b14g协议遭零值提取攻击，近9700万CORE代币被盗

基于Core DAO构建的比特币原生质押协议b14g近日遭遇严重安全事件，因“零值提取请求”漏洞导致近9700万枚CORE代币被非法转移。该攻击发生在美东时间10月31日凌晨5点29分，涉及91个质押头寸，相关数据由Bitquery调查报告披露。

攻击手法解析：零值提取请求如何运作

所谓“零值提取请求”，是一种特定的智能合约交互模式：攻击者提交的提现请求在表面上不携带任何代币金额，但由于合约内部会计逻辑存在缺陷，系统仍执行了转账操作，从而实现资金盗取。此次事件中，攻击者通过99次此类请求，在单笔交易中清空了多个质押头寸。

尽管该漏洞类型曾在其他质押协议中出现过，但其具体技术细节——包括调用的函数、是否依赖重入条件或输入验证缺失——尚未通过官方审计报告或区块浏览器记录得到确认。目前所有信息均来自第三方分析，缺乏直接可验证的数据支持。

事件响应与资产冻结进展

事件发生后，b14g迅速暂停了受影响的合约，并与多家交易所合作，成功冻结约900万枚CORE代币，占被盗总量的9.3%。剩余约6800万枚代币仍保留在Core网络上，表明攻击范围有限。

值得注意的是，用户通过b14g进行的比特币原生质押并未受到波及。由于协议架构将CORE代币质押与BTC时间锁定分离，攻击者的权限仅限于合约层，无法触达底层比特币资产。这一结构性设计有效防止了更严重的后果。

市场影响与潜在风险评估

截至报道时，CORE代币价格为0.0137969美元，24小时内下跌约0.39%，总市值约为2070万美元。从代币计价角度看，损失规模巨大，但以美元换算则需结合价格波动综合判断。

有分析指出，该漏洞可能已在协议中存在长达17个月，但此说法尚未获得源代码审查或审计报告证实，应视为未经核实的信息。这反映出当前DeFi项目在安全审计覆盖与实际运行行为之间仍存在显著差距。

待解谜题：身份、责任与未来走向

目前仍有多项关键问题未明确：攻击者身份与所在地未知；91个受影响头寸的持有者构成（机构或个人）未公布；是否有赔偿机制或恢复计划亦无消息。此外，协议是否将启动公开审计、修复漏洞或重启服务，也尚未对外说明。

在加密市场情绪整体偏谨慎（恐惧指数34）的背景下，此类事件极易引发连锁反应。虽然本次攻击范围受限，但其暴露出的新型攻击模式——即利用批量格式错误请求清空小众代币池——正逐渐成为安全研究领域的关注焦点。

未来几周，b14g的后续动作以及Core DAO是否采取协调应对措施，将直接影响市场对其比特币质押层安全性的信心。这也再次凸显去中心化金融生态中，合约安全性与透明度的重要性。