DeFi安全警報(bào)：審計(jì)大神緊急呼吁撤離所有DeFi項(xiàng)目！
“我認(rèn)為所有 DeFi 都已不安全。”
OpenZeppelin 創(chuàng)始人 Manuel Aráoz 昨日在 X 上留下的這句斷言，像一個(gè)深水炸彈，再次沖擊了本就如死水一潭的 DeFi 市場(chǎng)。
Manuel 甚至表示，自己已開始建議親友從各大 DeFi 協(xié)議之內(nèi)撤出資金，包括像 Aave、MakerDAO 和 Compound 這樣的曾被視作低風(fēng)險(xiǎn)的藍(lán)籌協(xié)議。
這并不是來自某個(gè)外行的危言聳聽。恰恰相反，Manuel 本人就是 DeFi 安全體系最核心的建設(shè)者之一，OpenZeppelin 則是行業(yè)最主流的安全審計(jì)公司之一，其合約庫(kù)、安全標(biāo)準(zhǔn)與審計(jì)框架，幾乎滲透了整個(gè) DeFi 世界。
導(dǎo)致 Manuel 態(tài)度徹底轉(zhuǎn)向的原因，在于 AI。Manuel 悲觀認(rèn)為，AI Coding Agent 在識(shí)別與榨取智能合約漏洞的能力正呈現(xiàn)指數(shù)級(jí)增強(qiáng)。
這意味著，過去需要頂級(jí)白帽團(tuán)隊(duì)數(shù)周才能發(fā)現(xiàn)的問題，現(xiàn)在可能被 AI 在幾分鐘內(nèi)掃描出來；過去黑客需要長(zhǎng)期研究協(xié)議邏輯，現(xiàn)在可以直接由 AI 自動(dòng)化分析攻擊路徑；過去 DeFi 的“公開透明”是優(yōu)勢(shì)，現(xiàn)在反而變成了攻擊者最好的訓(xùn)練語料庫(kù)。
Manuel 還提到了一個(gè)更致命的問題，智能合約安全本質(zhì)上是一個(gè)極度不對(duì)稱的游戲 —— 防守方必須修復(fù)所有漏洞，而攻擊方只需要找到一個(gè)，便足以竊取資金。在 AI 開始指數(shù)級(jí)強(qiáng)化攻擊效率之后，這種不對(duì)稱正在迅速失衡。
冰冷的現(xiàn)實(shí)：DeFi 已是黑客提款機(jī)
回看過去幾個(gè)月的 DeFi 安全事故，你會(huì)發(fā)現(xiàn) Manuel 的擔(dān)憂并非夸張。
四月幾乎是 DeFi 歷史上最糟糕的一個(gè)月。
- 4 月 1 日愚人節(jié)當(dāng)天，Drift Protocol 便因管理者權(quán)限劫持和多簽執(zhí)行漏洞失竊 2.8 億美元。
- 隨后在 4 月 19 日，Kelp DAO 因橋接協(xié)議被攻破而失竊 2.92 億美元，黑客后續(xù)借路 Aave 等借貸協(xié)議出逃，致使整個(gè) DeFi 都陷入了壞賬及其連帶影響的陰影。
而進(jìn)入五月之后，事故不僅沒有減少，反而進(jìn)一步擴(kuò)散。
- 5 月 15 日，THORChain 遭遇攻擊，新加入的節(jié)點(diǎn)運(yùn)營(yíng)商利用 GG20 閾值簽名方案（TSS）漏洞，重構(gòu)金庫(kù)私鑰，直接執(zhí)行出站交易，造成了超 1000 萬美元的損失。
- 5 月 18 日，Verus 的橋接協(xié)議遭受攻擊，攻擊者偽造跨鏈導(dǎo)入 payload，繞過驗(yàn)證從以太坊儲(chǔ)備中提取資產(chǎn)，竊走約 1158 萬美元。
