Ekubo Protocol 两条网络遭攻击，损失 140 万美元

去中心化交易所 Ekubo Protocol 在以太坊和 Arbitrum 网络上的兑换路由合约遭到攻击，损失约 140 万美元的封装比特币 (WBTC)。该漏洞源于缺少验证检查，攻击者借此从之前向合约授予过授权的用户账户中提取资金。

此次攻击最初由安全公司 Blockaid 报告，随后得到 Ekubo 团队的证实。官方公告称：“Ekubo Protocol 遭攻击是因为代码中一个简单但代价高昂的错误。”核心问题在于 IPayer.pay 回调函数中“缺少付款人验证”，该函数未能验证参数来源，导致攻击者能够代表用户转移代币。

数据显示，此次攻击通过 85 笔交易共盗取了约 17 枚 WBTC。主要运行在 Starknet 上的 Ekubo 核心协议依然安全。该漏洞仅限于 EVM 兼容链上的特定 V2 和 V3 路由合约，仅影响向这些地址授予过无限代币授权的用户。Starknet 原生协议的流动性提供者和用户未受影响。

此次事件凸显了以太坊 DeFi 领域中代币授权持续存在的风险。虽然授权带来了便利，但如果合约发现漏洞，授予智能合约无限权限可能会使用户面临重大损失。Ekubo 团队正在编制事后分析报告，并提醒用户警惕潜在的退款诈骗，建议通过官方渠道获取更新。

如何保护您的资产

Ekubo 团队敦促所有曾在以太坊或 Arbitrum 上与受影响路由合约进行过交互的用户，立即撤销任何活动权限。这可以通过使用 revoke.cash 等值得信赖的第三方工具来完成。

请撤销对以下特定合约地址的授权：

以太坊：

• 0x8ccb1ffd5c2aa6bd926473425dea4c8c15de60fd (V2)
• 0x4f168f17923435c999f5c8565acab52c2218edf2 (V3)

Arbitrum：

• 0xc93c4ad185ca48d66fefe80f906a67ef859fc47d (V3)

本文仅供参考，不构成投资建议。