币圈界报道：

Ekubo协议遭授权滥用攻击，超百万美元封装资产被盗

去中心化金融协议Ekubo近日因核心智能合约中的授权机制缺陷遭受针对性攻击，导致其基础设施内约140万美元的封装比特币被非法转移。此次事件再次揭示当前DeFi生态中普遍存在的权限管理隐患，对用户资产保护构成严峻挑战。

攻击路径聚焦于历史授权残留

本次攻击目标为Ekubo部署在EVM链上的交换路由器模块，利用了用户此前授予该合约的持久性代币操作权限。攻击者通过已建立的授权通道，从与Ekubo有过交互的钱包中提取封装比特币，总损失预估达140万美元。所涉资产为以ERC-20形式存在的封装比特币，表明攻击发生于以太坊兼容链的智能合约层。

相关资金追踪数据显示，攻击资金已流向多个匿名地址。Ekubo官方已在社交平台确认事件真实性，安全机构随后将该漏洞纳入公开数据库。目前，主流监控平台已将其列为高危威胁，供受影响用户进行资产自查。

权限滥用如何实现资产转移

在DeFi环境中，代币授权允许智能合约代表用户执行转账操作。通常情况下，用户需主动为交换路由、借贷协议等服务授予权限，以便完成交易。然而，一旦授权设定后，若未及时撤销，其有效性可能持续数月甚至永久存在。

当被授权合约存在逻辑缺陷或被逆向分析出可利用路径时，这些长期有效的权限便成为攻击者的直接入口。攻击者无需破解钱包私钥，仅凭已有授权即可实施资金转移。封装比特币因其以标准代币形式运行于链上，同样受制于相同的授权体系，因此极易成为此类攻击的靶点。曾通过Ekubo路由器兑换或交易封装比特币的用户，若保留了开放权限，则面临被批量提取的风险。

区别于传统攻击方式对协议资金池的直接侵占，此类攻击更隐蔽，影响范围取决于持有活跃授权的用户基数，具有扩散性强、识别难的特点。

用户应立即开展权限审计与清理

所有曾与Ekubo协议交互的用户应尽快检查并取消所有非必要且未使用的代币授权。现有工具支持一键查询与撤销合约权限，部分钱包集成安全仪表盘可实时提示潜在风险。尽管基于授权的攻击并非首次出现，但其仍是当前最频繁发生的攻击类型之一。

建议用户在跨协议操作时采用限额授权而非无限授权模式，有效降低单次漏洞爆发带来的损失规模。随着区块链应用生态不断扩展，以及更多外部资本涌入去中心化金融领域，权限管理已成为每位参与者不可忽视的核心安全环节。

截至目前，Ekubo尚未公布完整技术复盘报告，亦未宣布对受害用户的补偿安排。建议密切关注其官方公告渠道，获取后续应对措施、根本原因披露及潜在赔偿计划的更新信息。