币圈界报道：

2026年9月15日以太坊钱包遭劫：模块权限滥用引发巨额资产流失

2026年9月15日，一个采用Safe多签架构的以太坊钱包在未触发任何所有者签名的情况下，损失约2,882.37个rsETH。尽管多签设计本应保障高安全性，但此次事件暴露了智能合约钱包中模块权限的潜在风险。问题根源在于用户自行激活的一个外部模块，其功能被恶意利用，从而绕过常规验证机制。

模块权限的本质：为何它能凌驾于签名之上

Safe模块是独立部署的智能合约，一旦授权即获得代表钱包执行交易的能力，无需依赖多签共识。该机制旨在支持自动化流程，如定期分红或策略再平衡。然而，其技术本质决定了：只要模块被激活，便可调用execTransactionFromModule函数，在不触发签名阈值的前提下执行任意操作。

官方文档明确警示：模块可执行任何交易，仅应集成经审计且可信的合约。若模块存在缺陷或恶意行为，钱包将完全丧失控制权。这种永久性授权与日常使用中的隐蔽性，使其成为攻击者理想的切入点。

攻击路径拆解：从钩子到解包的完整链式操作

攻击发生在区块25980525，UTC时间04:38:47。目标为持有Kelp DAO液态质押代币rsETH杠杆头寸的单一Safe钱包。据Blockaid与PeckShield初步分析，损失金额介于773万至781万美元之间，具体为2,882.37个rsETH。

攻击起点是一个用于Uniswap v4流动性策略的自定义模块。该模块提供公开入口点，未经身份验证地将调用数据直接传递给execTransactionFromModuleReturnData函数，标志位设为1，即触发DELEGATECALL。

DELEGATECALL允许外部代码在钱包账户上下文中运行，仿佛由钱包自身编写。由于模块已启用且无访问控制，所有者列表与签名要求在此路径中失效。攻击者借此完成对钱包的全面接管。

链上重构：如何通过钩子与再平衡实现资金提取

攻击过程分为三步：首先，攻击者调用公开的Keeper多调用函数，引导钱包模块接入其控制的Uniswap v4池；其次，利用池内可配置的钩子（hooks）机制，植入恶意代码；最后，触发解包流程，将受保护的aEthrsETH转换为可自由转移的rsETH。

aEthrsETH是计息包装形式，需通过特定流程释放底层资产。此环节由钩子自动执行，使原本无法移动的持仓变为可转移状态。整个链条利用了协议设计中的便利性功能，反被用于恶意目的。

MEV机器人介入：“yoink”如何抢夺被盗资产

攻击者的交易被提交至公共内存池，可供任何人观察。名为“yoink”的MEV机器人实时监测并重建相同调用序列，于同一区块内抢先执行，成功将2,882.37个rsETH转入其控制地址，估值约780万美元。

对原钱包而言，损失不可逆。但对普通用户而言，此案揭示两个关键事实：一是漏洞曝光后，任何具备快速响应能力的参与者均可复制攻击；二是恢复可能性取决于漏洞性质——本案中并非代币或协议受损，而是单个钱包的定制模块被滥用，因此恢复前景有限。

历史重演：2026年5月25日SquidRouterModule事件回溯

2026年5月25日，类似攻击曾波及至少86个以太坊与Base网络上的Safe钱包，造成估算损失达320万至400万美元。攻击者未使用DELEGATECALL，而是通过冒充授权代理调用executeSameChainActions()函数，利用模块的广泛权限伪造指令。

尽管提供商Squid声明其产品未受影响，但事件表明：一旦模块被启用，其权限便不受控制。这印证了一个核心结论——当前多签最薄弱环节，往往不是签名阈值本身，而是那些被允许绕过该机制的外部合约。

五步自查法：如何在五分钟内检查你的模块状态

检查模块列表不涉及费用，也无需签名，是防御的第一道防线。建议采取双路径验证：

一、通过界面：进入Safe钱包设置 → 模块列表，查看已启用的合约地址。对每个条目提出三个问题：是否记得启用原因？是否仍在使用相关服务？能否追溯到可信任的审计方或发布方？任一答案为否，即应列入移除清单。

二、通过合约：使用只读函数getModules获取所有模块地址，或调用isModuleEnabled验证特定地址状态。该方式直接读取链上数据，避免界面渲染遗漏，适用于高级用户与开发者。

关闭模块：为何必须经过签名确认

禁用模块需调用disableModule函数，属于正式交易，需支付Gas费并满足所有者签名阈值。在Safe界面中，可在模块列表中启动移除流程，所有者按常规方式确认。

值得注意的是，模块在合约中以链表形式存储，关闭时需提供前驱地址。工具链会自动填充，但手动构建交易者须自行处理，否则调用将失败。

模块权限与代币授权：两种不同层级的控制权

模块权限与代币授权（approve）本质不同：前者允许外部合约在钱包内部跨资产执行操作，后者仅限于指定代币的扣款额度。两者互不替代，即使撤销授权，仍可能面临模块权限滥用风险。

对于托管于交易所的钱包，上述检查不适用。只有自主管理的钱包才需主动审查模块状态。

深层包装结构放大风险：为何aEthrsETH加剧损失

受害者钱包持有的资产为双重包装：先为液态质押代币rsETH，再经Aave平台封装为计息型aEthrsETH。每一层包装都引入新的合约逻辑与潜在漏洞。

这意味着：收益越高，合约链条越长，风险暴露面越大。用户应清晰掌握自己资产所处的层级结构。我们的质押平台概览可帮助识别每层之间的合约关系。

监管升级：欧盟《网络弹性法案》下的报告义务

自2026年9月11日起，欧盟《网络弹性法案》生效，要求数字产品制造商在发现主动利用漏洞后24小时内向ENISA及国家应急团队通报，并在72小时内提交详细说明。该规定涵盖已上市产品。

虽然钱包软件属监管范围，但本次事件中所涉模块为用户自建合约，非厂商产品，因此不受通知义务约束。这意味着：对于定制化模块，用户必须承担全部自查责任。

行动指南：模块管理的三大核心原则

立即检查你的模块列表。打开钱包设置，逐项审视已启用的合约地址。若无法解释用途、不再使用相关应用，或无法溯源其来源，应果断移除。

安排在低Gas时段批量关闭多个模块，降低交易成本。若追求极简控制，可考虑切换至无模块逻辑的轻量级钱包方案。

评估你收益头寸的合约层级。每增加一层包装，就多一份潜在风险。确保你能清晰描述你与ether之间的所有中间合约。

9月15日事件并非否定智能合约钱包的价值，而是提醒：真正的安全始于对无人关注的细节的审视。本文内容基于The Crypto Times于9月15日还原的链上序列。（截至2026年9月16日）本文不构成投资建议，价格与费用可能变动，请以实际为准。