在过去的一周（2026/05/11 - 2026/05/17）中，BlockSec 在多个区块链生态系统中发现了多起攻击事件。下表列出了 3 起重大事件，估计总损失约为 472 万美元。
| 日期 | 事件 | 类型 | 估计损失 |
|---|---|---|---|
| 2026/05/12 | Transit Finance 事件 | 任意调用 | ~188 万美元 |
| 2026/05/12 | TAC 事件 | 不当验证 | ~280 万美元 |
| 2026/05/13 | Boost Hook 事件 | 业务逻辑缺陷 | ~4.675 万美元 |
我们选取了三起事件进行深入分析：
- Transit Finance：一个自 2022 年起据报已被弃用的旧版跨链桥合约，通过任意 calldata 转发被利用，导致从未撤销
USDT授权的用户资金被窃取。 - TAC：本周损失最大（约 280 万美元），在 TON 侧 jetton 存款流程中缺失了规范钱包验证，导致攻击者能够通过虚假的存款通知触发 TAC EVM 侧的跨链铸币。
- Boost Hook：一个基于 Uniswap V4 hook 的永续协议，因现货价格操纵被利用，凸显了使用
slot0价格作为杠杆头寸入场价的风险。
Web3 最佳安全审计机构
在上线前验证设计、代码和业务逻辑
每周重点：Transit Finance
之所以强调本次事件，是因为它展现了一种持续存在的风险模式：被弃用的智能合约留存了代币授权。即使协议认为合约已作废，那些从未撤销授权的用户依然面临无限期的风险，这使得遗留基础设施成为了潜在的攻击面。
2026 年 5 月 12 日，跨链兑换与桥接聚合协议 Transit Finance 在 TRON 上遭到攻击，损失约 188 万美元 [1]。攻击者利用了一个旧版 TransitMixSwapBridge 合约中的任意 calldata 执行路径，针对此前曾向 Transit 授权合约授予无限 USDT 权限的用户，执行了 USDT.transferFrom() 调用。尽管该受影响合约据报自 2022 年起就已被弃用，但这些授权关系依然处于激活且可被利用的状态。
背景
Transit Finance 是一款跨链兑换和桥接聚合协议，支持用户在包括 TRON 在内的多个区块链之间转换和转移资产。此前，该协议在 TRON 上的部署包含一个 TransitMixSwapBridge 合约，通过内部代理和授权管道来引导兑换和桥接执行。
漏洞分析
存在缺陷的 TransitMixSwapBridge 合约 (TUfPjK...Ukbc4) 暴露了任意 calldata 转发功能：攻击者可控的 calldata 可以在未经充分验证的情况下，通过 Transit 的内部执行链进行传播。这使得攻击者能够构造载荷，最终通过 Transit 的授权合约 (TransitApproveGovernanceTron) 触发 USDT.transferFrom() 调用，该合约中依然持有用户曾授予的无限额度。
核心缺陷在于，执行路径对转发调用的目标地址或 calldata 没有任何限制，从而允许在授权合约的权限下执行任意外部调用。
攻击分析
以下分析基于交易 3a981b83...ce918ac2。
-
第 1 步：攻击者使用构造的 calldata 调用
TransitMixSwapBridge合约。这些 calldata 通过 Transit 的代理和桥接执行管道被转发到授权合约。 -
第 2 步：Transit 的授权合约 (
TransitApproveGovernanceTron) 执行了由攻击者控制的USDT.transferFrom()调用。由于用户此前曾授予该合约无限的USDT额度，因此调用成功。 -
第 3 步：
USDT直接从受害者钱包转移到攻击者控制的地址，总计约 188 万美元。
结论
此次事件是由旧版 TransitMixSwapBridge 合约中的任意 calldata 执行漏洞，结合持续存在的无限代币授权所共同导致的。虽然合约据报自 2022 年起弃用，但授权关系仍处于激活且可利用状态。主要教训包括：(1) 应彻底停用弃用合约，包括撤销其持有的任何授权权限；(2) 任意 calldata 转发路径必须校验目标地址和函数选择器；(3) 用户应定期审查并撤销不必要的代币授权，特别是针对已弃用的协议。
参考资料
本周更多事件
TAC
2026 年 5 月 12 日，作为扩展 TON 生态、提供 EVM 兼容执行环境的桥接协议 TAC 遭到攻击，损失约 280 万美元 [1]。根本原因是 TON 侧 jetton 存款流程中缺失了规范钱包（canonical wallet）验证：TAC JettonProxy 接受了来自非规范 jetton 钱包的 JettonNotify，而未验证发送方是否为官方 jetton master 所派生的规范钱包。这使攻击者能够提交虚假存款通知，进而触发有效的跨链消息，在 TAC EVM 上铸造映射资产。
背景
TON 原生不支持 EVM，限制了对以太坊风格 DeFi 应用的直接访问。TAC 通过提供一座桥梁来扩展 TON，允许在 TON 上发起的资产和消息在 EVM 兼容环境中处理。在这种设计中，TON 侧的代币存款被转换为跨链消息，并作为映射资产在 TAC EVM 上铸造。
漏洞分析
存在缺陷的 TAC JettonProxy 合约部署在 EQAChA...xMdw。
