币圈界报道：

宇宙EVM整数下溢漏洞如何被恶意激活并实现跨链盗取

在8月20日至25日期间，攻击者通过操纵共享软件宇宙EVM中一个深层逻辑缺陷，成功在六条不同区块链上实施资金转移，将非法获取的代币兑换为约570万美元等值资产。其中，287万美元经由去中心化交易平台完成变现，另有285万美元通过中心化交易所流入，相关账户已被冻结以待司法调查。该事件不仅揭示了高危漏洞的跨链传播能力，也暴露了安全补丁向分布式网络传达过程中的严重滞后。

核心漏洞源于整数溢出机制，非新增代币却可无限膨胀余额

此次攻击所依赖的是宇宙EVM框架在v0.6.2及v0.7.2之前的版本中存在的整数下溢问题。攻击者通过创建一个带有锁定代币的账户，并提交一笔委托金额超过其实际持有量的交易，系统未进行有效校验，导致账户余额被计算至负值并发生溢出，最终生成接近2^256-1个基本单位的虚假余额。这一异常数值被用于操控其他账户的代币分配，从而实现无真实增发前提下的资金提取，本质是会计逻辑层面的结构性缺陷。

为何修复措施未能提前部署？关键时间窗口缺失成致命短板

漏洞最早于4月25日由研究人员通过赏金计划上报。宇宙实验室尝试复现攻击场景后认为生产环境无风险，因此未立即采取行动。直至5月，一项静默公开补丁被合并进主代码库，但由于需执行状态破坏性升级，且链运营商须与验证者协商，该更新并未进入生产分支。直到8月初，独立研究者提供新证据，确认所有宇宙EVM链均存在风险。修复方案随后被反向移植，并于UTC时间8月19日23:01正式发布。然而首次攻击发生在约20小时后，MANTRA事后指出：‘在38个独立验证者之间完成评估、构建、测试和协调，远超20小时所能支撑的时限，尤其缺乏针对性指导的情况下’。

投资者应警惕共享协议带来的系统性风险

尽管本次事件造成的直接经济损失相对可控，但其深层影响在于暴露了当前区块链基础设施的脆弱性——数十条独立链共用同一套开源协议，却各自承担升级决策与执行责任。一旦底层框架出现漏洞，整个生态系统将面临同步威胁，而验证者群体往往缺乏统一、及时的应急响应机制，形成“发现慢、通知迟、行动难”的恶性循环。

受影响链名单披露：多链遭遇资金劫持，部分资产已转移至中心化平台

MANTRA遭受最严重冲击，攻击者从销毁地址及一个休眠多重签名钱包中提取约7.209亿枚代币（事件前估值约360万美元）。网络在首次异常转账后四小时内暂停，30余小时后以修补版软件恢复运行，未回滚账本，约3800万枚代币仍滞留于攻击者钱包，其余大部分转入中心化交易所存款地址。TAC链在8月22日遭袭，质押池损失近30亿枚代币，其中12亿枚以约95万美元售出。同日晚，KiiChain损失约1.48亿枚KII，6460万枚被转售，价值约160万美元。宇宙实验室确认另有三条链受波及，但未公布名称；另据传闻，Nesa可能亦涉及类似攻击路径，有大量NES代币被转移至以太坊，但尚未获官方证实。

安全响应链条断裂：信息不对称加剧防御滞后

多条链在事后指出，其最初并未收到明确警告，也不知所用版本包含关键修复，更未被告知可能需要紧急暂停。KiiChain强调：‘补丁部署需数日审查与测试，而网络停机仅需几分钟’。值得注意的是，攻击发生前约12小时，一名下游开发者已公开漏洞细节与利用方式，但攻击者的曼特拉钱包早在披露前数小时便已接收资金，表明攻击准备早于公开披露。最终，宇宙实验室协调了40条链完成修复或保护，另与13条链合作在攻击前完成防护。事件期间还识别出11个此前未登记的宇宙EVM部署实例，凸显对开源生态全面覆盖的挑战。当前漏洞虽已修复，但如何建立高效、透明、可执行的安全通报与响应体系，仍是亟待解决的核心课题。