AI 與科技新聞摘要 - 2026/11/02

BTCPay Server 的團隊在 11 月 1 日收到通報，說熱錢包裡的比特幣與萊特幣被偷走了。修補那個漏洞的 2.4.2 在 8 月 7 日就釋出，只是這次攻擊者用的是另一種手法。這幾則的來源參差得厲害，兩則連 OpenAI 自己的頁面我都打不開，所以每一則我都先寫清楚讀到的是一手還是轉述。

一、BTCPay Server：補丁在八月，錢包在十一月被掏空

一手來源我讀到了，是 BTCPay 官方部落格。原文說 11 月 1 日收到 Bitcoin 與 Litecoin 從熱錢包被偷的通報，受影響的是 2.4.1（7 月 23 日釋出）或更舊版本的伺服器。2.4.2 修的是同一個漏洞，攻擊者”used a different method to exploit”它。已經在 2.4.2 或更新版的伺服器，官方說沒有看到受到影響。攻擊者最早何時開始動手，頁面寫的是還沒查明。

時間線用 UTC 排：11 月 1 日 13:46 有一個錢包被掏空，20:56 收到第一封通報信，22:25 在 X 上發出社群警告，11 月 2 日發布調查更新。頁面列了兩個回報的收款地址（一個 BTC、一個 LTC），並說這兩個地址上有些活動似乎早於這批竊案，餘額與歷史”should not be treated as a confirmed total of losses”。整個頁面沒有給任何金額。

下面的金額不是 BTCPay 說的。The Hacker News 那篇我打開是 403，只看到搜尋摘要，不引用。我讀到的是 Cryptonomist，它轉述 Bitquery 的追蹤，但 Cryptonomist 自述是 AI 輔助撰寫，也沒有連到 Bitquery 的原報告。所以這是單一來源的二手轉述，Bitquery 原文我沒讀到。

Cryptonomist 轉述的內容是：Bitquery 追蹤到那兩個地址共 18.38 BTC 與 3,405 LTC，約 163 萬美元，682 次 sweep，期間從 10 月 30 日到 11 月 2 日上午，約 87% 集中在 11 月 1 日下午到晚間。口徑要綁死：這是兩個地址上追蹤到的資金，不含其他地址與 Lightning 資金，也不是確認的損失總額，所以我不把 163 萬寫成「損失」。同一份轉述還說，22:25 UTC 發出警告之後仍有 267 次 sweep，約 15 萬美元，這同樣只有單一來源。

我的立場：熱錢包的花用金鑰放在連網的伺服器上，下行是全部，上行是少一個簽名動作的方便，這種配置該預設不碰。官方自己寫的那句最能說明這件事，花用金鑰存在伺服器外的錢包，例如硬體錢包，沒有受影響。另一句也值得記：官方說單靠更新，移除不了攻擊者可能已經取得的存取，所以舊版本的建議是搬到全新的伺服器、換新錢包。補丁是對未來的保險，對已經被進去過的伺服器沒有溯及力。

會讓我改口的條件：官方後續更新若說明 2.4.2 以後的伺服器也有被掏空的案例，我這句「更新有用」就要收回。

原文來源：BTCPay Server：Security incident (2.4.1 and earlier)，2026-11-02 更新；二手轉述：Cryptonomist，2026-11-03

二、Google 拆除 XCPE：拆掉的是網域與伺服器

Google 在 11 月 2 日（週一）宣布拆除 XCPE（又稱 X.CPE），SecurityWeek 的寫法是超過 130 萬台 Android 機上盒的後門與殭屍網路，另外也提到 telehealth 裝置、karaoke 機與 digital signage 受感染。我讀到的是 SecurityWeek 與 Help Net Security 兩篇，Google 的一手頁面我沒取得網址，所以下面每一句都是這兩家媒體轉述 Google。

Google 說 Videostrong 是中國的 OEM/ODM，把惡意程式內建進裝置，把存取權賣給 affiliates，也在被裝了後門的機器上載入惡意模組；Google 還稱 Videostrong 用混淆技術鑽了認證測試的縫隙（原文是”exploit a gap in our tests”）。Google Threat Intelligence Group 以 high confidence 歸因給 Videostrong Technology。Videostrong 怎麼回應，兩篇都沒寫，我沒讀到對方的說法。

Google 做的事有三件：靠法律行動拆掉這個網路的域名與伺服器；禁止 Videostrong（含未來的子公司與關係企業）製造認證 Android 裝置，也禁止它供應軟體給認證廠商；強化認證 Android TV 裝置的韌體完整性檢查，並更動廠商審查流程。協力單位名單裡有日本 National Police Agency、Lumen、HUMAN Security、Plume、Synthient 與 TrendAI。

