Avici 百万被盗：Tornado Cash 跨链洗钱

据 Woofun AI 消息，Solana 生态新兴银行 Avici 遭遇严重黑客攻击，损失规模突破 100 万美元，攻击者随后利用 Tornado Cash 进行跨链洗钱，彻底切断资金追踪链条。

资金流向的复杂性在此次事件中体现得淋漓尽致。Onchain Lens 对攻击路径进行了详细拆解：以 FVNFzq 开头的攻击者地址首先将窃取所得的 10,000 枚 SOL 兑换为价值 102 万美元的 USDC，这一操作在数小时内完成，旨在迅速将波动性资产转换为稳定币以锁定价值。随后，这些 USDC 被进一步转换为 418 枚以太坊，并最终转入 Tornado Cash 协议。

值得注意的是，从 Solana 网络转移至以太坊网络的操作，是攻击者刻意选择的跨链清洗手段，旨在利用不同链之间的数据隔离增加溯源难度。Woofun AI 整理数据显示，此类跨链操作使得资产在多个公链间跳跃，极大增加了执法机构锁定最终归属地的技术门槛。

深入剖析技术层面，此次攻击的核心在于智能合约权限设置及签名验证环节存在的致命缺陷。虽然具体代码漏洞尚未完全公开，但安全专家推断，攻击者正是利用了这些薄弱环节，通过操纵交易参数或伪造签名，实现了未经授权的资产提取。

这一事件并非孤立个案，而是 Solana 生态在过去一年中 DeFi 相关黑客攻击频发的缩影。尽管 Solana 凭借高处理速度和低手续费吸引了大量开发者与创新项目，但过快的迭代速度往往导致严格的安全审计被边缘化。

更关键的是，攻击者选择 Tornado Cash 这一在 2022 年被美国财政部列为受监管对象的隐私协议，明确显示出其规避追踪的主观恶意。这种利用成熟隐私工具进行洗钱的模式，在 DeFi 领域正变得越来越普遍，反映出黑产团伙对监管边界的精准试探。

此次 Avici 损失超 100 万美元的事件，再次敲响了 DeFi 安全的警钟。对于用户而言，智能合约的潜在风险意味着资金可能瞬间归零，而区块链交易的匿名特性，特别是结合 Tornado Cash 等混币服务后，使得资金追回几乎成为不可能任务。执法机构及区块链分析公司虽会持续监控资产流动，但面对强大的隐私保护协议，调查工作面临巨大挑战。目前 Avici 尚未发布官方声明，但此类事件通常迫使平台启动内部调查并强化安全措施。鉴于使用 Tornado Cash 往往意味着攻击者无意归还资金，协商追回的可能性极低。

这一案例警示行业，完善的智能合约审计机制与主动式安全防护已不再是可选项，而是生存必需品。