Wasabi Protocol 因攻擊者奪取 3 條鏈上的 Deployer Admin Key 而損失 5M 美元

📄完整原文· 由 trafilatura 自動擷取Gemini 翻譯5527 字

攻擊者於週四奪取 Wasabi Protocol 部署者管理員金鑰的控制權，從三條區塊鏈上的 perp 金庫與流動性池中抽走估計 450 萬至 550 萬美元。 Wasabi Protocol 因攻擊者跨三條鏈奪取部署者管理員金鑰損失 500 萬美元重點摘要： - 攻擊者於 2026 年 4 月 30 日透過入侵部署者 EOA 管理員金鑰，從 Wasabi Protocol 抽走 450 萬至 550 萬美元。 - Virtuals Protocol 於漏洞發生後立即凍結保證金存款，但其自身的安全性完全未受影響。 - Wasabi Protocol 尚未發表任何公開聲明；用戶必須在 Ethereum、Base 與 Blast 上撤銷所有授權。 DeFi 協議 Wasabi 在管理員金鑰駭客事件中損失 500 萬美元遭入侵的地址 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8 是控制 Wasabi 之 Perpmanager 合約的唯一管理員金鑰。據報導，攻擊者利用該金鑰將 ADMIN_ROLE 授予一個惡意輔助合約，接著對 Wasabivault 代理與 Wasabilongpool 執行未經授權的 UUPS 代理升級，隨後將抵押品與資金池餘額洗劫一空。資安公司 Hypernative 在三條鏈上以高嚴重性警示標記了該事件。Blockaid、Cyvers 及 Defimonalerts 也即時偵測到該活動。Hypernative 證實其並非 Wasabi 客戶，但獨立偵測到此次入侵，並承諾將進行完整的技術分析。攻擊大約於 UTC 時間 07:48 開始，持續約兩小時。部署者在 Ethereum、Base 與 Blast 上將 ADMIN_ROLE 授予由攻擊者控制的合約。隨後一個惡意合約對七至八個 WasabiVault 代理呼叫 strategyDeposit()，傳入一個虛假策略觸發 drain() 函數，將所有抵押品歸還給攻擊者。 Ethereum 與 Base 上的 Wasabilongpool 隨後被升級為惡意實作，掃走剩餘餘額。資金被整合為 ETH，在必要時透過跨鏈橋轉移，並分散到多個地址。早期報告指出有部分活動與 Tornado Cash 相關。單筆最大損失據報為 840.9 WETH，攻擊發生時價值超過 190 萬美元。其他被抽走的資產包括 sUSDC、sREKT、PEPE、MOG、NEIRO、ZYN 與 bitcoin，以及 Base 鏈上的 VIRTUAL、AERO 與 cbBTC 等資產。根據 Defillama 的資料，漏洞發生前 Wasabi 跨鏈總鎖倉價值（TVL）約為 850 萬美元。這是一起金鑰管理失敗事件，而非智能合約漏洞。其中不涉及任何重入或邏輯漏洞利用。攻擊者很可能透過釣魚、惡意軟體或直接竊取取得私鑰，再濫用可升級代理架構在不觸發傳統安全檢查的情況下抽走資金。透過 Wasabi 提供保證金存款服務的 Virtuals Protocol 在偵測到入侵後迅速採取行動。團隊凍結了所有保證金存款，並確認其自身的安全性完全未受影響。Virtuals 上的交易、提款與 agent 操作未受中斷地持續進行。團隊警告用戶避免簽署任何與 Wasabi 相關的交易。截至目前可得的最新資料，Wasabi Protocol 尚未發表任何公開聲明或事件公告。該協議過去在不相關事件中曾迅速溝通，並擁有 Zellic 與 Sherlock 的審計，但此次攻擊完全繞過了這些保護措施。建議有曝險的用戶立即在 Ethereum、Base 與 Blast 上撤銷所有 Wasabi 授權。Revoke.cash、Etherscan 與 Basescan 等工具可協助識別有效的授權。任何剩餘的 LP 倉位應立即提取，且在團隊確認金鑰輪換與合約完整性之前，不應簽署任何與 Wasabi 相關的交易。此事件符合 2026 年整個 DeFi 領域的一個模式：可升級代理合約搭配中心化管理員金鑰，造成單點故障，繞過了即使是經過嚴謹審計的程式碼。當一把金鑰掌控跨多條鏈的升級權限時，單次入侵便可能演變為協議層級的事件。 Wasabi 漏洞並非孤立事件。2026 年 4 月，DeFi 協議在約十多起確認事件中總共被抽走超過 6 億美元，使該月成為該領域有紀錄以來最嚴重的月份之一。該月於 4 月 1 日開場，攻擊者利用治理操縱與 oracle 濫用，在不到 20 分鐘內從 Solana 上的 Drift Protocol 抽走約 2.85 億美元。第二次重大打擊發生在 4 月 18 日左右，當時一起 Layerzero 跨鏈橋漏洞攻擊命中了 Ethereum 上的 KelpDAO，抽走約 2.92 億美元的 rsETH，並在包括 Aave 在內的借貸平台上引發超過 100 億美元的下游連鎖反應。該月內 Silo Finance、Cow Swap、Grinex、Rhea Finance 與 Aftermath Finance 等也陸續遭受較小規模的打擊。 Drift Protocol 2026 駭客事件：發生了什麼、誰賠了錢、下一步是什麼 Drift Protocol 2026 駭客事件：發生了什麼、誰賠了錢、下一步是什麼一個基於 Solana 的永續合約交易所在 2026 年 4 月 1 日損失了 2.86 億美元，僅費時 12 分鐘，攻擊者花了三週準備…… 立即閱讀一個基於 Solana 的永續合約交易所在 2026 年 4 月 1 日損失了 2.86 億美元，僅費時 12 分鐘，攻擊者花了三週準備…… 幾乎所有事件呈現的模式都不指向程式碼層級的錯誤，而是指向管理員金鑰入侵、跨鏈橋弱點與可升級代理風險，暴露出僅靠審計無法保護的中心化控制點。 Wasabi 的情況仍在發展中。用戶應持續關注官方 @wasabi_protocol 帳號與資安公司的訊息以獲取最新更新。

