Ekubo协议遭攻击致142万美元被盗，加密授权漏洞引关注

2026年5月5日，去中心化交易协议Ekubo遭遇严重安全事件，攻击者利用用户对HuffRouter的无限期授权，从31个地址中盗取约142万美元资产。据慢雾科技创始人披露，多数受害者的授权早在158天前即已创建，且未主动撤销。

授权机制为何成为安全隐患？

在以太坊及其兼容链上，用户为使用DApp需签署代币授权。根据ERC-20标准，此类授权可被重复执行，直至金额上限或手动撤销。然而，其核心缺陷在于：授权无固定有效期。以太坊官方文档明确指出，合同权限不设到期时间，即便用户已断开连接，项目方仍可继续调用代币。

更关键的是，数字钱包仅保管私钥，不存储授权记录。这意味着用户必须主动操作才能终止权限。2022年一项研究显示，截至2021年7月，以太坊上高达60%的授权均为无限额度，反映出行业普遍存在的风险认知盲区。

攻击路径解析：一个被忽视的代码缺陷

EKUBO的HuffRouter是一种用于降低交易成本的优化型路由合约，部署于以太坊与Arbitrum网络。事故报告显示，其数据解析逻辑存在漏洞——攻击者可在合法交换路径后插入任意字节，将其解释为结算阶段的数据，从而篡改付款人身份。

该漏洞允许任何曾授权此路由器的用户资产被转移。首次提款发生于UTC时间5月5日下午5:50。损失总额约为142万美元，其中单个地址损失近137万美元（约17枚WBTC）及少量cbBTC，占比达98%。值得注意的是，此次攻击未影响流动性提供者，也未波及协议的Starknet版本。

EKUBO团队承认，该合约此前未接受第三方审计，并误判风险较低。尽管声称授权可被限制，但实际部署的路由器已无法修改。6月23日，他们宣布设立报销基金，由DAO自愿出资，按地址封顶补偿损失。

同类事件频发：行业共性问题浮现

Ekubo并非首例。根据Revoke.cash年度报告，2024年因授权漏洞造成的总损失高达8000万美元，2025年亦超600万美元。例如，2024年7月LI.FI平台损失约1160万美元，涉153个钱包；同年1月Socket漏洞影响约200名用户；2026年1月SwapNet事件则造成1343万美元损失。

这些攻击均集中于无限期授权，而非传统签名诈骗。后者通过伪造界面诱导用户签署给黑客的权限，2025年造成8385万美元损失，属于另一种独立威胁类型。

如何防范加密授权风险？

首要原则是控制金额。主流钱包如MetaMask支持设置支出上限，官方建议“切勿授予无限额度”。其次应定期清理。工具Revoke.cash可查询用户在80多个链上的授权状态，而Etherscan验证器也能实现类似功能。批量撤销虽收费1.5美元，但逐个撤销免费（仅支付网络费）。

新加坡警方与网络犯罪署曾在2024年提醒公众审查并撤销大额授权。部分应用已引入时间限制机制，如Uniswap采用Permit2，提供最长30天的有效期。但前提是用户需先向Permit2合约授予权限，而该权限本身仍无过期设定。目前，Starknet仍沿用与以太坊一致的无过期模型。

未来方向：授权默认过期的探索

2026年5月6日，Ekubo创始人Moody Salem提交EIP提案ERC-8255，主张所有授权默认设置有效期限，由代币自身定义最大持续时间。新功能还将支持最短至单个区块的短期授权。

该方案虽保持与现有系统兼容，但引发社区争议。部分开发者认为应保留原有授权模式，而研究员pcaversaccio则直言：“授权一直是一个bug，而不是一个特性。”

其他替代方案包括ERC-7674，规定授权在交易完成后自动清除；自2025年5月Pectra升级以来，兼容钱包也已支持将授权与交换合并为单一操作。

截至2026年10月18日，ERC-8255仍处于提案阶段，尚未有实际部署。受影响的Ekubo路由器无法更新，因此除非用户主动撤销，否则无限期授权将持续生效。当前最佳实践仍是加强自我管理，结合工具辅助监控与清理。