Web3 安全週報：2026年 2月 23日 – 3月 1日

在過去的一週（2026/02/23 - 2026/03/01）中，BlockSec 檢測並分析了七起攻擊事件，估計總損失約為 1300 萬美元。下表總結了這些事件，後續章節提供了每個案例的詳細分析。

1. LAXO 事件

簡要總結

2026 年 2 月 22 日，BNB Smart Chain 上的 ERC20 代幣 LAXO 遭到攻擊，導致 LAXO-USDT 交易對損失約 137,320 美元。根本原因是當 LAXO 被直接轉移到 PancakeSwap 交易對時，會觸發一個有缺陷的銷毀機制。由於路由（router）已列入白名單且不會在 transfer() 中觸發銷毀邏輯，攻擊者繞過了該限制：他們將 LAXO 發送到交易對，然後調用了交易對的底層 swap() 函數，這會銷毀交易對代幣並調用 sync()，從而推高價格。隨後，攻擊者將代幣換回 USDT 以獲取利潤。

背景

LAXO 代幣實現了一種銷毀機制。當轉賬的接收者是 USDT–LAXO PancakeSwap 交易對地址時，代幣將其視為賣出：它會從交易對中銷毀相應數量的代幣，然後調用 sync() 來更新交易對的儲備。

此外，LAXO 代幣實現了一個白名單 (_isExcludedFromFee)，用於豁免某些地址（例如交換路由）的銷毀機制和費用。

漏洞分析

事件的根本原因是 LAXO 代幣中存在缺陷的銷毀機制。具體來說，直接將 LAXO 轉移到交易對會觸發銷毀，從池中移除 LAXO 並推高其價格。因此，攻擊者可以利用這一點通過價格操縱攻擊實現獲利。

攻擊分析

攻擊分析基於交易 0xd58f3ef6...d98ac7d3。

1. 攻擊者從 PancakeSwap V3 閃電貸借入了 350,000e18 USDT。

2. 攻擊者通過 PancakeSwap Router 將 USDT 換成 LAXO。為了繞過交易限制 (buyEnabled = false) 和費用邏輯，攻擊者創建了一個 BNB–LAXO V2 交易對並通過它進行交易。

3. 攻擊者將所有持有的 LAXO 直接轉移到 USDT–LAXO 交易對。這減少了池中的 LAXO 儲備，而 USDT 儲備幾乎不變，從而顯著提高了 USDT–LAXO 交易對中 LAXO 的價格。

4. 攻擊者根據操縱後的價格將 burnAmount 的 LAXO 換成了約 487,500e18 USDT。

5. 攻擊者償還了閃電貸，並保留了剩餘的 USDT 作為利潤。

結論

該事件的根本原因是 LAXO 有缺陷的銷毀機制，允許攻擊者通過價格操縱攻擊從資金池中耗盡 USDT。因此，該事件總共造成了約 13.73 萬美元的損失。為了減輕此類問題，項目方必須對其銷毀機制進行全面測試，以避免潛在的價格操縱攻擊。

2. YieldBloxDAO 事件

簡要總結

2026 年 2 月 22 日，YieldBlox DAO 在 Stellar 的 Blend V2 上運營的一個借貸池遭到攻擊，損失超過 1000 萬美元 [1]。該事件是由池運營商（YieldBlox DAO）的配置錯誤引起的，而非智能合約漏洞。

具體而言，攻擊者操縱了 SDEX 上的 USTRY/USDC 市場。該池配置的 Reflector 預言機路徑接受了被操縱的價格，這使得 USTRY 作為抵押品被高估，從而使攻擊者能夠耗盡池中的資產，包括 USDC 和 XLM。

背景

在 Stellar 區塊鏈上，Blend V2 是一種流動性協議，允許用戶創建隔離的借貸池。這些池促進了支持資產之間的用戶借貸。具體來說，本事件中的受害者池允許用戶使用 USTRY 作為抵押品來借入 XLM 和 USDC。此外，池創建者在創建時指定了 Reflector 預言機 [2] 作為預言機提供商。Reflector 預言機提供的 USTRY 價格每五分鐘根據 Stellar DEX（即 SDEX）上的 USTRY/USDC 市場更新一次 [3]。

