合約漏洞

ChainCatcher 消息，据 Law360 報導，涉及 Uranium Finance 的加密資產盜竊案已在美國曼哈頓聯邦法院開審。檢方指控，馬里蘭州網絡安全顧問 Jonathan Spalletta 於 2021 年利用該協議智能合約漏洞發動攻擊，其中第二次攻擊從 26 個資金池轉出約 5,330 萬美元，並導致協議停止運營。相關說法為檢方指控，尚非定罪結論。

ChainCatcher 消息，加密支付平台 Rain 表示，其監控系統發現一項漏洞，影響少量使用過時版本 Solana 合約的程序，其他程序未受影響。Rain 隨即展開調查以確定事件範圍。Rain 團隊已成功升級所有使用過時版本 Solana 合約的程序，相關情況已得到解決。Rain 將繼續監控該問題，並已聘請第三方取證專家進行調查，同時將與執法部門和相關監管機構合作。所有受影響用戶將獲得全額補償，Rain 已開始補救流程並致力於迅速、負責任地完成處理。

ChainCatcher 消息，慢霧安全團隊發布警報，一個未驗證合約因選擇器 0x42be3129 暴露不受限制的低級調用漏洞，缺乏訪問控制和目標數據驗證，導致約 16.6 枚 WETH 被盜。攻擊者利用合約現有 ERC20 授權額度，繞過所有者檢查執行未經授權的 transferFrom 操作。

ChainCatcher 消息，Summer.fi 發布 Lazy Summer Protocol USDC 金庫攻擊事件分析報告。攻擊者在單筆原子交易中操縱兩個 USDC 金庫份額價格，提取約 604 萬美元存款人資金。攻擊核心在於金庫資產淨值（NAV）計算方式。攻擊者向一個在 2025 年 11 月事件後被暫停但尚未完全移除的 Silo Ark 捐贈了仍保留舊有估值的代幣，導致金庫總資產虛增約 9.5%，份額價格被抬高，隨後以虛高價格贖回並從金庫真實流動性中提款。報告強調，該攻擊並非合約代碼漏洞，而是金庫下線流程中環節缺失所致------該 Ark 存款上限已被設為零，但仍在活躍資產集中被計入 NAV。攻擊者提前三個月通過多個錢包預謀積累了所需代幣，並將部分獲利通過 Tornado Cash 轉移。事件發生後，Guardian Multisig 已暫停所有鏈上金庫並將存款上限設為零。Lazy Summer DAO 將在未來數日討論受影響用戶補償方案及金庫重啟計劃。

ChainCatcher 消息，Web3 安全公司 GoPlus Security 指出，近期智能合約漏洞攻擊頻發，特別是部署多年歷史悠久的老合約正成為攻擊者重點目標，攻擊者正利用 AI 技術快速發現並利用這些漏洞。近期典型事件包括：6月9日，部署於7年前的Token of Power（TOP）合約在以太坊上被攻擊，損失約150萬美元；5月25日，部署3年的WUSD.fi合約遭攻擊，損失約20萬美元；6月14日與6月18日，Aztec Network連續兩次因2年前部署的老合約被攻擊，總損失超過400萬美元。GoPlus Security 認為，傳統審計方式難以有效覆蓋歷史遺留合約，採用基於 AI 的持續審計（Always-on Audit）服務可能是當前最有效的解決方案，能夠在短時間內對老合約進行安全檢查，在可靠性和成本之間取得平衡。

ChainCatcher 消息，据 GoPlus 分析，穩定幣協議 StablR 在以太坊上多簽合約的安全設置問題（多簽閾值為 1），以及持有者私鑰被竊取，導致 StablR $EURR、$USDR 穩定幣脫鉤 20%，攻擊者已獲利約 280 萬美元。

ChainCatcher 消息，据鏈上分析師 PeckShield 監測，Trading Protocol 旗下金庫 YieldCore-3rd-deal 遭到攻擊，損失約 39.8 萬美元。攻擊原因系合約存在調用者權限校驗缺失漏洞，攻擊者利用該漏洞繞過授權機制，將金庫內資金全部提取。目前相關鏈上交易記錄已被披露。