資料狀態✓ 已擷取全文閱讀原文（Bitcoin.com）

🔍歷史類似事件· 關鍵字 + 標的比對6 則

2026-04-30

Wasabi Protocol 因疑似管理員金鑰外洩遭駭，損失 450 萬美元

相似度 230%關鍵字 wasabi/admin/key

2026-04-30

Wasabi Protocol 因疑似管理員金鑰外洩遭竊取 450 萬美元

相似度 230%關鍵字 wasabi/admin/key

2026-05-19

Echo Protocol 在管理員金鑰遭入侵造成 81.6 萬美元損失後暫停 Monad 跨鏈橋

相似度 200%關鍵字 admin/after/key

2026-04-22

繼 KelpDAO 遭駭數日後，另一個 DeFi 協議又損失數百萬美元

相似度 180%關鍵字 loses/after/protocol

2026-05-19

Echo Protocol 的 eBTC 因管理員金鑰外洩遭駭，損失 7,700 萬美元

相似度 150%關鍵字 admin/key/protocol

2026-05-15

Thorchain 因攻擊者在 4 條鏈上污染金庫輪替（vault churn）流程，損失近 1,100 萬美元

相似度 150%關鍵字 loses/across/chains

💡 目前用關鍵字 + 標的比對（MVP）· 之後會升級為 embedding 語意搜尋

原始資訊

ID：bcb9cf8a21

來源：Bitcoin.com

發佈：2026-04-30 09:05:57

分類：一般 · 導出分類 neutral

標的：未指定

社群投票：+0 / −0 · ⭐ 0 重要 · 💬 0 留言