# 漏洞利用的所有文章

在 HTX 新闻中心浏览与「漏洞利用」相关的最新资讯与深度分析。潘盖市场趋势、项目动态、技术进展及监管政策，提供权威的加密行业洞察。

合约审计过关，温度计没有：Polymarket的「物理漏洞」时刻

一名攻击者通过物理手段篡改巴黎戴高乐机场的温度传感器，从而在预测市场Polymarket上获利。该人员分别在4月6日和15日夜间使用吹风机人为升高温度读数，并提前押注对应的高温区间，以几十美元本金赚取约3.4万美元。法国气象局发现传感器遭人为干扰后已提起刑事诉讼，最高可判7年监禁。 Polymarket未公开回应事件，仅将数据源更换至另一无防护的机场传感器，原有获利未被撤销。此前Polymarket多次发生市场操纵事件，但本次攻击成本极低，仅需一把吹风机和对结算机制的了解。文章指出，尽管智能合约经过审计，但依赖物理传感器作为数据源存在根本脆弱性——当温度计成为金融结算终端，却缺乏相应的物理保护。

marsbit04/23 04:39

合约审计过关，温度计没有：Polymarket的「物理漏洞」时刻

marsbit04/23 04:39

AAVE中枪后，逆势吸金13亿美元的Spark做对了什么？

当Aave因Kelp DAO和LayzerZero的跨链漏洞事件遭遇rsETH“有毒”资产冲击，产生约2亿美元坏账并引发大规模流动性挤兑（3天半内外流151亿美元）时，同赛道的借贷协议Spark却逆势吸金13亿美元，总锁仓价值（TVL）增至47.4亿美元，甚至出现ETH存款利率飙升至130%的情况。 Spark的成功可归因于三点核心策略： 1. **前瞻性风控决策**：在事件发生前3个月，Spark主动下架rsETH，避免风险扩散。该决策基于成本收益分析、风险集中度评估和用户迁移意愿，而非盲目追求TVL增长。 2. **多层防御机制**：通过速率限制（限制单次存借款规模）、高利率缓冲（强制去杠杆并吸引流动性）及隔离架构（高风险资产独立池），有效控制风险敞口。 3. **生态流动性支持**：背靠Synthetix生态的USDS储备，提供稳定币流动性后备，确保取款通道畅通。 此次事件凸显DeFi领域风险定价的重要性，Spark以“安全优先”的审慎策略赢得市场信任，而Aave的激进资本效率追求则暴露其脆弱性。资金从Aave向Spark的迁移，标志着市场偏好正从高收益转向安全稳定。

marsbit04/22 11:51

AAVE中枪后，逆势吸金13亿美元的Spark做对了什么？

marsbit04/22 11:51

Cardano创始人警告：KelpDAO遭黑客攻击暴露以太坊最薄弱环节

卡尔达诺创始人查尔斯·霍斯金森在直播中指出，KelpDAO遭遇的2.92亿美元漏洞事件暴露了以太坊生态的系统性风险。他强调，此次攻击并非简单的智能合约漏洞，而是源于跨链消息伪造和验证层设计缺陷——KelpDAO采用的单验证节点配置形成单点故障。攻击者通过伪造跨链消息盗取11.65万枚rsETH后，进一步将赃物作为抵押品在借贷协议中制造坏账传染，引发连锁流动性危机，导致AAVE等9个协议损失超66亿美元，并造成130亿美元TVL迅速撤离。霍斯金森认为，事件凸显了跨链桥信任假设、验证机制及DeFi协议间耦合度的根本性问题，呼吁行业重新审视底层安全架构。

bitcoinist04/22 06:32

Cardano创始人警告：KelpDAO遭黑客攻击暴露以太坊最薄弱环节

bitcoinist04/22 06:32

Arbitrum冻结与Kelp黑客攻击相关的7100万美元ETH，引发去中心化辩论

Arbitrum 以太坊二层网络于周一冻结了与 Kelp 协议漏洞相关的 3 万多枚以太坊（约合 7120 万美元）。该行动由 Arbitrum 社区选出的 12 人安全委员会执行，资金已被转移至冻结地址，仅可通过治理投票解冻。此前，Kelp 的跨链桥遭黑客攻击，损失至少 2.93 亿美元，并被指与朝鲜有关。攻击者利用盗取的代币在 Aave 上进行借贷，引发坏账危机。此次冻结行为引发社区对去中心化原则的争议，部分用户质疑其违背区块链抗审查初衷，而委员会成员则强调决定经过多角度充分辩论，最终以 9 票通过冻结。