ChainCatcher 消息，据鏈上安全公司 PeckShield 統計，3 月共發生 20 起主要加密黑客和漏洞事件，造成損失約 5200 萬美元，較 2 月的 2650 萬美元增長約 96%。其中，Resolv Labs 遭攻擊損失逾 2500 萬美元 USDT 錨定穩定幣 USRT，攻擊者利用其 USR 鑄幣合約漏洞，額外鑄造約 8000 萬枚無抵押穩定幣，導致 USR 價格暴跌約 80%，並在 Morpho Blue、Euler、Fluid 等 DeFi 協議中形成系統性壞帳。此外，X 用戶 "Sillytuna" 稱其約 2400 萬美元 Aave 以太坊 USDC（aEthUSDC）在一次涉及綁架與暴力威脅的線下攻擊中被盜，攻擊者隨後通過比特幣、門羅幣及多條 Layer 2 網絡分散轉移資金。

ChainCatcher 消息，針對 BlockSec 監測 Inverse Finance 疑似遭受攻擊損失約 24 萬美元資金，YAM Finance 在 X 平台發文回應表示，此次事件並非 Inverse 合約漏洞，而是與 LlamaLend 機制相關。根據其說明，攻擊者在 LlamaLend 上針對 sDOLA 發起 "捐贈攻擊"，將價格從約 1.188 sDOLA = 1 DOLA 推高至約 1.358 sDOLA = 1 DOLA，隨後清算了幾乎所有以 sDOLA 為抵押、借入 crvUSD 的用戶頭寸，目前尚未完全釐清為何抵押品價值上升反而觸發清算，按常理應使用戶遠離清算線而非更接近。值得注意的是，此次價格異常的 "次級效應" 仍在持續，因此未在 LlamaLend 進行槓桿操作、僅持有 sDOLA 的用戶賬面收益約提升 14%。此外，DOLA 目前在二級市場交易價格較錨定值存在約 1% 的折價，部分社區成員建議借款用戶可考慮在折價階段償還 DOLA 債務。

ChainCatcher 消息，据 The Block 報導，跨鏈流動性協議 CrossCurve（原名 EYWA）確認其跨鏈橋協議"正遭受攻擊"，原因是其智能合約中的一個漏洞被利用，導致約 300 萬美元資金被跨多個網絡竊取。區塊鏈安全機構 Defimon Alerts 發現，此次攻擊的攻擊途徑是 CrossCurve 的 ReceiverAxelar 合約中的網關驗證繞過漏洞。分析顯示，任何人都可以使用偽造的跨鏈消息調用該合約的 expressExecute 函數，從而繞過預期的網關驗證，並觸發協議 PortalV2 合約上的未經授權的代幣解鎖。該協議由 Curve Finance 創始人 Michael Egorov 支持，此前已融資 700 萬美元。

ChainCatcher 消息，据市場消息，數小時前發現一系列針對部署在以太坊、Arbitrum、Base 和 BSC 上的受害合約的可疑交易，這些交易由兩名創建者部署的合約遭受攻擊，總損失超過 1700 萬美元。受害合約並非開源，且似乎存在任意調用功能漏洞。攻擊者濫用現有的代幣授權，執行 transferFrom 操作以盜取資產。受影響部署者：0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112------損失約 367 萬美元；0x9cb8d9BaE84830b7F5F11ee5048c04a80b8514BA------損失約 1,341 萬美元。

ChainCatcher 消息，慢霧在 X 平台發文表示，MistEye 檢測到與 Fusion 相關的潛在可疑活動。根本原因為項目團隊通過 EIP-7702 控制的 EOA 賬戶所委託的基礎合約存在漏洞，該漏洞允許任意外部調用，導致攻擊者能夠為 PlasmaVault 創建並配置惡意熔斷合約，從而從合約中提取資金。

ChainCatcher 消息，根據慢霧區塊鏈不完全統計，全年共發生安全事件 200 起，造成損失約 29.35 億美元。相比 2024 年（410 起，損失約 20.13 億美元），儘管事件數量明顯下降，但損失金額卻同比上升約 46%。從生態分佈來看，Ethereum 仍然是受攻擊最為頻繁、損失最為嚴重的生態，全年損失約 2.54 億美元，占比顯著領先；BSC 緊隨其後，相關損失約為 2193 萬美元；Solana 則位列第三，全年損失約 1745 萬美元。按項目賽道劃分，DeFi 項目是最常遭攻擊的領域：2025 年共發生 126 起安全事件，占全年總數約 63%，造成損失約 6.49 億美元，相較 2024 年（339 起，損失 10.29 億美元）下降約 37%。交易平台事件僅 12 起，卻造成高達 18.09 億美元損失，其中 Bybit 單次即損失約 14.6 億美元，是全年最嚴重事件。從事件的攻擊原因來看，合約漏洞是主要誘因，共 61 起；X 帳號被黑緊隨其後，共 48 起。報告指出，隨著生成式 AI 在過去兩年加速普及，攻擊者也開始將其納入詐騙與攻擊鏈條。與傳統工具相比，AI 在文本、語音合成、圖像與視頻生成上的能力顯著降低了詐騙成本，攻擊不再依賴粗糙的話術或明顯異常的行為，而是通過高度擬真的內容、連貫的互動和精確的對象選擇，使受害者在心理層面更難察覺風險。

