Moonwell遭遇178万美元黑客攻击，AI编程争议波及DeFi领域_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Moonwell遭遇178万美元黑客攻击，AI编程争议波及DeFi领域

2026-02-18 22:19:34

Moonwell遭受精密攻击，损失约178万美元

活跃于Base和Optimism生态的去中心化借贷协议Moonwell近期遭受了一次精心策划的攻击，导致攻击者获利约178万美元。根本原因在于其Coinbase封装质押ETH价格预言机返回了异常低值——约为1.12美元，而非接近2200美元的实际价格。这一定价错误被利用者加以操纵并获取利润。

该事件凸显了当价格反馈出现偏差且自动化系统锁定错误数据时，跨链DeFi基础设施的脆弱性。同时，这也将智能合约安全中AI辅助开发的作用推至聚光灯下，随着越来越多团队依赖AI驱动工具来加速编码和审计流程，这一话题正引发日益增长的争议。

技术漏洞背后的治理与工程问题

此次事件将技术性定价错误与超越单一攻击的治理和工程问题联系起来。安全研究员Leonid Pashov在社交媒体上指出底层代码库中存在AI辅助开发的迹象后，Moonwell的开发活动受到审查。涉及受影响合约的代码提交记录显示，多个提交由Claude Opus 4.6协同完成，这指向了Anthropic的AI工具。Pashov公开将此案例描述为AI编写或AI辅助Solidity代码产生反效果的例证。

Pashov在接受采访时描述了问题发现过程：开发团队之所以将此事与Claude联系起来，是因为在相关代码提交中有多次记录被标记为Claude的AI辅助工作流，表明开发者使用AI编写了部分代码。他强调，更广泛的启示并非AI本身存在固有缺陷，而在于流程未能实施严格的检查与端到端验证。这一区分至关重要，因为它将事件定性为关于治理、审计纪律和测试严谨性的警示——这些因素本应约束任何尝试AI赋能开发流程的DeFi项目。

测试与审计流程的争议

Moonwell团队最初的回应表明项目初期未进行充分测试或审计。随后团队又表示单元测试和集成测试存在于独立的代码提交中，并且已委托Halborn进行审计。Pashov评估认为，若存在足够严格的、连接链上链下逻辑的集成测试，或许能发现此次定价偏差，但他并未归咎于任何审计机构。

讨论焦点在于：AI生成或AI辅助的代码是否应被视为不可信输入，从而必须经过严格的治理流程、版本控制和多人审核，尤其在访问控制、预言机交互、定价逻辑和升级路径等高危领域。

AI在加密开发周期中的角色辨析

去中心化身份基础设施提供商cheqd的联合创始人兼首席执行官Fraser Edwards指出，当前关于"氛围编程"的讨论掩盖了AI应用中的两种现实：一方面，非技术创始人可能依赖AI起草他们无法审查的代码；另一方面，经验丰富的开发者可在成熟的工程规范内利用AI加速重构、探索模式和测试想法。他强调AI辅助开发在最小可行产品阶段具有价值，但绝不应替代DeFi等资本密集型环境中生产就绪的基础设施。

Edwards建议所有AI生成的智能合约代码都应视为不可信输入，需要健全的版本控制、清晰定义的权属、多人同行评审和高级测试——特别是对于管理访问控制、预言机、定价逻辑和升级机制的模块。他补充说，负责任的AI整合最终取决于治理与规范，需要明确的审查机制以及代码生成与验证的分离，以确保在对抗性环境中部署的合约所隐含的风险得到主动缓解。

损失虽小，治理问题重大

Moonwell事件发生在DeFi风险偏好与不断演进的开发实践相碰撞的大背景下。虽然此次攻击的金额远小于DeFi领域某些最严重的漏洞事件，但它揭示了治理决策、测试严谨性和工具选择如何实时影响项目结果。AI辅助编辑、价格预言机配置错误和已审计代码库的结合，提出了一个尖锐问题：当AI成为开发工作流的一部分时，项目应如何平衡速度、创新与安全？

这一教训适用于任何依赖外部价格反馈和复杂升级路径的协议，尤其是当这些升级涉及抵押品和流动性风险时。

迭代速度与全面验证的张力

随着行业权衡这些因素，Moonwell事件为试图在不损害基本保障的前提下扩展AI赋能开发的安全模型提供了一次实际压力测试。它强调即使进行了审计和测试，包含链上链下交互的端到端验证仍然至关重要。快速迭代与详尽验证之间的紧张关系不太可能缓解，特别是当更多协议探索AI驱动的工具以在保持安全的同时跟上创新步伐时。

"氛围编程"与规范化AI应用之辩

加密领域关于AI辅助编码的讨论已从对AI与人类开发者的二元批判，转向对流程的细致辩论。Edwards的思考强调，当AI被整合到强调防护措施、权属关系和严格测试的规范框架内时，它可以成为高效的生产力辅助工具。Moonwell案例强化了一个观念：鉴于DeFi领域的高风险性，AI生成的代码仍需接受与手写代码同等甚至更严格的审查。

实际上，该事件促使人们重新评估智能合约团队内部如何管理AI辅助工作流：谁拥有AI生成的产出、变更如何评审、自动化测试如何映射到区块链上的真实场景。核心启示并非妖魔化技术，而是确保治理渠道、审计流程和链上验证足够强大，能在资金面临风险前发现配置错误和定价偏差。

后续观察重点

Moonwell概述了事件后的修复步骤与治理变更，包括预言机整合与升级路径的任何调整。审计方与Moonwell团队发布了详细的事后分析报告及修订后的测试框架，明确将链上场景与单元测试和集成测试挂钩。更多独立审计将聚焦于AI辅助开发工作流及其对关键智能合约组件的影响。同时，链上监控和预警机制将得到加强，以实时检测价格异常并触发断路器或暂停机制等保护措施。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文