作者:ZeroDrift
要点
- DxSale 是损失最严重的案例,攻击者盗走约 730 万美元。
- 问题不在于某一种漏洞,而在于旧合约退役不彻底,仍然保留经济价值和操作权限。
根据 ZeroDrift 于 2026 年 6 月 22 日发布的分析,过去 40 天内,攻击者从五个已被弃用但仍在链上运行的智能合约中盗走约 1690 万美元。
所谓“废弃合约”并不等于“失效合约”。很多合约虽然已经不再由团队主动开发和维护,但仍然部署在链上,可以接收资金、执行交易或移动资产。只要里面仍有资金、授权或可调用入口,它就仍然是攻击目标。
这些事件集中发生在 2026 年 5 月 7 日至 6 月 15 日之间。TrustedVolumes 损失约 587 万美元,Huma Finance V1 池损失约 10.1 万美元,DxSale V1 Locker 损失约 730 万美元,Raydium Legacy AMM 池损失约 134 万美元,Aztec Connect 则在两次连续攻击中损失约 228 万美元。
图:40 天内五起废弃合约相关事件造成的累计损失。来源:ZeroDrift / X。
没人再看的合约,仍然可能掌握资金
DxSale 的案例尤其典型。它的旧版 locker 合约原本用于长期锁定流动性,确保资金不会在约定期限前被取出。但这类系统的风险也正来自它的设计目的:它们本来就要长期保管价值。
随着时间推移,团队注意力转向新产品,监控规则被弱化,维护人员变动,旧权限路径和历史假设逐渐被遗忘。ZeroDrift 指出,DxSale 事件中,一条旧的控制路径重新变得可用,导致本应锁定的流动性被取走。
五起事件并不是同一个漏洞的重复利用。它们发生在不同系统、不同架构和不同链上,涉及 RFQ 结算、信用池、LP locker、AMM 和 rollup exit 等不同组件。
真正相同的是底层状态:这些合约都已经不再是团队的主动开发重点,却仍然在链上保留经济价值。
自动化分析正在放大旧合约风险
旧合约天然适合被自动化工具搜索:代码公开、链上历史完整、监控较弱,而且往往保留过时的安全假设。过去,系统性寻找这些长尾目标需要大量人工成本;现在,代码相似性搜索、交易模拟、链上数据分析和 AI 辅助审查正在降低这类搜索成本。
ZeroDrift 同时强调,目前没有公开证据表明 AI 参与了这五起具体攻击。真正值得关注的是成本结构的变化:攻击者越来越容易系统性扫描“昨天的产品”,而防守方还没有同样系统化地管理“昨天的责任”。
DeFi 安全行业已经形成了较成熟的上线审计流程,但合约退出、迁移和退役仍然缺少同等严格的纪律。一个合约并不会因为团队停止维护就自动安全。只有当资金、权限、授权、入口和信任假设都被移除后,它才算真正退休。
