币圈界报道：

Predict.fun平台遭恶意攻击：19个钱包被清空，资金转入Tornado Cash

近期，预测市场项目Predict.fun遭遇严重安全事件，至少19个与其关联的钱包被清空，总计约105 ETH（约合26万美元）被盗。链上分析显示，这些资金经由多个中间地址流转后，最终进入加密货币混币服务Tornado Cash，意图掩盖交易路径。

初步发现与受害者范围确认

事件起源于一名X平台用户dethective的公开披露，其表示在短时间内丢失约5,000美元，并指出其他Predict.fun用户也出现类似异常资金流出。链上调查员Naeven随后介入，核实了19名受害者的地址，确认总损失达105 ETH。

尽管目前仅确认明确目标，但调查团队推测实际受影响数量可能更高。所有被盗资金均通过跨链路径传输，最终集中至被称为‘drainers’的异常地址，该类地址常被用于自动化盗取操作。

资金路径追踪与技术特征分析

Naeven于10月27日发布详细链上报告，揭示了资金从多个初始钱包出发，经由若干跳转地址后，最终注入Tornado Cash。这种模式与近年来多起高调攻击案中的资金处理方式高度一致。

报告指出，多个受害钱包存在共同行为特征——即曾与同一智能合约交互，且部分交易记录显示早期存在小额转账活动。然而，这些早期交易是否构成攻击入口仍无定论。

攻击诱因与潜在风险点待查

截至目前，攻击具体手段尚未明朗。调查方未排除权限泄露、恶意签名授权或智能合约逻辑缺陷等可能性。尤其值得注意的是，部分被盗钱包曾授予外部合约无限访问权限，这可能成为攻击切入点。

专家提醒，若用户曾为Predict.fun或其他去中心化应用授权无限额度，应立即撤销相关许可，并尽快将剩余资产迁移至受控钱包。

混币器使用频发反映行业安全困局

此次资金流入Tornado Cash并非孤立现象。本月早些时候，Drift Protocol漏洞事件中，攻击者将逾1.09亿美元ETH转入该混币器；另一起Triple-A金库入侵案中，约1,240万美元加密资产亦通过相同渠道流转。

此外，10月5日发生的USDG提款事件中，攻击者利用被篡改的授权签名，在单笔交易内完成资金提取，分配比例符合典型盗取工具特征。这些案例表明，当前多数高级别攻击均依赖权限滥用与混币技术结合，以实现资产脱敏与长期持有。

对于Predict.fun事件，调查团队强调，尚无法确认是否存在统一的受损合约或共用漏洞，需进一步分析交易日志与合约部署细节。