Omo AI交易代理被曝174笔订单无真实签名匹配

在一项针对Solana生态AI交易代理Omo的独立审计中，研究人员揭示了其核心机制的重大漏洞：尽管公开数据显示资产组合超过20万美元，但所有174笔订单承诺均未与该代理钱包实际签署的交易相匹配。

审计发现：签名匹配机制形同虚设

由俄勒冈大学区块链俱乐部成员Charlie Sneed于9月28日提交的研究报告指出，Omo在每笔交易前会将推理过程的加密指纹发布至Solana链，随后20分钟后公布文本内容供公众比对。项目方明确要求，只有由代理自身钱包签署的交易才被视为有效。然而，经手动验证的一项最早记录显示，配对交易实为另一钱包发起的代币转账，且未包含任何购买行为。

技术缺陷源于密钥管理不当

Sneed确认，密码学机制本身设计合理，所有问题均可在代码中找到依据，且无证据表明存在故意欺诈。关键问题在于密钥托管环节——Omo将私钥从手机应用提取并存储于服务器，而非采用硬件设备保护。此外，其交易匹配逻辑从未验证签名来源，导致整个验证流程失效。

修复建议与局限性

作者提出首要改进措施：使用由代理控制并存放在硬件钱包（如Ledger）中的签名密钥。尽管这一方案能提升安全性，但Sneed也强调，它无法解决代理整体胜率仅7.1%的根本问题，也无法阻止其网页搜索功能持续故障仍继续执行交易的情况。

行业风险浮现：自主代理监管滞后

随着Binance、Robinhood等平台相继开放AI代理交易权限，监管空白日益凸显。Binance产品副总裁表示无法查看代理背后的决策逻辑；Robinhood披露已拥有超15万个代理账户，但不进行监督或审计。FINRA计划在2026年监管报告中重点评估自主性与可审计性风险，预示行业正面临系统性挑战。