币圈界报道：

Ekubo协议遭攻击：无限授权成黑客入口，142万美元资产流失

自2026年5月5日起，攻击者利用用户对Ekubo协议路由器长期有效的加密授权，从31个钱包地址中提取资金，总损失约142万美元。据安全团队SlowMist披露，主要受害者的授权早在158天前即已创建，且为无期限状态。

授权默认永续：系统设计埋下安全隐患

在去中心化金融（DeFi）操作中，用户需签署授权以允许智能合约代为调用其代币。尽管这些授权理论上可设定额度上限，但现行标准并未强制设置有效期限。以太坊官方文档明确指出，此类权限不会自动失效，即使用户已断开与平台的连接，其访问权依然存在。

由于授权记录存储于链上代币合约中，而非本地钱包，因此用户必须主动发起撤销操作才能终止权限。这一机制使得大量用户长期处于高风险状态。2022年一项研究显示，截至2021年7月，以太坊生态中高达60%的授权均为无限额度。

授权本质：一次签名背后的持久控制权

用户在确认交易时，常误以为仅授权一次交换行为，实则赋予合约持续提取指定数量代币的权利，直至手动撤销。该机制本身不验证调用方身份，仅检查合约是否具备提取资格，这为恶意代码注入提供了可能。

Ekubo事后更新报告，最初将责任归于用户自行提升限额，但在5月16日修正说法，承认其前端界面可能生成部分无限授权，不再追溯源头。这一转变揭示了项目方在用户体验与安全性之间的权衡困境。

HuffRouter漏洞：一个被忽视的路由组件如何引发危机

Ekubo协议部署于Starknet及多个以太坊兼容链，本次攻击针对的是HuffRouter——一种用于降低交易成本的优化型路由合约，运行于以太坊与Arbitrum网络。其核心缺陷在于数据解析逻辑错误，允许攻击者在合法路径后插入任意字节，伪装成结算数据。

具体而言，攻击者可篡改付款人字段，使任何曾授权该路由器的用户成为目标。首次提款发生于2026年5月5日UTC时间下午5:50。初步估算损失达142万美元，涉及31个地址，其中单个账户损失近137万美元的WBTC及少量cbBTC，占比超过98%。

值得注意的是，此次事件未影响流动性提供者或Starknet版本。团队承认未对相关合约进行审计，并低估了风险。尽管声称授权可被限制，且日常交易应为小额频繁，但该类合约一旦部署便不可更改，被明确标注为“仍具脆弱性”。此后，Ekubo于6月23日上线由DAO自愿资助的报销基金，按地址封顶补偿受害者。

行业通病：从LI.FI到SwapNet，授权漏洞反复上演

Ekubo并非首例。Revoke.cash年度报告显示，2024年因授权缺陷造成的损失高达8000万美元，2025年亦有9起事件，总金额超600万美元。

2024年7月，LI.FI平台遭遇1160万美元损失，涉153个钱包，均因无限期授权漏洞。同年1月，Socket平台影响约200名用户，皆持有永久访问权限。2026年1月，SwapNet漏洞导致18名用户损失1343万美元。尽管Matcha Meta建议禁用默认单次授权，但分析表明，即便精确设定金额，资金仍面临风险。

此类攻击不同于典型的签名诈骗。后者通过伪造网页诱导用户签署给黑客的授权，2025年该类欺诈造成8385万美元损失，但与本事件性质不同。

防范策略：三步构建更安全的授权管理体系

首要原则是严格控制金额。MetaMask等主流钱包支持在签名时设定支出上限，官方指南强调：“切勿授予无限额度。”

其次应定期清理。Revoke.cash可查询用户在80多个网络上的授权情况，而Etherscan验证器也提供类似功能。批量撤销虽需支付1.50美元费用，但逐个撤销无需额外成本。新加坡警方与网络犯罪署曾在2024年1月建议审查并清除大额授权。

最后，部分平台正推动时效性改进。Uniswap采用Permit2机制，提供最长30天的有效期授权。但前提是用户需先向Permit2合约授予权限，而该授权本身仍无过期机制。在Starknet生态中，代币依旧遵循以太坊式的无期限模型。

新标准兴起：推动授权默认过期的变革尝试

2026年5月6日，Ekubo创始人Moody Salem提交了ERC-8255提案，旨在实现授权自动过期。其核心思想是：所有传统授权将在预设最大周期后失效，具体时长由代币发行方定义。同时引入短期授权选项，最短可达单个区块。

该提案保留与现有应用的兼容性，但改变了默认行为，引发社区分歧。在Ethereum Magicians论坛上，部分开发者主张维持原有模式不变。研究人员pcaversaccio则直言：“授权一直是一个漏洞，而非功能特性。”

其他替代方案亦在探索中。如ERC-7674提出在交易完成后立即擦除授权；自2025年5月Pectra升级以来，兼容钱包已可将授权与交易合并为单一操作。

截至2026年10月18日，ERC-8255仍处于草案阶段，尚未有实际部署案例。受影响的Ekubo路由器无法回滚，因此除非用户主动撤销，否则其无限授权将持续生效。此外，当前主流加密钱包的安全防护措施对比显示，主动管理权限仍是唯一可靠防线。