慢雾报告：未经验证合约漏洞致16.6枚WETH被盗

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

未验证合约漏洞遭利用，窃取16.6 WETH，SlowMist 报告

据区块链安全公司 SlowMist 报告，一个未验证的智能合约中存在漏洞，被利用盗走了约 16.6 个 WETH。这起事件发生在一个未公开的平台上，凸显了去中心化金融（DeFi）生态中未经审计和未经验证的代码所带来的持续风险。

漏洞如何运作

SlowMist 的初步分析显示，受影响的合约缺乏适当的访问控制，且未能验证目标数据。这使得攻击者能够滥用现有的 ERC-20 代币授权，绕过所有者验证流程。本质上，合约信任了本应被过滤的输入，从而导致了未经授权的资金转移。

虽然具体平台尚未公开，但这种方法并不新鲜。过去也曾发生过类似的攻击，目标往往是那些依赖过时或实现不当的权限检查的合约。此次损失的 16.6 个 WETH——按当前价格计算约合 4 万美元——与其他 DeFi 黑客攻击相比数额较小，但它突出了一个持续存在的安全漏洞。

为什么未验证合约是危险信号

在区块链生态系统中，当合约的源代码被公开并与链上字节码匹配时，该合约被视为“已验证”。这使得审计人员和用户能够审查代码中的漏洞。相比之下，未验证的合约仍然不透明，无法评估其安全性。

许多 DeFi 协议仍然使用未经验证的合约，要么是为了保护专有逻辑，要么是由于疏忽。这起事件提醒我们，与这类合约进行交互存在固有风险。建议用户保持谨慎，优先选择那些经过严格安全审计并保持代码透明的平台。

对 DeFi 用户的影响

对于普通用户来说，直接的启示是：在批准任何代币支出之前，务必核实智能合约的安全凭证。在 Etherscan 等浏览器上检查合约是否已验证、查阅审计报告、关注社区讨论，都可以降低遭受类似攻击的风险。

此外，这一事件可能会促使更多协议重新审视其安全实践。DeFi 行业因安全漏洞屡遭批评，类似事件也加剧了外界对更严格标准以及强制验证的呼声。

结论

这起从未验证合约中盗取 16.6 个 WETH 的事件，是 DeFi 安全领域的一个警示案例。虽然财务损失有限，但漏洞模式是众所周知的，也是可以避免的。随着生态系统的成熟，透明度和强大的访问控制对于保护用户资金和建立长期信任仍然至关重要。

常见问题解答

问：什么是未验证合约？答：未验证合约是指其源代码尚未发布并与链上字节码匹配的合约。这意味着其逻辑无法公开审查，增加了隐藏漏洞的风险。

问：用户如何保护自己免受类似攻击？答：用户应仅与在区块浏览器上已验证、经过专业审计且拥有透明开发团队的合约进行交互。此外，撤销未使用的代币授权可以限制潜在损失。

问：被盗的 WETH 能否追回？答：能否追回取决于多种因素，包括攻击者的行为以及执法部门的介入。在多数 DeFi 攻击中，资金往往无法追回，不过有些协议曾与黑客协商或通过赏金计划来收回资产。