# 智能合约的所有文章

在 HTX 新聞中心流覽與「智能合约」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策，提供權威的加密行業洞察。

万万没想到，AI x Crypto 最先落地的是安全审计

AI正深刻改变加密领域安全审计的格局。数据显示，2026年上半年DeFi领域安全事件频发，累计损失约9.42亿美元，其中第二季度尤为严重。传统观点认为安全审计需求稳定，但以Claude Mythos为代表的新一代AI工具大幅降低了发现智能合约漏洞的门槛，攻击者可快速扫描并利用漏洞，使得传统审计报告的有效期急剧缩短。攻击不再局限于小型协议，即使经过多家知名机构审计的头部协议也频繁遭殃。攻击手段扩展到社会工程学、基础设施配置缺陷等领域，显示代码审计的覆盖范围存在局限。例如，Drift Protocol和KelpDAO均因非代码层面的漏洞导致重大损失。同时，AI也在辅助攻击者挖掘多年前部署的旧合约漏洞，使历史审计的保护价值归零。OpenZeppelin联合创始人甚至公开表示“所有DeFi都不安全”，引发行业广泛讨论。面对挑战，项目方开始基于新标准进行防御性的重复审计，但这更多是应对风险的被动支出。审计机构则加速转型，一方面研发AI辅助审计系统提升效率，如OpenZeppelin推出Skills系统将安全防线前移；另一方面，商业模式正从一次性报告交付转向提供持续监控、形式化验证等嵌入式服务。例如，AI原生审计工具Firepan在已被多重人工审计的Curve合约中发现了新的组合型漏洞，展现了AI在防守端的潜力。总之，AI加剧了攻防两端的竞赛。对于项目方，安全已成为需要持续投入的基础设施；对于审计机构，唯有加快技术和服务模式的重构，才能适应新时代的竞争。安全审计赛道正从红利模式转向激烈的竞争模式。

链捕手06/26 07:12

链捕手06/26 07:12

旧版Polygon版税合约因奖励逻辑漏洞被利用，造成26.1万美元损失

近日，Polygon平台上一个旧的版税合约遭黑客利用，损失约26.12万美元。安全公司TenArmorAlert于6月23日发现了异常交易并追踪到此次攻击。攻击者通过Polygon区块89,018,051上的交易实施了攻击。据分析，漏洞源于合约奖励计算和记账机制存在缺陷。具体而言，被利用合约中的Royal1155LD.beforeLdaTransfer()函数存在问题，攻击者通过发起多笔零值交易，操纵奖励计算和所有权计数，从而虚增代币余额，最终超额提取了资金。此外，攻击者还使用了闪电贷来扩大攻击收益。此次事件再次凸显了陈旧或处于休眠状态的智能合约所面临的安全风险。安全研究人员建议开发团队对旧版本合约进行审计、更新、停用或彻底移除，以降低潜在攻击威胁。Polygon开发团队确认，此次攻击仅针对特定遗留合约，并未危及Polygon主网区块链的安全。

TheNewsCrypto06/24 12:59

TheNewsCrypto06/24 12:59

Uniswap v4 Hook解析：架构设计、常见漏洞与防护实践

Uniswap v4 引入的 Hook 机制允许开发者在流动性池的关键生命周期事件中嵌入自定义逻辑，显著提升了灵活性，但同时也带来了新的安全挑战。本文解析了其核心架构：通过单例 PoolManager 合约集中管理所有池子状态，采用瞬时记账（flash accounting）确保交易结束时账目平衡，并通过 Hook 地址的低位比特编码其回调权限。文章重点指出常见漏洞与防护实践： 1. Hook 的回调函数（如 beforeSwap）缺乏默认的访问控制，开发者需显式添加 onlyPoolManager 等修饰符以防未授权调用。 2. Hook 与池子的绑定不受协议限制，需在 beforeInitialize 中实现白名单或单池绑定逻辑。 3. Async Hook（自定义曲线）完全替代了 AMM 的 swap 逻辑，其安全性完全依赖 Hook 自身实现，需按独立金融合约标准进行审计。 4. Delta 记账机制仅保证账目最终平衡（NonzeroDeltaCount 归零），但不验证业务逻辑的正确性，Hook 可能通过操纵 delta 进行攻击。 5. 权限位必须与函数实现严格匹配，且地址通过 CREATE2 预先计算，升级时无法新增回调类型。最后强调，每个 Hook 构成独立的信任域，其安全审计需覆盖完整的交互链路，项目方和审计方均需升级方法论以应对更复杂的风险。

