单次提取盗走 8.6 万美元，UNCX 共享池漏洞警示

据 Woofun AI 消息，以太坊上的 网络共享 Token 归属期池周三遭遇黑客攻击，导致约 86,000 美元锁定资产被盗。安全公司 确认该攻击仍在持续中。

这一事件揭示了去中心化金融基础设施中共享合约机制的潜在脆弱性，攻击者利用技术漏洞直接穿透了旨在保护项目方资产的防御层。值得注意的是，被盗资产原本属于其他加密货币项目并已被严格锁定，此次入侵不仅造成直接资金损失，更对依赖该协议的信任体系构成冲击。

UNCX 平台前身名为 ，其核心业务是为各类加密货币项目提供 Token 锁定服务，旨在防止内部人员提前抛售以稳定市场预期。从结构上看，该协议在各大区块链上管理的资产规模庞大，Woofun AI 整理数据显示，全网锁定资产总额约为 1.797 亿美元，其中仅以太坊链上的金额就高达 1.114 亿美元。如此巨大的资金沉淀使得任何底层合约漏洞都可能引发系统性风险。此次攻击并非针对单一项目，而是直接指向承载众多项目资产的共享池，这种集中式托管模式在提升效率的同时，也放大了单点故障的危害范围，使得攻击者能够通过一次操作影响多个无关项目的资产安全。

深层原因在于攻击者巧妙利用了归属期账户机制的逻辑缺陷。Blockaid 指出，损失是通过一次单独的提取交易造成的。许多项目的锁定 Token 都存放在同一个池中，攻击者首先在该池中创建了多个归属期账户——所谓归属期账户即是一种用于存储 Token 并按预定时间释放它们的时隙。随后，攻击者释放了一个较大的账户，并向池中注入了额外的 Token，接着又取消了一个已补充过 Token 的账户，这样一来就只剩下一个极小的账户。据 Blockaid 称，这个小型账户便可用来提取其他用户拥有的 Token。UNCX 自身的指南中将已进入归属期的 Token 描述为被锁定在经过审计的合约中的资产，"此类 Token 不可被发送、出售、加入流动性池或用于质押"，指南中有这样的表述。

然而，审计并未覆盖这种复杂的交互逻辑。Blockaid 指出了两个用于实施攻击的钱包地址，Etherscan 显示其中一个地址通过八次交易共持有约 5,874 美元的资产，这表明攻击者可能正在进行分步提取或测试其他漏洞路径。

截至本文发稿时，UNCX 尚未就此次漏洞攻击发表公开声明，该平台的自有 Token 价格也几乎没有变化，其交易价格为 24.80 美元，24 小时内的涨幅为 0.16%，总市值约为 905,000 美元。即便损失金额不大，也足以让一个项目陷入困境。去中心化交易所 在 8 月遭遇黑客攻击后便停止了运营，那次攻击造成的损失约为 91,000 美元。较旧的合约代码也同样容易成为攻击目标，9 月时 就因为旧合约中的整数溢出漏洞而损失了 173 万美元。Token 锁定机制的存在是为了让买家能够确认内部人员无法通过砸盘的方式抛售资产。目前尚不清楚哪些项目失去了 Token，以及 UNCX 是否能够在进一步提取发生之前阻止该池内的资产被取出。这是继多起 DeFi 安全事件后，再次凸显基础设施层安全审计局限性的典型案例。