安全机构 SlowMist 披露，DoinGud 平台智能合约在 acceptOffer 函数中存在逻辑漏洞，因缺少重复交易防护和状态清理检查，攻击者可重放相同交易数据反复提取资金。攻击者借助闪电贷发起两笔重放交易，耗尽托管账户内 70,973.871434 枚 USDC，获利约 35,380 枚 USDC。相关漏洞合约与攻击者地址已公开。

加密 KOL @TheDeFiInvestor 梳理了本周多项加密市场催化剂。Balancer 将于 9 月 25 日至 29 日就关停提案进行 Snapshot 投票，若通过，至少 900 万美元国库资产将按比例分配给销毁 BAL 的持币人。Aave 创始人 Stani Kulechov 预告 Aavenomics 3.0，拟把每周 100 万美元回购改为协议层自动执行。Avalanche、币安钱包与 Injective 也分别公布了主网升级、Pre-Access 认购和 RWA 发行相关进展。

Galaxy 在最新研报中称，SEC 正同步推进两项底层改造：一是更新多年未大修的过户代理规则，明确区块链和分布式账本可作为记账媒介；二是为 24 小时交易召开圆桌讨论。报告认为，美股能否走向真正的 24/7，不只取决于交易时段延长，更取决于所有权记录、清算结算和合规系统能否连续运转。提案还提出一个敏感问题：钱包地址能否替代姓名和实际地址，作为证券持有人的标识。

Aave Labs 提交一项名为「托管抵押借贷：Aave V4 隔离中心与辐条」的治理提案，计划为机构托管资产建立专门借贷市场。按方案，比特币等资产可继续留存在 Anchorage Digital Bank 等合规托管方，并通过链上不可转让的托管抵押代币 CoCT 作为 Aave V4 抵押品借出稳定币。该提案目前仍处于治理讨论阶段，尚未成为正式市场。

Blink披露，攻击者访问了少量托管账户并提取资金，平台已暂停服务并展开调查。Blink表示，绝大多数资金仍然安全，非托管钱包未受影响。其采用的比特币支付协议Spark为多个闪电网络钱包提供支持，但目前尚未确认Spark是否为此次事件源头。

据 ChainCatcher 援引市场消息，攻击者访问了少量 Blink 托管账户并提取资金。Blink 表示，绝大多数资金仍然安全，非托管钱包未受影响。Blink 还称，其使用的 Bitcoin 支付协议 Spark 为多个闪电网络钱包提供支持，但目前尚未确认 Spark 是否为此次安全事件的源头。

美国财政部最新 TIC 报告显示，中国 7 月持有美国国债降至 6180 亿美元，较 6 月再减 154 亿美元，创 2008 年 8 月以来新低。同期外资持有美债总额降至 9.25 万亿美元，连续第二个月下滑。日本仍是最大海外持有国，英国则逆势增持。报告同时显示，7 月美国整体仍录得 837 亿美元净流入，官方机构净买入 444 亿美元，单看国别数据难以直接得出系统性撤出美元资产的结论。

Robinhood上线链上股票代币 63 天后，DEX 交易量被披露突破 30 亿美元，覆盖超过 190 家上市公司和 ETF，并面向 120 多个国家和地区的非美国用户。AMC CEO Adam Aron 随后公开否认与相关代币化股票存在关系，并要求外部证券律师调查其合法性。争论焦点落在公开交易股票能否被第三方在未经发行人同意的情况下包装成金融产品，以及 1:1 抵押、投票权归属和监管定性等问题。与此同时，纳斯达克与 Kraken 母公司 Payward 推出的 NET 方案则保留发行人控制权，计划于 2027 年第二季度上线。