TheNewsCrypto04/21 09:05

Arbitrum冻结与Kelp黑客攻击相关的7100万美元ETH，引发去中心化辩论

TheNewsCrypto04/21 09:05

LayerZero就KelpDAO 2.9亿美元加密漏洞事件打破沉默

跨链协议LayerZero就KelpDAO遭遇的2.9亿美元rsETH漏洞事件发表声明，称此次攻击并非协议本身缺陷，而是由于KelpDAO采用单DVN（去中心化验证节点）配置所致。LayerZero强调事件完全孤立于KelpDAO的特定配置，不存在对其他资产或应用的传染风险。 初步调查指向朝鲜黑客组织“Lazarus”通过攻击下游RPC基础设施，篡改节点数据并实施RPC欺骗攻击。由于LayerZero采用最小权限原则，攻击者未能直接入侵DVN实例，但通过恶意节点伪造信息传递至DVN。 LayerZero指出，若KelpDAO采用其推荐的多DVN冗余验证模型，此次攻击即可避免。目前LayerZero已恢复DVN服务，禁用受影响节点，并停止为单DVN配置应用签署消息。Aave平台已冻结相关市场的rsETH和WETH交易，并表示以太坊主网上的rsETH资产仍完全足额抵押。 截至发稿，加密货币总市值维持在2.5万亿美元水平。

bitcoinist04/20 15:01

LayerZero就KelpDAO 2.9亿美元加密漏洞事件打破沉默

bitcoinist04/20 15:01

2.9亿美元窟窿下的三方博弈：Aave、L0、Kelp谁该买单？

Kelp DAO 的 rsETH 桥接合约遭盗用，造成约 2.9 亿美元损失，事件涉及 Kelp DAO、LayerZero 和 Aave 三方责任认定及赔偿问题陷入僵局。 直接原因是 Kelp DAO 采用 1/1 的 DVN 配置，存在单点故障，LayerZero 作为底层协议未限制高风险设置，Aave 则因过度授权 LRT 资产借贷权限而间接担责。 目前 Kelp DAO 无力承担巨额赔偿，而 LayerZero 和 Aave 均强调自身无漏洞，不愿单独买单。Aave 主张主网 rsETH 有足额抵押，应优先保障主网用户，但此方案可能牺牲 Layer2 用户权益，LayerZero 难以接受。 潜在解决方案包括全体持币者共担损失、放弃 Layer2 映射代币价值或与黑客谈判返还资金，但均存在缺陷。行业人士建议 LayerZero 出资大头以维护生态，Aave 适度兜底，避免引发更广泛的 DeFi 危机。 时间紧迫，LayerZero 面临合作流失风险，Aave 资金池使用率已达100%，若 ETH 价格下跌可能导致坏账扩大，亟需三方尽快达成共识。

Odaily星球日报04/20 08:52

2.9亿美元窟窿下的三方博弈：Aave、L0、Kelp谁该买单？

Odaily星球日报04/20 08:52

Kelp DAO 遭遇 2.92 亿美元 rsETH 漏洞利用 – 详情

摘要：Kelp DAO遭遇重大跨链漏洞攻击，损失约11.65万枚rsETH（价值2.92亿美元）。攻击通过LayerZero的EndpointV2跨链通信漏洞实施，资金被转入攻击者控制的钱包。区块链调查人员ZachXBT率先发现该事件，并指出攻击资金源头通过Tornado Cash混淆。 Kelp DAO已暂停所有主网及L2网络的rsETH合约，并与LayerZero、Unichain及安全审计方联合调查。攻击者曾尝试额外盗取4万枚rsETH（约1亿美元），但被及时拦截。 受事件影响，Aave已冻结其V3和V4版本的rsETH市场作为预防措施，强调自身合约未受攻击。rsETH作为流动性再质押代币，此次损失约占流通供应量的18%，严重冲击流动性和用户信心。

