黑客入侵已停用的 Thetanuts 机枪池，盗走 210万美元：事件经过与 DeFi 启示

210 万美元 Thetanuts 攻击事件解析

去中心化期权协议 Thetanuts Finance 近期遭遇安全事件，攻击者利用一个旧机枪池合约，盗取了约 210 万美元的资产。区块链安全公司率先发现该漏洞，实时观察到可疑交易从协议的期权代币基础设施中抽走资金。

有趣的是，受影响的合约并非 Thetanuts 当前在使用的产品。攻击发生后不久，团队表示，被利用的金库是一个多年前就已完成迁移的废弃合约，与平台当前产品无关。

这一解释或许能让现有用户安心，但也引出更大的疑问：合约已经退役，黑客为何仍能利用？

答案在于 DeFi 最核心的特性之一——智能合约通常不可更改，除非采取特定措施予以停用或限制，否则将永久存在于链上。

退役金库为何仍有漏洞

许多 DeFi 项目发展迅速，协议会升级金库、重新设计代币经济模型，或将流动性迁移至更新版本。然而，原始合约往往仍部署在区块链上。

即便开发者不再维护这些合约，攻击者依然会持续分析，寻找可乘之机。

这一现象催生了新的安全风险类别——遗留合约暴露。

与传统软件不同——过时系统可直接关闭——公共区块链上的智能合约始终可访问。只要残留资产、权限或可利用逻辑存在，黑客就有可能从中获利。

Thetanuts 攻击符合这一模式。据初步调查，攻击者瞄准了旧金库的指数代币机制，在极端条件下操纵合约的账目计算逻辑。

闪电贷攻击如何运作

安全研究人员指出，攻击者采用了闪电贷——一种流行但颇具争议的 DeFi 基础工具。

闪电贷允许用户无需抵押即可借入大额资金，前提是借入资金在同一笔区块链交易中归还。

闪电贷本身是合法金融工具，但攻击者常利用其放大攻击效果。

在 Thetanuts 事件中，攻击者将代币供应量调至极低水平，导致金库的铸造和领取计算出现缺陷，从而触发四舍五入或会计错误，得以用人为的低价铸造新期权代币。

代币创建后，攻击者将其兑换为价值显著更高的资产。

整个流程在单笔交易中完成：

1. 通过闪电贷借入资金；
2. 操纵金库代币供应；
3. 利用铸造公式漏洞；
4. 兑换膨胀后的资产；
5. 偿还闪电贷；
6. 留下剩余盈利。

由于攻击具有原子性，发生时几乎无任何人工干预的机会。

白帽回收与 Thetanuts 的回应

虽然总损失金额约达 210 万美元，但并非所有资产都永久丢失。

区块链安全公司 PeckShield 报告称，通过白帽操作已追回价值约 200 万美元的期权代币，大幅降低了最终损失。

攻击者将约 10.5 万 USDC 的资产兑换为 ETH，并保留了少量尚未追回的期权代币。

Thetanuts 随后表示，事件未影响其当前产品或活跃合约，并承诺完成调查后发布完整的事后分析报告。

这一回应虽能暂时安抚用户，但此次攻击表明，安全责任并不会因协议升级基础设施而终结。

旧智能合约为何仍是 DeFi 主要风险

Thetanuts 事件是更广泛趋势的一部分。

过去几年中，许多 DeFi 攻击不仅盯上活跃代码，攻击者更在积极寻找：

• 仍留有资产的废弃金库；
• 被遗忘的管理权限；
• 遗留跨链桥；
• 过时的质押合约；
• 未使用的流动性池。

这些合约不再接受审计或未被主动监控，成为极具吸引力的攻击面。

此外，许多遗留合约建于 DeFi 早期发展阶段，当时的安全标准远不及今天成熟。

随着协议在多个链上扩展并推出多代产品，休眠合约的数量不断增加。

可见，仅靠迁移远远不够。

项目方还需思考如何安全地退役旧基础设施。

投资者能从 Thetanuts 事件学到什么

对普通投资者而言，此次黑客攻击提供了几个重要启示。

1. 风险不仅限于活跃产品

即使协议当前平台本身安全，历史合约仍可能使生态系统面临声誉和财务损失。

2. 智能合约风险从未完全消失

DeFi 用户常关注代币价格与收益，但代码风险始终是行业最重要的变量之一。

审计能降低风险，却无法彻底消除。

3. 闪电贷是强大的工具

闪电贷本身并非恶意，它提升了资本效率，支持构建复杂的交易策略。

但同时，攻击者能借此瞬间获取巨额流动性，将小漏洞放大为数百万美元的攻击。

4. 安全是持续的过程

协议迁移至新版并不代表安全。

开发者必须持续监控旧部署，撤销不必要的权限，并就退役基础设施保持透明沟通。

DeFi 安全的未来

Thetanuts 攻击事件提醒我们，DeFi 安全正从保护活跃合约，转向管理完整的链上历史。

早期，开发者侧重于预防新产品的漏洞。

而如今，他们还需回答更棘手的问题：

• 旧合约应当如何退役？
• 休眠金库能否被永久禁用？
• 协议是否应对废弃基础设施保持持续监控？
• 用户如何验证哪些合约仍受支持？

随着去中心化金融走向成熟，这些问题将愈发重要。

Thetanuts 事件的讽刺意味显而易见：最大的威胁并非来自前沿智能合约，而是来自许多人早已忘却的代码。

在一个合约永存的无需许可生态系统中，“已弃用”并不等同于“安全”。

这起 210 万美元的攻击再次印证：在 DeFi 中，安全不仅关乎保护未来——同样也关乎管理过去。