ChainCatcher 消息，据 Anthropic 發布的前沿紅隊測試結果，AI 代理在模擬區塊鏈環境中識別出多個智能合約漏洞，潛在可被利用金額達 460 萬美元。測試涵蓋合約分析、命令行工具配置、網絡重建、Exploit 生成與驗證等完整流程，並配套推出智能合約安全評估新基準。該研究由 Anthropic、MATS 項目與 Fellows 計劃聯合完成。

ChainCatcher 消息，据加密分析師 Ai 姨 @ai_9684 xtpa 監測，地址 0xf3d...58db2 於兩小時前惡意增發 50 億枚 GAIN 並迅速拋售，導致幣價閃崩 95%，累計套現約 301 萬美元。該地址創建於 11 小時前，資金來源於 13 小時前從 Tornado 接收 ETH 後經 Symbiosis 跨鏈兌換為 BNB。黑客在 7:04 增發後 22 分鐘開始拋售，持續約 55 分鐘，目前正通過 deBridge 將獲利跨鏈至 Solana、Ethereum、Base 及 Arbitrum 等網絡。分析認為，此次操作更像是利用合約漏洞，而非項目方行為，具體情況有待官方公告確認。

ChainCatcher 消息， Arbitrum 生態模組化交易平台 Kinto 聯合創始人 Ramon Recuero 發文回應昨日的攻擊事件。黑客利用 Arbitrum 上一個可無限鑄造 K 代幣的漏洞，鑄造了 11 萬枚 K 並發起攻擊，試圖耗盡 Morpho Vault 和 Uniswap v4 的流動性池。此次事件共造成約 155 萬美元的 ETH 和 USDC 損失，並引發 K 代幣價格劇烈波動。目前，Kinto 團隊正與相關方合作追蹤被盜資金。官方表示，若成功追回資產或籌集到補償資金，將在 7 月 31 日前根據攻擊前的快照恢復用戶 K 代幣餘額，並按被攻擊前價格重新啟動 CEX 上的交易。

ChainCatcher 消息，Base 生態遊戲項目 Henlo Kart 表示，"已對所有 HENLO 持有者和 LP 頭寸進行快照。在 HENLO 合約中發現了一個漏洞。團隊正在尋找解決方案。Henlo 已撤回所有團隊代幣的 LP。從當前 LP 頭寸中移除的所有流動性都將重新存入新的 LP 頭寸。"Henlo Kart 代幣 HENLO 在過去 24 小時跌逾 96%，市值暫報 10.6 萬美元。HENLO 市值曾在 1 月 14 日達到 9200 萬美元。

ChainCatcher 消息，据 CrowdFund Insider 報導，安永（EY）宣布為其區塊鏈分析器：智能合約與代幣審查（SC&TR）工具推出新的人工智慧功能，旨在通過更廣泛的代碼覆蓋率增強智能合約漏洞檢測，並簡化合約模擬流程，實現更快速、更穩健的智能合約審查。該 AI 功能允許用戶通過自然語言提示和工具的測試引擎自動化並模擬整個合約審查過程，顯著提高效率。這一功能基於大量現有測試和模擬庫進行訓練，可支持審查人員並提高漏洞檢測能力。自動化使客戶能夠在保持相同資源的情況下實現更高的測試覆蓋率，同時將安永團隊的審查時間減少 50%。安永全球區塊鏈負責人 Paul Brody 表示："為了充分發揮智能合約的真正價值，企業首先需要消除測試過程中耗時且容易忽視漏洞的手動流程。我們的區塊鏈分析器展示了區塊鏈和 AI 如何相互補充，實現流程自動化和改進。"

ChainCatcher 消息，1inch 團隊發現其舊版 Fusion v1 解析器智能合約存在漏洞。据慢霧安全團隊分析，此次事件造成約 240 萬 USDC 和 1276 WETH 損失，總計超過 500 萬美元。官方確認此次漏洞不影響終端用戶資金，受損對象僅為使用 Fusion v1 的解析器合約。1inch 目前已採取措施，並正持續跟進安全狀況。