漏洞分析

根本原因是 SDEX 不流動的 USTRY/USDC 市場中的價格操縱，這導致了 Reflector 預言機上 USTRY 價格的脆弱更新。具體來說，由於 USTRY/USDC 市場的流動性極其淺薄，攻擊者能夠消耗掉正常訂單並掛出異常訂單，將 USTRY 價格推高了 100 倍。此被推高的 USTRY 價格隨後傳播到 Reflector 預言機，使得攻擊者能夠通過抵押被高估的 USTRY 從受害者池中借走所有資產（即 XLM 和 USDC）。

攻擊分析

1. (Tx 1, 2) 攻擊者操縱了 SDEX 上的 USTRY 價格，使其從 1.06 美元 飆升至約 107 美元。由於 SDEX 上的 USTRY/USDC 市場極其淺薄，攻擊者消耗了所有正常訂單並掛出異常訂單，劇烈推高了市場價格。

2. (Tx 3) Reflector 預言機從 SDEX 拉取了被操縱的價格，並相應地更新了其價格源。

3. (Tx 4, 5) 攻擊者通過抵押 12,881e7 USTRY 借入了 1,000,196e7 USDC。
4. (Tx 6, 7) 攻擊者通過抵押 14,987,610e7 USTRY 借入了 6,124,927,810e7 XLM。

5. (Txs 8, 9, 10) 最後，攻擊者將耗盡的資產跨鏈轉移到了多條鏈，包括 Base、BSC 和 Ethereum。

下表總結了關鍵的漏洞利用交易及相關地址。

結論

儘管 YieldBloxDAO 事件造成了重大損失，但根本問題並不複雜：這種抵押品估價依賴於易受操縱的價格。該事件提醒我們，借貸協議對於價格源的依賴必須經過謹慎的選擇與監控。

參考文獻

[1] https://blocksec.com/blog/yieldblox-dao-incident-on-stellar-oracle-misconfiguration-enabled-a-10m-drain

[2] https://reflector.network/

[3] USTRY/USDC 市場於 SDEX

3. STO 事件

簡要總結

2026 年 2 月 23 日，BNB Smart Chain 上 PancakeSwap 的 STO-WBNB 池被耗盡，導致約 1.61 萬美元的損失。根本原因是 STO 代幣中存在缺陷的銷毀機制。具體來說，當用戶在池中賣出 STO 代幣時，會觸發銷毀機制，從池中銷毀 STO 代幣並推高代幣價格。因此，攻擊者利用此漏洞耗盡了池中的 WBNB 代幣。

背景

STO 代幣引入了一種針對 PancakeSwap V2 池的銷毀機制。該機制僅在 STO 代幣的賣出功能啟用（即 sellEnabled == true）且 pendingBurnFromSell > 0 時觸發。當用戶賣出 STO 代幣時，該機制會銷毀池中的 STO 代幣。具體而言，在銷毀過程中，會銷毀上一筆交易中賣出 STO 代幣數量的 94%。

漏洞分析

該事件的根本原因是 STO 代幣中的缺陷銷毀機制。具體來說，當用戶賣出 STO 代幣時，銷毀機制會從池中移除去除一定量的 STO 代幣，同時調用配對合約的 sync() 函數來更新儲備。這種銷毀機制會推高池中 STO 代幣的價格。因此，攻擊者可以通過執行價格操縱攻擊從該機制中獲利。

攻擊分析

以下分析基於交易 0x8ba17bea...5a54020c。

1. 攻擊者通過閃電貸借入了 360,894e18 WBNB。

2. 攻擊者調用 initializeLiquidity() 函數以啟用 STO 代幣的買賣功能。

3. 攻擊者將 360,894e18 WBNB 換成 7,848,832e18 STO。

4. 攻擊者調用 transfer() 函數，觸發了銷毀機制以操縱交易對的儲備（即提高了 STO 代幣的價格），同時將下一筆交易中要銷毀的 STO 代幣數量設置為 173,391e18。

5. 攻擊者調用 swap() 函數將 STO 換成 WBNB。此步驟允許攻擊者根據被操縱的價格獲利。

6. 攻擊者重複步驟 4 和 5 以耗盡池中的 WBNB。

7. 攻擊者償還了閃電貸並獲得了 26e18 WBNB 的利潤。

結論

該事件的根本原因是 STO 有缺陷的銷毀機制，允許攻擊者從資金池中耗盡 WBNB。為了減輕此類問題，項目方必須在系統中實施適當的訪問控制，並對其銷毀機制進行全面測試，以避免潛在的價格操縱攻擊。

