安全監控平台 GoPlus 於 3 月 27 日發出高危警報，指出 Anthropic Claude Chrome 瀏覽器擴充功能存在高危 Prompt 注入漏洞，影響低於 1.0.41 版本的安裝，覆蓋用戶超過 300 萬。攻擊者可讀取 Google Drive 文件、竊取業務 Token 並以用戶身分發送電子郵件。
漏洞原理：兩個弱點結合形成完整攻擊鏈
此次漏洞由兩個獨立的安全缺陷組合後構成高危攻擊路徑。
第一個弱點：Claude Chrome 擴充功能的過寬子網域信任 Claude Chrome 擴充功能的訊息傳遞機制允許來自所有 *.claude.ai 子網域的指令通過，其中一個訊息類型 onboarding_task 可直接接受外部 Prompt 並交由 Claude 執行，未設置更精細的來源驗證。
第二個弱點：Arkose Labs 驗證碼元件的 DOM-based XSS 漏洞 Anthropic 使用第三方驗證碼供應商 Arkose Labs，其 CAPTCHA 元件託管於 a-cdn.claude.ai——一個屬於 *.claude.ai 信任範圍的子網域。安全研究人員在舊版 CAPTCHA 元件中發現一個 DOM-based XSS 漏洞：元件接收外部訊息時從未驗證發送者身分（未檢查 event.origin），且將用戶可控字串直接渲染為 HTML，未進行任何清理處理。
完整攻擊鏈路：受害者訪問惡意網頁 → 後台靜默加載含 XSS 漏洞的 Arkose iframe → 注入惡意 Payload 在 a-cdn.claude.ai 域內執行 → 利用子網域信任白名單向 Claude 擴充功能發送惡意 Prompt 並自動執行。整個過程在不可見的隱藏 iframe 中完成，受害者完全無從察覺。
攻擊者能做什麼：帳號被無感知完全接管
一旦攻擊成功，攻擊者可對受害者帳號執行以下操作，且全程不需任何使用者授權或點擊：
· 竊取 Gmail 存取權令牌（可持久化訪問 Gmail、聯絡人）
· 讀取 Google Drive 中的所有文件
· 匯出 Claude 完整聊天記錄
· 以受害者身分發送電子郵件
· 在後台建立新標籤頁、開啟 Claude 側邊欄並執行任意指令
修復狀態與安全建議
此漏洞已完成全面修復：Anthropic 於 2026 年 1 月 15 日修補 Claude Chrome 擴充功能，新版本僅允許來自 的請求通過；Arkose Labs 於 2026 年 2 月 19 日修復 XSS 漏洞，全面複測於 2026 年 2 月 24 日確認問題解決。GoPlus 此次警報旨在提醒仍使用舊版本的用戶及時升級。
GoPlus 提出以下安全建議：前往 Chrome 瀏覽器的 chrome://extensions，找到 Claude 擴充程序，確認版本號碼為 1.0.41 或以上；警惕來自不明來源的釣魚鏈接；AI Agent 應用應遵循「最小權限原則」；涉及高敏感操作時應引入人工二次確認（Human-in-the-loop）機制。
常見問題
如何確認我的 Claude Chrome 擴充功能版本是否安全？
前往 Chrome 瀏覽器的 chrome://extensions，找到 Claude 擴充程序並查看版本號碼。若版本為 1.0.41 或以上，漏洞已修復；若低於 1.0.41，請立即更新或重新安裝最新版本。
此漏洞需要用戶主動點擊惡意連結才會觸發嗎？
不需要。只要用戶訪問了惡意網頁，攻擊即可在後台靜默執行，無需任何點擊、授權或確認操作。整個攻擊鏈在隱藏的 iframe 中完成，受害者完全無法察覺。
Anthropic 已完成修復，為何仍需更新？
部分用戶可能未開啟瀏覽器擴充功能的自動更新，導致仍在使用低於 1.0.41 的舊版本。GoPlus 的警報旨在提醒這部分用戶主動確認版本並手動升級，以確保安全。
免责声明：本页面信息可能来自第三方，不代表 Gate 的观点或意见。页面显示的内容仅供参考，不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证，对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为，价格波动剧烈，您可能损失全部投资本金。请充分了解相关风险，并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
