UNCX Network Vesting V2 合约遭攻击，损失超149万美元

区块链安全公司 Blockaid 于2026年10月15日披露，UNCX Network（原Unicrypt）的Vesting V2合约在四条区块链上遭遇攻击，累计造成约149万美元的资金损失。最初在以太坊网络的损失为8.6万美元，随后因仿冒钱包与交易机器人介入，损失扩大至17倍以上。

漏洞根源：记账逻辑缺陷

此次事件的核心问题出在共享池合约——VestingManager中。该合约负责管理代币释放时间表，但其内部会计机制存在严重缺陷。安全团队ExVul发现，release()函数在减少全局释放额度时，并未同步清除已释放头寸的原始存款记录。这导致后续取消操作可对同一份额进行二次扣除，形成可被恶意利用的漏洞。

攻击手法解析：无私钥入侵的资金提取

攻击者通过构造释放头寸、执行大规模释放、将代币捐赠回池，再触发取消流程，生成一个微小但可提取的剩余头寸。这一过程不依赖私钥泄露或钱包劫持，完全依托合约自身记账错误完成资金提取，体现了智能合约逻辑风险的隐蔽性。

跨链影响与资金流向

根据Blockaid统计，损失分布如下：币安智能链（BNB Smart Chain）约96.9万美元，以太坊网络24.2万美元，Robinhood Chain 16.9万美元，Base网络11.4万美元。共涉及11笔异常交易，其中包含多个仿冒地址和参与MEV套利的自动化程序。

受影响的代币种类包括：以太坊上的pepecoin、EDGEN、ZC、X、LO0P和PAAL；Base上的IMO；币安链上的BTCLE；以及Robinhood Chain上的CASHCAT和RKST。

平台应对措施与防范升级

UNCX确认，其流动性锁定器及传统vesting合约未受波及。为防止漏洞进一步被利用，平台已采取多项应急措施：将新项目锁定费用提升至每笔超过1,000 ETH，移除绕过机制路径，并将代币手续费上调至合约设定的5%上限。截至报告时，以太坊上仍存有约325万美元待保护资产。

后续进展与行业警示

UNCX表示，目前原始攻击者及各链仿冒账户均未归还任何资金。建议投资者在相关代币团队发布明确指引前，避免参与受影响的资金池。预计本周内将发布完整事故报告，涵盖技术细节、财务影响及拟议追偿方案。

此事件再次凸显共享智能合约基础设施潜在风险——即使钱包安全无虞，逻辑缺陷仍可能导致大规模资金流失。在去中心化生态快速扩张背景下，合约审计与持续监控已成为关键防线。