漏洞在于 TON 侧代币进入路径中缺失了规范钱包验证。TAC JettonProxy 接受 JettonNotify 消息时并未验证 msg.sender 是否为官方 jetton master 针对所声明所有者派生的规范钱包。因此，非规范钱包可以发送虚假的 JettonNotify，并被视为合法存款处理，进而触发有效的 TVM 到 EVM 的跨链消息。
攻击分析
以下分析基于交易 549807fd...3757e1 和 0x0942a5...0dad224d。
- 第 1 步：攻击者部署了一个类似钱包的合约，并使用它向
TAC JettonProxy发送JettonNotify。该载荷声称进行了代币转移，并包含了一个含有跨链执行数据的forward_payload。
- 第 2 步：
TAC JettonProxy接受了该通知，并向 TAC CCL 发送了下游跨链消息。发送钱包并非官方USD₮(TON 上的 USDT) master 针对相关所有者派生的规范钱包，但该通知仍被当作合法存款流处理。
- 第 3 步：TAC EVM 处理了该桥接消息并铸造了映射资产，包括约 217 万个映射
USD₮，完成了攻击路径。
结论
此次事件是由 TAC 在 TON 侧 jetton 存款流程中缺失规范钱包验证所导致的。一个非官方来源的钱包成功提交了虚假 JettonNotify，桥接协议将其误认为合法存款并转换为了 TAC EVM 上的有效跨链铸币。一个稳健的修复方案应确保 TON 侧桥接协议将发送方地址与官方 jetton master 针对所声明所属者和资产派生的规范钱包进行比对验证。
参考资料
- [1] TAC Build 事件后声明
Boost Hook
2026 年 5 月 13 日，部署在 Uniswap V4 池与 hook 之上的永续协议 Boost 在以太坊上遭到攻击，损失约 4.675 万美元。根本原因是现货价格操纵：BoostHook 在开设杠杆头寸时直接使用 V4 池的 slot0 sqrtPriceX96 作为入场价，攻击者通过在单笔交易内操纵价格，迫使协议以被操纵的高价使用其自身的 ETH 储备购买 PERP 代币。
背景
Boost 是一个构建在单一 Uniswap V4 ETH/PERP 池上的永续协议，配有自定义 hook (BoostHook)。PERP 是一种固定供应量的 ERC-20 代币（总量 100 万），Boost 作为池的唯一流动性提供者，将其所有 PERP 作为初始价格上方的集中流动性带进行注入。
杠杆通过针对同一池的市场兑换实现。当用户调用 openLong() 时，BoostHook 通过从其自身的上限带中提取额外 ETH 作为借入额来补充用户的抵押品，然后将全头寸规模兑换为 PERP。PERP 留存在 BoostHook 的余额中，用户则收到一份内部 Position 记录。平仓或清算时会反向操作兑换、偿还债务并返还剩余部分。
漏洞分析
存在缺陷的 BoostHook 合约部署在 0x3db1...d7eacc。
根本原因是 BoostHook 在开仓时直接读取池的 slot0 sqrtPriceX96（即现货价格）作为入场价。由于 slot0 反映了池的实时状态，它可以在单笔交易内通过大额兑换进行操纵。没有任何检查强制要求入场价必须在抗操纵范围内（例如基于 TWAP）。
攻击分析
以下分析基于交易 0xb45cc4...cebd3811。
-
第 1 步：攻击者从 Morpho Blue 借入
WETH闪电贷并解封为ETH，为操纵往返动作提供初期资金。 -
第 2 步：攻击者通过 Sat1SwapRouter 将大量
ETH兑换为PERP，推高池的现货价格。随后，攻击者持有了以泵价前价格购买的巨大PERP头寸。
- 第 3 步：攻击者多次调用
openLong()并开启 5 倍杠杆。在每次调用中，攻击者存入少量保证金（如 2ETH），BoostHook从其自身的带区借入 4 倍于此的金额，然后以被操纵的现货价格全仓买入PERP。每一次后续的开仓都将现货价格推得更高，且大部分购买压力直接来自协议自身的ETH。
- 第 4 步：攻击者将第 2 步获取的
PERP兑现回ETH。由于现货价格在原始诱多和第 3 步协议资助的开仓推高下显著上涨，因此卖出价远高于买入价。低买高卖之间的差价即为利润。
-
第 5 步：在抛售的
afterSwap回调中，_scanAndLiquidate被触发，开始将第 3 步的头寸作为坏账针对协议进行清算。这对攻击者的利润没有影响，因为第 4 步的回款结算已经完成。 -
第 6 步：攻击者将累计获得的
ETH封装回WETH，偿还闪电贷，并将剩余的ETH作为利润收入囊中。
结论
此次事件是由现货价格操纵所致：BoostHook 直接使用 V4 池的现货价格作为杠杆开仓的入场价，使得攻击者能够在单笔交易内拉升价格，并迫使协议以最高位使用其自身的 ETH 储备购买 PERP。修复方案应使用抗操纵的参考价格（例如 TWAP）来约束 _swapEthForToken，而不是信任实时的 slot0 值。
关于 BlockSec
BlockSec 是全栈区块链安全与加密合规服务商。我们打造的产品与服务，助力客户在协议与平台的全生命周期内，进行代码审计（涵盖智能合约、区块链及钱包）、实时拦截攻击、分析事件、追踪非法资金，并满足 AML/CFT 合规义务。
BlockSec 已在知名顶级会议上发表多篇区块链安全论文，报告了多起 DeFi 应用零日攻击，多次拦截黑客攻击并救回逾 2000 万美元资金，保障了数十亿加密资产的安全。
-
官方 Twitter 账户：https://twitter.com/BlockSecTeam
-
🔗 BlockSec 审计服务 : 提交申请