摩根大通：DeFi 安全漏洞利用与停滞的 TVL 限制机构采用
Gate News 消息，4月23日——摩根大通分析师、由董事总经理 Nikolaos Panigirtzoglou 领队表示，持续存在的去中心化金融 (DeFi) 漏洞利用以及增长乏力，继续限制机构对该领域的兴趣。根据周三的报告，近期 Kelp DAO 黑客攻击已在短短几天内从 DeFi 的总价值锁定 $20 TVL 中抹去约 十亿美元
GateNews1小时前
美国财政部因加密诈骗网络制裁柬埔寨参议员
## 概述
据美国财政部海外资产控制办公室 (OFAC) 称，美国财政部在周四对柬埔寨参议员柯克·安（Kok An）及与其有关联的28个实体实施了制裁。该行动针对的是官员所称的一个在东南亚规模庞大的加密诈骗行动。
## 这
Crypto Frontier2小时前
Aave 推出 "DeFi United" 救援基金：在 Kelp 漏洞后恢复 rsETH 支撑度
Gate News 消息，4 月 23 日 — Aave 今天宣布一项协调一致的 "DeFi United" 救援基金，以帮助恢复 rsETH 的支撑度。rsETH 是一种流动性质押代币，在 4 月 18 日 Kelp 跨链漏洞被利用后，其支撑度一度不足。该举措旨在保护受此次事件影响的多个借贷市场中的资金
GateNews4小时前
摩根大通：DeFi 黑客频传与 TVL 停滞压缩机制引发兴趣，资金转投 USDT
摩根大通报告认为DeFi持续漏洞、跨链桥与预言机攻击频繁，致使TVL停滞、削弱机构投资意愿，资金转向可追踪、可冻结的USDT。KelpDAO与Rhea Finance的攻击揭示了风控风险；中心化稳定币与托管更受青睐；长期要改善需超越保險与治理，DeFi难回到2021年高TVL，稳定币将更集中。
鏈新聞abmedia4小时前
Circle首席经济学家提议在Aave上因KelpDAO后果上调USDC利率
Gate News消息，4月23日——Circle首席经济学家Gordon Liao本周在Aave v3 Ethereum Core上提出上调USDC借贷参数，此前$292 百万美元KelpDAO rsETH被利用事件在整个协议引发了流动性危机。Liao的征求意见（Request for Comment）建议将“Slope 2”提高至40%，目标为50%，并下调最佳利用率以吸引新存款、缓解市场压力。
该提案源于Aave的USDC池承受的急剧压力：该池已在四天内基本保持满利用率。Liao认为，在当前约14%的利率水平下，偿还款几乎完全被排队中的赎回吸收，而不是恢复可用流动性。KelpDAO事件已在DeFi市场中连锁蔓延，导致Aave的总锁定价值（TVL）从被利用事件发生前的十亿美元以上骤降至约15.3十亿美元，且在核心市场中出现大幅赎回和持续的利用率压力。
Aave治理论坛上的社区反馈迅速引发了清算担忧。针对该提案分享的分析发现，目标利率曲线可能会在30天内将约7001万美元的相关债务更接近清算，其中一个大型钱包承担了大部分敞口。批评者认为，更陡峭的利率会把痛点从那些卡在赎回队列中的出借方转移到使用较薄的健康度（health-factor）缓冲运行的借款方。此外，一些社区成员也质疑：作为USDC发行方的Circle，为什么不提供直接的流动性支持，而是选择追求基于治理的解决方案。Liao指出，他的帖子只反映“个人观点，仅供参考，不代表Circle的立场”。
与此同时，链上分析师EmberCN报道称，KelpDAO攻击者已在约一天半内将其仍掌控的全部约75,700 ETH——约百万美元——换成比特币，主要通过THORChain完成。该活动产生了约百万美元的THORChain交易量，以及约91万美元的费用。
GateNews4小时前
大型 CEX 使用机器学习与规则引擎升级欺诈检测系统，将响应时间缩短至数小时
Gate News 消息，4月23日——一家大型中心化交易所宣布，通过将机器学习模型与基于规则的引擎集成来彻底改造其反欺诈系统，并实施“双轨”策略：模型负责长期防御，规则则支持快速响应。统一框架
GateNews5小时前
