Aave V3舍入漏洞揭示核心代码风险

基于Hyperliquid的HyperEVM、支持集合与隔离市场的借贷协议HypurrFi，在Aave V3核心代码（3.5版本前）中识别出计算逻辑缺陷。为保障用户资金安全，该协议已立即暂停XAUTO和UBTC市场的新存款及借款活动，同时开放无风险提款与还款通道。此事件发生时，Aave Labs正公布其V4升级的详尽安全评估报告，强调经过一年高强度审查未发现严重问题。然而，当前管理逾265亿美元用户资产的V3系统仍暴露出明显缺陷，引发市场对其长期稳定性的持续关注。

多方协作应对漏洞影响范围

HypurrFi在内部监控系统检测到异常后迅速采取行动，限制受影响市场的交易行为，并启动与Aave部署方及第三方安全研究团队的联合排查机制。该协议还主动呼吁其他采用Aave分叉架构的项目及时获取漏洞信息，暗示潜在影响可能超出单一平台边界。此举不仅强化了跨生态协同响应的重要性，也进一步放大了对Aave V3整体安全性的疑虑。与此同时，尽管去年收入突破1.2亿美元，但此次事件使投资者重新审视协议在实际运行中的稳健性。

V4升级报告难消市场疑虑

就在漏洞披露前夕，Aave Labs发布了涵盖2025年3月至2026年2月为期一年的安全审查报告。报告显示，累计投入345个审查日，由Certora、ChainSecurity、Trail of Bits、Blackthorn等多家机构参与，且在六周的Sherlock竞赛中收集超900名研究员提交的发现。报告宣称“未发现关键或高危漏洞”，并指出新框架融合形式化验证、人工审计、不变性测试、模糊测试及AI辅助扫描，体现“安全优先”理念。然而，由于此前V3上线前亦经历类似流程却仍在运行数年后被曝光问题，市场对“全面审计即安全”的认知产生动摇，质疑声随之升温。

生态治理矛盾加剧信任危机

此次事件正值Aave生态系统动荡时期。BDG Labs于2月20日宣布将于4月1日退出，公开表示对治理权集中与人为干预V3演进路径的不满。随后，ACI亦宣布不再续约，计划在剩余四个月协议期内逐步退出。其创始人Marc Zeller特别指出，“Aave必胜”提案虽获52.8%社区支持，但若剔除与Labs关联地址贡献的约23.3万枚AAVE（其中11.1万枚据称来自创始人Stani Kulechov），该提案将无法通过。这一数据揭示出治理投票背后的实际权力结构，引发对社区自主性的担忧。早期建议的渐进式迁移方案被搁置，取而代之的是强制推动向V4切换，导致部分核心成员离场。这种单边推进策略被视为削弱社区话语权的信号，加剧了对去中心化原则执行效果的质疑。