三项调查对应不同风险状态

全球网络安全联盟（GCSA）发布三份独立技术调查报告，涉及冒用 KuCoin 邮箱身份的钓鱼攻击、Bitkub 文档所引工具包的供应链风险，以及 Avalanche 生态 TranchePool 金库遭攻击事件。其中，TranchePool 已发生约101.34万枚 USDC 转出，Bitkub 相关风险尚无实际窃取证据，二者不能按同一损失口径理解。

邮件防护已整改，工具包风险仍待回应

钓鱼攻击者冒用 security@ku.com 身份，诱导用户下载远程控制程序。GCSA 发现相关域名此前未配置 DMARC（邮件身份验证策略）；经通报后，KuCoin 已完成整改，启用 DMARC 隔离策略。这项处置针对邮件身份冒用环节，并不意味着用户端下载远控程序的风险可以忽略。

Bitkub 官方文档引用的 MCP 工具包原版下架后，第三方重新注册了其 npm 包名。未固定版本的安装方式与明文密钥风险可能导致凭据泄露，但目前没有实际窃取证据，Bitkub 暂未回复通报。这里的关键是文档所指向的软件名称仍在，背后的包却可能已由其他主体控制；风险线索支持检查依赖与密钥管理，尚不足以认定已经发生资产盗取。

金库结算缺陷造成转出，影响限于应用层

TranchePool 金库的跨日结算逻辑存在缺陷，攻击者结合闪电贷与重复提款，在202秒内转出约101.34万枚 USDC。此次事件属于上层应用漏洞，Avalanche 底层网络未受影响。

从攻击路径看，结算与提款规则是这起事件的核心，不能将应用合约失效等同于底层网络失效。GCSA 已向相关平台通报线索，并公布原始分析与证据；评估三项事件时，应分别看待已完成的邮件防护整改、尚待证实的凭据风险和已经发生的金库资金转出。