Chainalysis警告：未經驗證的智能合約正成為36.7萬美元加密貨幣攻擊浪潮的目標。

Chainalysis區塊鏈數據分析公司發布的報告顯示，在過去六個月裡，至少有36.7萬美元從未經公開驗證的加密貨幣協議中被盜。調查結果表明，攻擊者透過逆向工程編譯後的字節碼來識別漏洞，從而攻擊未經驗證的合約，在某些情況下，他們甚至利用了長期存在的漏洞。

該報告將這些事件置於加密安全領域持續進行的辯論之中，這場辯論的焦點在於，開源智能合約程式碼究竟是提高了安全性，還是因為提供了系統邏輯的清晰視圖而無意中幫助了攻擊者。雖然大多數主要的去中心化金融（DeFi雖然有些協議會在 Etherscan 等區塊瀏覽器上發布和驗證其原始程式碼，但仍有一部分協議繼續使用閉源合約運行，這限制了攻擊者和合法安全研究人員的透明度。

分析顯示，未經驗證的智能合約並非天生就能免於攻擊。相反，攻擊者可以透過反編譯技術重建字節碼的高級表示，從而對其進行檢查。 Chainalysis 報告稱，在過去六個月中，攻擊者成功利用了多個未經驗證的合約，在少數幾起事件中累計造成了約 36.7 萬美元的損失。這一數字遠低於據報道從已驗證合約中竊取的超過 1 億美元的損失，後者涉及的協議範圍要廣泛得多。 DeFiLlama 報告指出，隨著工具的改進，對未經核實系統的攻擊可能會增加。

該資料集重點關注協議擁有的、負責管理或控制用戶資金且在被攻擊時未經驗證的合約。在每個已識別的案例中，相關的區塊瀏覽器上都沒有公開可存取的原始程式碼，這意味著攻擊者依賴逆向工程技術來了解合約行為。

對未經驗證的智能合約進行逆向工程和利用

報告中重點提及的一個案例涉及 Truebit 協議，該協議在 2026 年 1 月導致約 2,620 萬美元資金被盜。被盜合約於 2021 年部署在以太坊上，但從未在 Etherscan 上進行過驗證。該系統採用綁定曲線機制，允許用戶使用 ETH 鑄造和贖回代幣。

此漏洞源自於定價函數中的整數溢位。舊版 Solidity 的算術運算行為允許數值錯誤地溢出，使攻擊者能夠以極低的成本鑄造大量代幣，然後再將其兌換成 ETH。鏈上分析還表明，該漏洞並非孤立事件，有證據表明先前曾針對其他協議發動攻擊，並隨後利用隱私工具洗錢。

該報告概述了未經驗證的合約可能吸引攻擊者的幾個結構性原因。其中一個因素是自動化反編譯工具的日益高效，這些工具能夠從字節碼中重構出可讀程式碼。這些輸出隨後可被大型語言模型處理，這些模型能夠識別常見的漏洞，例如重入問題、存取控制失效和算術錯誤。當整合到自動化流程中時，此類系統可以掃描大量合約，並優先處理那些被認為更容易被利用的合約，從而縮短漏洞發現所需的時間。

另一個促成因素是缺乏社區審查。經過驗證的合約通常會受益於研究人員、審計人員和開發人員的非正式審計，他們會在更廣泛的生態系統活動中審查開源程式碼。未經驗證的合約缺乏這一層審查，這意味著漏洞可能在被利用之前一直未被發現。此外，一些漏洞賞金計畫明確地將未經驗證的部署排除在外，這進一步降低了外部審查的動機。

該報告還概述了協議的緩解措施，包括對所有生產合約進行例行原始碼驗證、對已部署程式碼而非預期實現進行全面審計，以及擴大所有面向用戶的合約（無論其驗證狀態如何）的漏洞賞金覆蓋範圍。報告進一步強調了能夠檢測鏈上異常行為的即時監控系統的重要性，尤其是在攻擊可能在幾分鐘內迅速發生的環境中。

展望未來，Chainalysis指出，未經驗證合約數量的成長、反編譯工具的改進以及人工智慧驅動的分析系統能力的提升，可能會加速自動化攻擊的趨勢。該報告引用了更廣泛的研究，這些研究表明，人工智慧系統已經能夠協助識別漏洞，並在某些情況下，針對存在漏洞的智慧合約執行攻擊策略。

研究結果表明，未經驗證的智慧合約正處於軟體安全領域更廣泛的變革之中，即自動化工具越來越多地被用於大規模地發現和利用漏洞。報告總結道，在這種環境下，依賴智慧合約設計的隱藏性作為一種安全措施正變得越來越無效，尤其是在自動化分析流程不斷成熟的情況下。