4. HedgePay 事件

簡要總結

2026 年 2 月 25 日，BNB Smart Chain 上的 HedgePay 協議遭到攻擊，導致約 1.57 萬美元的損失。根本原因是 HedgePay 協議質押合約中的業務邏輯缺陷。具體來說，易受攻擊的質押合約 (0xBe189fe9f84cA531CD979630E1f14757b88dD80d) 中的 forceExit() 函數允許用戶在不更新其質押餘額的情況下提取質押資產。因此，攻擊者能夠重複調用 forceExit() 函數來耗盡合約中的 HPAY 代幣。

背景

HedgePay 協議是一種質押協議，允許用戶通過質押 HPAY 代幣來賺取獎勵。forceExit() 函數允許用戶提取其質押的資產。

漏洞分析

該事件的根本原因是 forceExit() 函數中的業務邏輯缺陷。具體來說，當用戶通過 stake() 函數質押 HPAY 代幣時，他們的質押金額（即 _balances[msg.sender]）會相應更新。然而，當用戶通過 forceExit() 函數提取其質押的 HPAY 代幣時，合約未能更新 _balances[msg.sender]。因此，攻擊者能夠通過重複調用 forceExit() 函數來耗盡質押合約中的 HPAY 代幣。

攻擊分析

以下分析基於交易 0x5f2ea6cb...46ed137f。

1. 攻擊者通過閃電貸借入了 1,247,859e18 HPAY。在閃電貸回調函數中：

   a. 攻擊者通過 stake() 函數質押了 1,197,944e18 HPAY。

   b. 攻擊者重複調用 forceExit() 函數以耗盡合約中的 HPAY 代幣。

2. 攻擊者償還了閃電貸，並將 57,389,615e18 HPAY 換成 26e18 WBNB（即獲利 26e18 WBNB）。

結論

該事件的根本原因是 forceExit() 函數沒有更新用戶的 _balances[msg.sender]，允許攻擊者耗盡質押合約中的 HPAY 代幣。為了防止此類問題，項目方應進行適當的狀態導向測試，以確保每個函數中的狀態不變量得到正確維護。

5. Ploutos 事件

簡要總結

2026 年 2 月 26 日，Ethereum 上的 Ploutos 協議資金池因預言機配置錯誤損失約 39 萬美元。具體來說，預言機被錯誤地設置為將 USDC 的 BTC/USD Chainlink 價格源作為參考。因此，攻擊者利用此配置錯誤，僅通過抵押 8 個 USDC 就借入了 187 個 ETH。

漏洞分析

Ploutos 是部署在多條網絡上的 Aave v3.0.2 分叉。該事件是由借貸池（0xD060...F945D2）中的錯誤預言機配置引起的。

在 24538896 區塊中，USDC 的價格預言機被錯誤配置為引用 BTC/USD Chainlink 源，而非 USDC/USD 源。在隨後的區塊（24538897）中，攻擊者檢測到了這一配置錯誤並執行了攻擊。結果，攻擊者僅通過質押約 8.88 USDC 就借入了約 187.3 ETH 作為利潤。

攻擊分析

1. 攻擊者監控了 Ploutos 協議的預言機配置操作，該操作錯誤地將 USDC 的預言機源設置為了 Chainlink BTC/USDC 價格源，交易為 0xcfedf6...bd193ab6。

2. 攻擊者立即發送了一筆交易（0xa17dc37e...705f8474），由於預言機配置錯誤，攻擊者僅通過抵押約 8.8 個 USDC 就借入了約 187.3 個 ETH。

3. 攻擊者支付了約 5.6 個 ETH 的賄賂給構建者（builder），淨賺約 181.7 個 ETH。

結論

該事件的根本原因是預言機配置錯誤，導致損失約 39 萬美元。這提醒我們，敏感的操作（如預言機配置）應受到多簽錢包或時間鎖保護，以避免潛在的損失。

參考文獻

[1] https://x.com/Phalcon_xyz/status/2026943448734114011

6. FOOMCASH 事件

簡要總結

2026 年 2 月 26 日，FOOMCASH 協議因 Groth16 證明校驗漏洞 [1] 遭到攻擊，總損失超過 226 萬美元。

背景

FOOMCASH 協議是 Base 和 Ethereum 上的一種彩票協議，使用 Groth16 證明進行提取校驗。在 FoomLottery 合約中，collect() 函數通過調用 WithdrawG16Verifier.verifyProof() 來校驗提供的證明（即 _pA、_pB 和 _pC）。具體來說，校驗是根據 WithdrawG16Verifier 合約中的信任設置（即 gamma 和 delta）進行的。一旦證明被校驗為有效，collect() 函數就會根據用戶的輸入（例如 _recipient 和 _rewardbits）進行資產（即 FOOM 代幣）的轉移。

