共享协议漏洞如何引发大规模资产流失？

在8月20日至25日间，黑客通过宇宙EVM平台中存在的关键缺陷，成功在六个不同区块链上实施攻击，将非法获取的代币兑换为约570万美元等值资产。其中，近半资金经由去中心化交易平台完成转换，其余则通过中心化交易所流入。目前，与攻击行为相关的账户已被冻结，等待执法机构进一步调查。

漏洞本质：会计逻辑的致命缺陷

该问题源于宇宙EVM框架中一个未被及时识别的整数下溢错误，影响版本低于v0.6.2及v0.7.2的系统。攻击者通过创建一个锁定代币的账户，并提交超出其实际余额的委托请求，触发了系统计算异常——余额非但未被拒绝，反而溢出至接近2^256-1的基本单位，形成虚增巨额余额。此异常余额使攻击者得以操控其他账户资金并提取代币，整个过程并未新增任何代币供应，而是纯粹利用了底层账本逻辑的疏漏。

修复为何滞后于攻击发生？

漏洞首次报告时间为4月25日，当时研究人员通过宇宙实验室的赏金计划提交。然而，实验室在复现测试后误判生产环境无风险。随后，修复补丁以“静默公开”方式合并进主代码库，但未立即部署至生产分支，因其涉及状态破坏性升级，需验证者协同操作。直到8月初，外部研究者补充关键证据，才确认所有宇宙EVM链均存在隐患。修复方案最终于UTC时间8月19日23:01正式发布。而首起已知攻击发生在约20小时后，MANTRA链事后指出，这一时间窗口远不足以在38个独立验证节点间完成评估、构建、测试与同步，尤其缺乏明确的应急指引。

投资者应警惕的系统性风险

虽然本次事件造成的直接财务损失相对可控，但暴露出更深层次的基础设施脆弱性：数十条互不关联的区块链共享同一套软件栈，却各自依赖独立的验证群体执行紧急升级，极易造成响应断层。

受影响的链及其损失情况

MANTRA链遭受最严重打击，攻击者从销毁地址及一个休眠多重签名钱包中转移约7.209亿枚MANTRA（事件前估值约360万美元）。该网络在首次异常转账后四小时内暂停运行，30多个小时后以更新后的软件恢复，且未回滚交易记录。约3800万枚代币仍滞留在攻击钱包中，多数已被转入中心化交易所。TAC链于8月22日遭袭，质押池损失近30亿枚，其中12亿枚以约95万美元售出。同日晚间，KiiChain也遭遇攻击，损失约1.48亿枚KII，6460万枚被转卖获利约160万美元。宇宙实验室确认另有三条链受波及，但未公布名称。此外，有线索显示Nesa链可能也受到牵连，因存在利用相同漏洞膨胀余额并转移大量NES至以太坊的行为，但尚未获得官方证实。

安全响应机制暴露重大短板

各受影响链普遍反映，从漏洞确认到向运营商发出有效警示之间存在显著延迟。KiiChain指出，初期并未被告知相关版本含关键修复，亦未收到暂停网络的建议。其分析强调：“一次补丁部署通常需数天，而网络停机仅需几分钟。”与此同时，宇宙实验室披露，在首次攻击前约12小时，一名下游开发者已公开漏洞细节与利用路径。然而，攻击者的MANTRA钱包资金流入时间早于该披露，故无法判断其是否提前获知。最终，宇宙实验室在事件期间协调了40条链进行应对，并与另外13条链合作，在攻击发生前完成修补或采取保护措施。过程中还发现了11个此前未登记的宇宙EVM部署实例，凸显对开源生态全貌掌握的挑战。尽管漏洞现已修复，但此次事件揭示的核心问题在于：未来的安全防御不仅依赖于发现漏洞本身，更取决于能否精准识别所有暴露的链，并为验证者提供充分信息与响应时间，以实现有效拦截。