另有一個容易被讀成「清除」的數字：至少 1,000 萬台。Help Net Security 寫的是切斷了對另外至少 1,000 萬台已遭入侵裝置的存取，SecurityWeek 的措辭較保守，寫”likely resulted in”，並標明那是該篇文章的評估，不是 Google 的直接引語。兩家措辭不同，我用「估計」，而且意思是連線被切斷，不是裝置被清乾淨。

我的立場，先標明這是推論，兩篇都沒這樣寫：認證測的是送審那一刻的樣子，而指控的內容是賣存取權、在已裝後門的機器上載入模組，這兩件事不一定發生在同一個時間點。要是縫隙真是這個形狀，補一次流程不會讓它消失，因為攻擊者的利潤還在（HUMAN 的 CISO Gavin Reid 的原話是”Compromised-device networks are sustained by profit.”）。買機上盒的人要自己檢查韌體，幾乎不可能，下行全部落在最沒有工具的那一方。

會讓我改口的條件：Google 的一手頁面或 Videostrong 的回應，對缺口的描述與上面不同，例如惡意程式其實在送審時就被測到、只是沒擋下來，那我這段推論就要重寫。

原文來源：SecurityWeek：Google dismantles XCPE botnet of 1.3 million Android devices，2026-11-03；Help Net Security：XCPE botnet Android backdoor，2026-11-02

三、OpenAI Grid Protectors Program：能讓出多少電，目前只寫在計畫裡

這一則與下一則都是 OpenAI，兩則的一手頁面我都是 403，所以全部經第三方轉述。Grid Protectors 這一則，我讀到的是 The Next Web 11 月 2 日的報導。

照 TNW 的說法，OpenAI 會跟電力公司談定每個園區能讓出多少電、多快讓、讓多久，有些站點可能用現場發電機或電池，條款依地點而異。試辦地點是喬治亞州 Effingham County 規劃中的 3.2GW 園區，TNW 寫的是一份 25 年的協議，Georgia Power 在尖峰時段最多可削減 1,000MW，OpenAI 稱那相當於 70 萬戶家庭的平均用電，這句是 OpenAI 的說法。

兩個數字的口徑不同：3.2GW 是整個園區的規劃容量，1,000MW 是可被削減的上限，不能拿來相除當成削減比例。OpenAI 也承認 flexibility 無法取代新電廠與新電力線路，並負擔專案所需電力線路與服務的全額成本。除了這個園區，OpenAI 沒有點名其他站點。

我的立場：這是一份計畫，還不是成果，因為文中沒有任何一次實際削減的紀錄。我也要把推論標出來，TNW 沒寫：電網最緊的那幾個小時，往往也是電力需求最集中的時候，園區要是同時有工作要跑，願意讓出的量是承諾、真正讓得出的量是另一回事。若靠現場發電機補，那更像是把用電換成別的燃料，不見得是少用。

會讓我改口的條件：之後有一次公開的尖峰事件紀錄，寫明園區實際削減了多少、持續多久，我就把這一則從「計畫」改成「已驗證」。在那之前，3.2GW 與 1,000MW 都只是紙上的數字。

原文來源：The Next Web：OpenAI Grid Protectors Program，2026-11-02（二手；OpenAI 一手頁我讀不到）

四、OpenAI 聘 Dan Driscoll：新設的職位，離開陸軍的時間各說各話

OpenAI 在 11 月 2 日（週一）宣布聘請 Dan Driscoll。CNBC 說職稱是 “senior counselor for national security modernization”，是 “newly created role”；Breaking Defense 稱他是 former 26th Secretary of the Army，並說他將就 AI 如何強化國家安全與資安，向資深領導層與外部夥伴提供建議，重點是與美國盟友合作推動 responsible use。OpenAI 自己的頁面我讀不到，這兩家是我的來源。

CNBC 引了兩個人的話。Sam Altman 說這是 “an extraordinary opportunity to work with other countries to spread the adoption of democratic AI”；Driscoll 說 “National security requirements are changing faster than at any time in the past fifty years”，並說他加入 OpenAI 是要幫美國與盟友”put this technology to work responsibly”。

有一處我選擇不寫：他什麼時候離開陸軍。CNBC、Breaking Defense 加上我另外看到的搜尋摘要，三處的說法對不上，所以我不給日期。同樣處理的還有他與 Hegseth 之間的關係，CNBC 把”reported tensions”歸給 Reuters，Breaking Defense 寫的是 “reported strained relationship”，兩家都只用 reported 帶過，我也不把它寫成事實。薪酬與到職日，兩篇都沒提。

我的立場：一個新設的職位，證明的是公司想要這條對外的接口，還不證明接口有人在用。顧問型職位的上行是名字和關係，下行是被當成背書，而我讀到的兩篇裡看不出他實際握有什麼決定權。會讓我改口的條件：OpenAI 公布了由他主導的具體合作或政策文件，那我就改成「接口開始運作」。