- 5 月 19 日，Monad 上的 Echo Protocol 因私鑰泄漏遭攻擊，攻擊者鑄造了 1000 枚 eBTC（價(jià)值 7670 萬美元），并通過此前已測(cè)試過的攻擊路徑經(jīng)由 Curvance 提取資金。
- 5 月 24 日，MiCA 監(jiān)管體系下的合規(guī)穩(wěn)定幣發(fā)行方 StablR 遭遇攻擊，黑客通過增發(fā) EURR 和 USDR 獲利超 280 萬美元，并致使 EURR 與 USDR 發(fā)生脫錨。
- 5 月 25 日，SquidRouter 模塊遭遇攻擊，86 個(gè) Gnosis Safe 錢包因此被盜約 300 萬美元資產(chǎn)。
- 5 月 27 日，StakeDAO 部署者私鑰在 Arbitrum 上遭泄露，攻擊者鑄造了約 5.45 萬億枚 vsdCRV，并部分兌換為 43.7 枚 ETH 出逃。
高頻發(fā)生的安全事件已敲響了警鐘，從鏈上代碼到鏈下管理，DeFi 似乎正在全線失守。
AI 已成為黑客的核武器
為什么 DeFi 攻防在今年夏天突現(xiàn)加速奔潰之勢(shì)？除了傳統(tǒng)的黑客技術(shù)演進(jìn)外，AI 大模型能力的突飛猛進(jìn)，正在成為打破平衡的終極砝碼。
在過去，尋找一個(gè)復(fù)雜的智能合約漏洞（尤其是涉及跨鏈、多層嵌套、或極其隱蔽的重入邏輯）需要頂尖黑客數(shù)周甚至數(shù)月的代碼梳理。然而，隨著具備超長(zhǎng)上下文、強(qiáng)邏輯推理、以及具備自主工具調(diào)用能力的 AI 代理（Agents）的成熟，這一切發(fā)生了質(zhì)變。
- 秒級(jí)掃描與全網(wǎng)“零日漏洞”挖掘： 攻擊者只需將開源代碼庫(kù)喂給新一代 AI 推理模型，AI 就能在幾秒鐘內(nèi)像資深安全專家一樣，推演數(shù)百種極端交互場(chǎng)景，精準(zhǔn)找出人類審計(jì)師在疲憊時(shí)漏掉的邊界條件。
- 自動(dòng)化攻擊腳本生成： AI 不僅能發(fā)現(xiàn)漏洞，更能夠自動(dòng)編寫、測(cè)試并部署用于榨取資金的“黑客智能合約”。
- 鏈下 DevOps 與社工的完美編排： AI 可以偽裝成完美的開發(fā)者進(jìn)行釣魚，或者全天候監(jiān)控 DeFi 團(tuán)隊(duì)的 GitHub 提交記錄。一旦團(tuán)隊(duì)上傳了包含敏感信息或未經(jīng)驗(yàn)證的修復(fù)代碼，AI 將在數(shù)秒內(nèi)發(fā)起攻擊——速度遠(yuǎn)快于人類安全員的響應(yīng)時(shí)間。
在這場(chǎng) AI 加持下安全攻防中的戰(zhàn)爭(zhēng)中，黑客憑借 AI 擁有了近乎無限的子彈和秒級(jí)的攻擊速度，而 DeFi 卻受限于慢節(jié)奏的治理投票、多簽確認(rèn)和滯后的安全審計(jì)，很難給予對(duì)應(yīng)的防御回應(yīng)。
上個(gè)月，Claude 背后的 AI 開發(fā)公司 Anthropic 正式公布了新一代模型 Mythos。這是人類歷史上第一個(gè)總參數(shù)突破十萬億量級(jí)的模型（與之相對(duì)，當(dāng)前市面上的主流模型參數(shù)量都在數(shù)千億到一萬億級(jí)別），訓(xùn)練成本達(dá)到了驚人的 100 億美元。
然而，由于 Mythos 在網(wǎng)絡(luò)安全方面的特化能力（Anthropic 曾披露，該公司在短短幾周時(shí)間內(nèi)使用 Mythos 便識(shí)別出了數(shù)千個(gè)零日漏洞），以至于 Anthropic 甚至不敢直接公開發(fā)布該模型，以防被黑客群體惡意利用，而是計(jì)劃先通過一個(gè)“玻璃之翼”計(jì)劃讓頭部大廠試用排查，提前修補(bǔ)潛在漏洞。