marsbit06/22 08:05

marsbit06/22 08:05

稳定币终于找到真实收益：链上再保险 Re 详解｜对话 Re 创始人 Karan Saroya

本文介绍了链上再保险平台Re如何为稳定币提供真实收益。Re吸收链上稳定币作为资本，为美国保险公司提供再保险抵押，收取的保费收益返还给存款人，目前承保业务达5亿美元，目标7个月内突破10亿美元。核心机制在于利用监管允许的杠杆：每1美元抵押可支撑5-7美元保费，使底层资本能获得约12%-14%的年化收益。存款人获得凭证代币后，还可通过DeFi协议进行循环质押，进一步提升收益率。 Re通过智能合约极大提升了传统再保险的运营效率，仅用不到12人即可运作，挑战了需万人员工的传统巨头。其架构是“DeFi Mullet”：前端是受监管的再保险公司，后端连接链上资本市场。平台还发行了RE治理代币，参考劳合社模型，让持币者参与关键决策。讨论指出，这为万亿美元级的稳定币资金提供了与加密市场无关的真实收益来源，将链上资本引入了实体经济，标志着DeFi从基础设施建设转向真实需求驱动的阶段。未来，随着更多稳定币上链，链上资本市场或将成为主流。

链捕手06/20 08:54

稳定币终于找到真实收益：链上再保险 Re 详解｜对话 Re 创始人 Karan Saroya

链捕手06/20 08:54

做拼多多的黄峥跟区块链有啥联系

本文探讨了拼多多创始人黄峥与其文章《把资本主义倒过来》中提到的核心理念，以及该理念与区块链技术的潜在联系。文章首先指出，黄峥认为拼多多本质上是一门关于“不确定性”的保险生意。传统模式下，富人通过承担风险（不确定性）获得收益，而穷人则为求“确定性”支付溢价（如购买保险、接受低息），导致财富向上流动。黄峥提出的“反向保险”旨在逆转这一过程，即让普通人将“确定性”（例如确定的购买意愿）卖给资本。难点在于单个消费者的承诺缺乏约束力。拼多多的拼团模式通过聚集大量用户的即时订单，为工厂创造了确定性的需求，从而消除其库存风险，并将因此节省的成本以降价形式返还给消费者，实现价值的部分“倒流”。文章的关键转折点在于，黄峥本人提出疑问：区块链是否天生为这种“反向保险”而生？分析指出，区块链技术，特别是智能合约，恰好能解决“个人承诺不值钱”的核心难题。它可以通过代码和押金机制，将消费者的购买承诺变成具有违约成本、可强制执行的数字契约，从而建立起不依赖中间机构的信任体系，让承诺变得可信、可定价、可交易。最后，文章延伸思考了制造确定性的两种路径：一是拼多多式，依靠聚合规模来平抑不确定性；二是比特币式，依靠不可篡改的算法规则从源头锁定确定性。两者分别以牺牲部分自由与弹性为代价。总之，黄峥的商业思想与区块链在“构建可信承诺”这一点上产生了深刻的共鸣，拼多多的实践可被视为在中心化框架下对类似理念的一次大规模预演。

链捕手06/15 00:08

链捕手06/15 00:08

FinChip与CertiK合作建立AI技能代码资产交易安全审计标准

人工智能基础设施平台FinChip.AI宣布与全球领先的区块链及智能合约安全机构CertiK达成战略合作。此次合作将把CertiK的AI技能安全扫描能力整合进FinChip的技能发布与运营审核流程中，双方将共同为AI技能这一新兴的“代码资产”类别建立安全审计标准，旨在构建一个可信、合规且安全的交易生态系统。随着AI代理和可复用的AI技能进入规模化分发阶段，技能本身的安全性已成为整个生态系统能否获得信任的关键。FinChip作为一个基于区块链和智能合约的AI基础设施，致力于实现AI技能从发布、发现到应用、流通全生命周期的封装、加密与分发。根据合作，FinChip将在其技能发布及审计工作流中嵌入CertiK的安全扫描API，扫描结果、风险评分与风险标签将成为平台审核的重要参考。双方还将推出联合安全认证徽章，展示于通过审核的技能页面，帮助用户和开发者更直观地识别经过专业安全评估的AI技能。 FinChip.AI的孵化投资人Gary Yang表示，在AI代理时代，“能力”变得可复用和可交易，这意味着安全性必须是基础设计。CertiK联合创始人兼CEO蒋濛教授指出，AI技能安全类似于智能合约安全，需要在流通初期就建立标准。双方表示，此次合作将持续整合品牌与技术资源，丰富实际应用场景，并在AI与Web3安全的交叉领域进行更深入的探索。