漏洞分析

該事件的根本原因是脆弱的 Groth16 設置。具體來說，在 WithdrawG16Verifier 合約中，變量 gamma ($\gamma \backslash gamma$) 和 delta ($\delta \backslash delta$) 共享相同的值（即 $G\mathrm{\_}2G\backslash \_\{2\}$），這使得攻擊者能夠偽造具有任意輸入的有效證明。因此，攻擊者繞過了 WithdrawG16Verifier 合約中的 Groth16 證明校驗，並利用惡意輸入耗盡了 FoomLottery 合約中的所有資產。

攻擊分析

攻擊分析基於交易 0xce204482...4e275e48。

攻擊者創建了一個惡意合約來構造有效證明和惡意輸入。在惡意合約的 fallback 邏輯中：

1. 構造了一個有效證明。

2. 使用有效證明和惡意輸入（例如 _recipient 和 _rewardbits）調用了 FoomLottery 合約的 collect() 函數。

   a. 在 collect() 函數的調用中，證明校驗（即 WithdrawG16Verifier.verifyProof()）被繞過，資產（即 FOOM 代幣）被轉移給了攻擊者。

3. 重複步驟 1-2 總共 30 次，耗盡了總計 19,695,576,757,802e18 FOOM 代幣。

結論

該事件的根本原因是脆弱的 Groth16 校驗配置，導致約 226 萬美元的損失。這強調了複雜的密碼學設置在部署前必須經過徹底的審查和審計。

參考文獻

[1] https://x.com/Phalcon_xyz/status/2026941738141778394

7. 未知事件

簡要總結

2026 年 2 月 27 日，BNB Smart Chain 上的一個未知合約遭到攻擊 [1]，損失約 18 萬美元。此事件的根本原因是輸入校驗不當。具體來說，受害者合約的 _verifySignatures() 函數未能執行空列表檢查，允許攻擊者在不提供簽名和簽名者的情況下繞過簽名校驗。因此，攻擊者利用此漏洞耗盡了受害者合約中的所有 USDT 代幣。

漏洞分析

此事件的根本原因是簽名校驗流程中的校驗不當。具體來說，_verifySignatures() 函數僅檢查 allSigners.length == signatures.length，且不要求任何一個數組為非空。因此，當兩個數組都為空時，攻擊者可以繞過簽名校驗並提取資產。

攻擊分析

以下分析基於此交易 0x91f45260...41cfd784。

1. 攻擊者調用了其惡意合約的 0x2d0cb456() 函數。在調用中，

   a. 惡意合約使用空輸入 allSigners 和 signatures 調用 poolWithdraw() 函數，繞過了預期的簽名校驗邏輯。

b. 在繞過簽名校驗邏輯後，受害者合約將 `USDT` 轉移給了攻擊者。

結論

該事件的根本原因是輸入校驗不當，導致約 18 萬美元的損失。該事件強調了輸入的基本邊界檢查（如非空檢查）的重要性。

參考文獻

[1] https://x.com/Phalcon_xyz/status/2027328894710505581

關於 BlockSec

BlockSec 是一家全棧區塊鏈安全和加密貨幣合規提供商。我們構建產品和服務，協助客戶在協議和平台的全生命週期內進行代碼審計（包括智能合約、區塊鏈和錢包）、即時攔截攻擊、分析事件、追蹤非法資金，並履行反洗錢/打擊資助恐怖主義 (AML/CFT) 的義務。

BlockSec 已在知名會議上發表過多篇區塊鏈安全論文，報告了多起 DeFi 應用程序的零日攻擊，攔截了數次駭客攻擊並挽回超過 2000 萬美元，保護了價值數十億美元的加密資產。

• 官方網站：https://blocksec.com/

• 官方 Twitter：https://twitter.com/BlockSecTeam

• 🔗 BlockSec 審計服務 : 提交申請

• 🔗 Phalcon 安全應用: 預約演示

• 🔗 Phalcon 合規