現(xiàn)階段的 DeFi 安全形勢(shì)依然如此嚴(yán)峻，很難想象 Mythos 公開發(fā)布之后，業(yè)界的安全布防將會(huì)遭遇什么樣的新威脅。
最大問題：風(fēng)險(xiǎn)收益比早已失衡
對(duì)于普通的 DeFi 參與者、流動(dòng)性提供者（LP）以及巨鯨而言，現(xiàn)在最重要的問題，是坐下來算一筆賬。
長(zhǎng)期以來，用戶之所以選擇將資金存入 DeFi，追求的是高出傳統(tǒng)金融數(shù)倍的年化收益率。在牛市或流動(dòng)性挖礦瘋狂的時(shí)期，10%、20% 甚至更高的收益足以覆蓋人們對(duì)“潛在技術(shù)風(fēng)險(xiǎn)”的心理預(yù)期。
但在今天，這個(gè)底層邏輯早已被動(dòng)搖甚至顛覆，DeFi 的風(fēng)險(xiǎn)收益比已然失衡。收益端，隨著市場(chǎng)進(jìn)入存量博弈，安全墊增厚，大多數(shù)主流、相對(duì)靠譜的 DeFi 協(xié)議的真實(shí)收益率已經(jīng)回落到個(gè)位數(shù)區(qū)間；風(fēng)險(xiǎn)一端，用戶的本金則暴露在一個(gè)隨時(shí)可能被 AI 攻破、被閃電貸瞬間清空的黑箱中，一旦協(xié)議遭遇黑客攻擊，代幣歸零、資金池被抽干往往發(fā)生在幾分鐘之內(nèi)，且沒有任何法律、保險(xiǎn)或中央銀行能夠承保。
用本金丟失 100% 的風(fēng)險(xiǎn)，去博取差不多 5% 的年化收益，顯然不是一筆劃算的買賣。
Manuel 的話或許有些絕對(duì)，但它撕開了 DeFi 最后的遮羞布。在黑客已將 AI 作為常規(guī)武器，業(yè)界安全事件不斷爆發(fā)的現(xiàn)實(shí)面前，如果你沒有做好為了一定收益而損失 100% 本金的心理預(yù)期，那么“盡快撤資、落袋為安”，或許是當(dāng)前市場(chǎng)周期下最理智、最符合風(fēng)控原則的選擇。
以上就是DeFi安全警報(bào)：審計(jì)大神緊急呼吁撤離所有DeFi項(xiàng)目！的詳細(xì)內(nèi)容，更多關(guān)于一線安全大神搖響警鐘的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！
你可能感興趣的文章
-
DeFi黑客肆虐，機(jī)構(gòu)信心“崩塌”？風(fēng)險(xiǎn)收益咋平衡？
近期DeFi領(lǐng)域黑客事件頻發(fā)，如Kelp DAO跨鏈橋漏洞致2.92億美元損失，Aave等平臺(tái)出現(xiàn)巨額壞賬，引發(fā)市場(chǎng)恐慌和資金外流,此類事件暴露DeFi系統(tǒng)性風(fēng)險(xiǎn)，機(jī)構(gòu)對(duì)DeFi的信任受挫…
2026-05-22 -
歐盟就MiCA穩(wěn)定幣規(guī)則及DeFi漏洞問題啟動(dòng)咨詢程序
歐盟就MiCA穩(wěn)定幣規(guī)則和DeFi漏洞開啟咨詢，旨在完善穩(wěn)定幣監(jiān)管框架，明確非歐元穩(wěn)定幣交易限額及儲(chǔ)備要求，同時(shí)評(píng)估DeFi協(xié)議的豁免標(biāo)準(zhǔn)，防止監(jiān)管套利,此次咨詢將影響穩(wěn)定…