TheNewsCrypto06/13 08:54

TheNewsCrypto06/13 08:54

Raydium 被盗事件启示：DeFi 新隐患，藏在被人遗忘的旧合约中

Raydium 因旧版 V3 AMM 资金池漏洞被盗约 134 万美元，暴露了 DeFi 领域一个普遍但被忽视的风险：项目已停用的老旧合约（常被称为“僵尸合约”）在链上仍可调用，且因缺乏维护而成为攻击目标。自 2025 年 3 月以来，公开报告显示至少已发生 8 起同类攻击，累计损失约 1080 万美元。若算上相关旧资金池事故，总损失约达 2250 万美元。这类问题的根源并非代码漏洞，而是合约生命周期管理缺失——项目方往往仅在产品层面宣布下线，却未在技术层面彻底关闭调用权限、转移闲置资产或持续监控。当前的安全事故分类多聚焦技术漏洞，导致此类管理问题被掩盖。研究表明，需将“僵尸合约”列为独立风险类别，并将合约下线流程标准化，纳入与代码审计同等重要的安全管控环节。建议的标准化流程包括：转移所有资产、关闭关键功能、撤销权限、更新前端、持续监控、文档化归档及社区公告。若仅文档标注“已停用”而不实质关停，风险将持续存在，最终损失往往由项目金库承担。DeFi 项目的安全不仅关乎当下活跃合约，也系于其历史遗留的“合约坟场”，必须实施全生命周期管理以有效防御。

Foresight News06/13 06:15

Foresight News06/13 06:15

开赛日的链上现场：20亿美元已经押下，链上合约怎么知道谁赢了

世界杯开赛之际，链上预测市场的“世界杯冠军”合约总成交额已突破20亿美元。这些合约如何知晓赛果并完成结算？核心在于“预言机”——连接现实与链上的桥梁。目前主要有两种模式：UMA的“乐观预言机”采用提交结果后留出挑战窗口的机制；Chainlink则通过聚合多个权威数据源实现自动喂价与秒级结算。随着赛事进行，被淘汰球队的合约将“归零”结算，这是链上独特的实时动态。然而，巨额成交背后存在“刷量”争议，有研究估计部分成交量可能并非真实换手。同时，这些合约在美国法律中的身份仍存分歧：它们被监管视为“事件合约”而非传统体育博彩，相关合法性争议持续。开赛后，这台依靠稳定币清算、由去中心化预言机驱动的庞大机器将真正开始运转，其运作机制本身或比最终的冠军归属更值得关注。

marsbit06/12 03:50

marsbit06/12 03:50

公开版Mythos正式上线：解析AI智能合约审计的优势与局限

近日，Anthropic正式推出公开版AI审计工具Mythos（Claude Fable 5）。AI在代码审计领域展现出显著优势，尤其在模式匹配与批量初筛方面效率惊人。例如，在Zcash事件中，研究员借助AI在数小时内发现了一个潜伏四年的人工审计未察觉的严重漏洞。另一个案例中，AI迅速识别出因存储布局冲突导致的“存储槽碰撞”漏洞，该类漏洞因涉及第三方库细节而容易被人工审计忽略。然而，AI审计也存在明显局限。在复现Curve LlamaLend sDOLA等复杂跨协议攻击事件时，Fable 5未能识别其核心风险。这类漏洞依赖于多个协议间的组合与业务逻辑联动，考验对整体经济模型和业务语义的理解，目前仍是AI的短板。综上所述，AI在标准化、细节化的单合约漏洞挖掘中优势突出，能有效补充人工审计的盲点；但在处理复杂的跨协议组合攻击与业务逻辑分析时，仍需依赖安全审计专家的主导。业界正逐步形成“AI辅助筛查+专家深度分析”的协同工作流程，以提升审计的效率和全面性。

marsbit06/11 08:05

marsbit06/11 08:05

霍斯金森声称卡尔达诺可通过解决加密领域的信任问题超越比特币

卡尔达诺创始人查尔斯·霍斯金森在直播中表示，卡尔达诺的目标远不止争夺加密货币市场份额，而是旨在成为全球信任的基础设施层。他认为加密货币的核心价值被误解，其真正使命在于降低全球商业中的信任成本，他估计当前金融体系的审计、合规、托管等中介功能每年产生数千亿美元成本。霍斯金森提出“可验证反身性”概念，即事物自身携带正确性证明，以此替代第三方信任。他将区块链视为这类可验证交易的存储层，而加密货币则是维持去中心化基础设施的经济资源。他阐述了卡尔达诺实现该目标的四大优势：1）依托Ouroboros协议实现更高去中心化；2）扩展UTXO模型保障交易确定性；3）通过Hydra等技术实现特定应用场景扩展；4）采用模块化架构（如Midnight侧链）提升系统稳健性。他也承认治理功能尚待完善，需建立更强的执行与专业化能力。霍斯金森强调，卡尔达诺必须证明其能脱离创始人影响，成为“自愈系统”。若成功构建可验证信任体系，ADA可能成为“全球信任货币”，并最终超越比特币。截至发稿，ADA价格为0.16美元。

bitcoinist06/09 12:01