Polycash因部署阶段漏洞遭226万美元利用...白帽介入挽回81%损失_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Polycash因部署阶段漏洞遭226万美元利用...白帽介入挽回81%损失

2026-03-03 19:13:46

Foom Cash匿名彩票协议遭遇重大安全漏洞，226万美元险遭窃取

Foom Cash曾推出基于零知识证明的匿名彩票协议，然而，由于部署过程中的一个致命失误，导致了涉及226万美元的大规模漏洞利用事件。所幸，在一位白帽黑客的及时干预下，大部分资金得以追回，这使得“伦理黑客”在Web3安全事件应对中的重要性再次凸显。

Foom Cash于当地时间3日通过社交平台X宣布，已成功追回本次攻击中被盗资金的81%，即约184万美元。协议方解释说，化名为“Duha”的白帽黑客率先发现了该漏洞，并在Base链上预先保全了资金；而以太坊网络一侧的资金回收工作则由安全公司Decurity负责。

Foom Cash向Duha支付了32万美元作为漏洞赏金，并向Decurity支付了10万美元作为安全服务费用。Duha对此表示：“Foom Cash尊重漏洞赏金政策，这表明他们认真对待协议安全，并珍视那些提供帮助的研究人员。”

漏洞根源：部署流程中的关键遗漏

此次漏洞利用的起因，源于“第二阶段可信设置”过程中遗漏了命令行界面步骤的部署错误。Foom Cash解释说，在基于Groth16的证明生成过程中，若跳过snarkjs的按电路贡献设置，参数γ和δ会保持默认值且相同。

问题在于，这种状态为协议接受“伪造证明”打开了大门。Foom Cash阐明了原因：占位符未能被随机化，从而使得攻击者能够加以利用。这并非智能合约本身的设计缺陷，而更多是部署与验证流程中一次疏忽被放大导致的严重事故。

白帽先行干预渐成DeFi安全常态

白帽黑客的先发制人式干预，在近期的DeFi安全事件中正变得越来越常见。这种方式之所以有效，是因为伦理黑客能在攻击者迅速将被盗资金跨链转移或转入隐私工具之前，率先发现漏洞并将资金“隔离”。

业界常引用的典型案例是2023年8月由Paradigm研究员Samczsun成立的伦理黑客联盟SEAL。据报告，SEAL仅在成立的第一年就参与了超过900起与黑客攻击相关的调查。

行业反思：从事后恢复转向事前防御

这一趋势也与接连发生大型黑客攻击的市场环境相呼应。自2024年印度加密货币交易所WazirX损失超过2.3亿美元的事件后，建立生态系统层面的应对体系的呼声日益高涨。今年2月10日，以太坊基金会宣布与SEAL合作启动“万亿美元安全”倡议，旨在加强针对自动盗取钱包资产的恶意工具的措施。

此次Foom Cash事件再次证实，在Web3安全领域，“事前预防”与“事后恢复”同等重要。随着协议设计日益复杂，从部署流程、验证步骤到安全激励结构的整体检查变得至关重要。预计未来，漏洞赏金计划和伦理黑客网络将发挥越来越大的作用。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文