2026-05-20 -
RWA熱潮為何難以惠及DeFi？一文詳解
鏈上代幣化現(xiàn)實(shí)世界資產(chǎn)（RWA）規(guī)模近300億美元，但僅24.7億美元（約9%）真正流入DeFi生態(tài)，二者存在嚴(yán)重割裂,許可型架構(gòu)的合規(guī)限制是最大壁壘，而高適配產(chǎn)品已證明可組合…
2026-05-19 -
年均損耗僅 0.03%,數(shù)據(jù)拆解DeFi借貸的真實(shí)風(fēng)險(xiǎn)
拋開輿論偏見，本文將帶你重新認(rèn)識(shí) DeFi 借貸的安全性,過往風(fēng)險(xiǎn)案例具備參考價(jià)值，但已無法代表如今成熟的 DeFi 生態(tài),畢竟只會(huì)復(fù)盤歷史的人，往往抓不住當(dāng)下機(jī)遇,評(píng)判安全…
2026-05-18 -
30秒讀懂CLARITY法案，盤點(diǎn)7個(gè)DeFi協(xié)議受益項(xiàng)目
CLARITY法案落地在即，穩(wěn)定幣被動(dòng)收益被封禁，機(jī)構(gòu)資金涌入DeFi，Pendle、Morpho等七大協(xié)議受益項(xiàng)目,本文將用30秒讀懂CLARITY法案，并未大家詳細(xì)梳理出的 7個(gè)DeFi協(xié)議主要…
2026-05-16 -
三款新興DeFi應(yīng)用30天內(nèi)向代幣持有者返還1億美元收入
Hyperliquid、EdgeX與Pump.fun三款新興DeFi應(yīng)用在30天內(nèi)向代幣持有者返還近1億美元收入,其中Hyperliquid以5095萬美元領(lǐng)先且零激勵(lì)支出，EdgeX通過儲(chǔ)備金分配2326萬美元，Pu…
2026-05-10 -
DeFi協(xié)議Carrot首當(dāng)其沖，深陷2.85億美元Drift漏洞危機(jī)
DeFi協(xié)議Carrot因?qū)①Y金鎖定在Drift金庫(kù)中，在Drift遭受2.85億美元漏洞攻擊后，直接損失了約50%的鎖定價(jià)值，成為首個(gè)公開確認(rèn)的受害者，其鑄造與贖回功能因此被迫凍結(jié)，凸…
2026-05-01 -
安德烈·克羅尼耶：DeFi已非“真DeFi”，熔斷機(jī)制成開發(fā)者辯論焦點(diǎn)
安德烈·克羅尼耶指出，DeFi因過度中心化操作和復(fù)雜金融工具疊加，已偏離'去中心化'初衷,當(dāng)前開發(fā)者正激烈辯論引入熔斷機(jī)制，通過暫停交易或限制報(bào)價(jià)范圍，以應(yīng)對(duì)極端波動(dòng)…
2026-04-29 -
臨近TGE的MegaETH生態(tài)DeFi掘金指南
MegaETH（MEGA）代幣將于4月30日上線，采用低流通、高FDV發(fā)行模式,其核心價(jià)值驅(qū)動(dòng)源于生態(tài)資金輪動(dòng)、主網(wǎng)空投激勵(lì)以及獨(dú)特的商業(yè)化模式，但面臨解鎖拋壓、宏觀市場(chǎng)疲軟和生…
2026-04-29 -
Unipeg是什么?為何能讓NFT圈和Uniswap圈同時(shí)圍觀?
Unipeg是基于Uniswap v4 hooks的鏈上實(shí)驗(yàn)，每筆swap觸發(fā)鏈上生成獨(dú)角獸SVG，代幣余額整數(shù)部分映射為可展示圖像,文章解析了它區(qū)別于ERC-404的核心機(jī)制、吸引NFT與DeFi雙圈圍…
2026-04-28