bitcoinist04/19 22:32

Kelp DAO 遭遇 2.92 亿美元 rsETH 漏洞利用 – 详情

bitcoinist04/19 22:32

DeFi再次被盗2.92亿美元，这下连Aave都不安全了？

北京时间4月19日，DeFi流动性质押协议Kelp DAO遭遇黑客攻击，损失约11.65万枚rsETH，价值高达2.92亿美元。攻击者通过LayerZero的跨链桥接合约漏洞实施盗取，初步分析显示攻击原因可能为“源链私钥被攻破”。 黑客随后将盗取的rsETH存入Aave、Compound、Euler等借贷协议作为抵押，借出流动性更强的wETH，债务总额超过2.36亿美元，其中Aave平台债务达1.96亿美元。Aave团队紧急冻结rsETH市场，并表示若因此产生坏账，将探索弥补方案。其安全模块Umbrella目前约有5000万美元资金可用于应对潜在损失，但具体坏账规模尚不明确。 受事件影响，AAVE代币短时下跌近10%。这是本月继Solana生态Drift Protocol被盗2.8亿美元后的又一起重大安全事件，引发市场对DeFi安全性的进一步担忧。专家建议用户谨慎存放链上资产，并做好仓位分散。

marsbit04/18 23:31

DeFi再次被盗2.92亿美元，这下连Aave都不安全了？

marsbit04/18 23:31

DeFi再次被盗2.92亿美元，这下连Aave都不安全了？

4月19日，DeFi流动性质押协议Kelp DAO遭遇黑客攻击，损失约11.65万枚rsETH，价值达2.92亿美元。攻击者通过LayerZero桥接合约漏洞实施盗取，初步分析为“源链私钥被攻破”。黑客随后将盗取的rsETH存入Aave、Compound等借贷协议，抵押借出大量WETH，造成潜在坏账风险，其中Aave平台债务高达1.96亿美元。Aave已冻结相关市场并启动安全模块应对，但坏账规模尚不明确。此次事件是本月初Drift Protocol被盗2.8亿美元后，又一起重大安全事件，引发市场对DeFi安全性的担忧。AAVE代币短时下跌近10%。建议用户谨慎管理链上资产，分散风险。

Odaily星球日报04/18 23:24

DeFi再次被盗2.92亿美元，这下连Aave都不安全了？

Odaily星球日报04/18 23:24

10 亿枚 DOT 凭空铸造，黑客却只赚了 23 万美元

北京时间4月13日上午，以太坊网络上的Polkadot桥接资产出现异常增发。攻击者利用Hyperbridge的ISMP协议漏洞，通过重放历史有效的MMR证明，成功绕过验证机制，将以太坊上wrapped DOT合约的管理和铸币权转移至自己控制的地址，并凭空铸造了10亿枚桥接DOT，数量相当于当时流通量的2805倍。 随后，攻击者通过去中心化交易所将大量代币兑换为约108.2枚ETH，获利约23.7万美元。由于该代币流动性极低，巨额抛售导致其价格暴跌99.98%，因此实际损失远低于理论值。此次事件还影响了市场情绪，原生DOT价格一度下跌近5%。 Polkadot官方表示，漏洞仅影响通过Hyperbridge跨链的DOT，原生DOT及其他桥接资产未受影响。Hyperbridge目前已暂停运行并进行调查。此次事件是2026年DeFi安全形势严峻的又一案例，也再次暴露跨链桥在实现层面的潜在风险。

marsbit04/13 10:10

10 亿枚 DOT 凭空铸造，黑客却只赚了 23 万美元

marsbit04/13 10:10

活动图片

热门分类right-arrow

热门标签right-arrow

行业资讯

深度研究