿密