Carbontec的调查发现DeFi协议的安全盲点
根据Carbontec的调查，超过52万美元的错误发送代币通过公共功能悄然从1inch Routers v4至v6中被提取，暴露了去中心化金融（DeFi）中最广泛使用的合约之一的安全盲点。区块链安全公司Carbontec发现了1inch的聚合路由器v6智能合约中的一个重大设计漏洞，该合约是一个关键的DeFi协议，为数百万用户提供代币交换服务。
漏洞的具体表现
问题在于，任何人都可以提取错误发送到合约的代币，而不仅仅是合约的所有者。根据与Bitcoin.com News共享的独家信息，超过52万美元的加密货币，包括在一次交易中约445,000美元的4.2 WBTC，被无关的第三方在路由器版本4、5和6之间转移。
这个缺陷源于公开可访问的回调函数以及路由器接受用户定义的交换池的逻辑。这些因素允许伪造交易，从而在常规协议使用的幌子下有效地洗钱提取资金。错误发送的代币并没有被锁定或仅能由1inch检索，而是成为了任何具备技术知识的人的“猎物”。
设计权衡与安全性
这并不是一个编码错误，而是一个节省燃气费用的设计权衡，低估了用户行为并高估了通过模糊性实现的合约安全性。Carbontec的首席技术官米罗斯拉夫·巴里尔（Miroslav Baril）分享了公司调查的一些看法。他表示，这不仅是1inch的问题，而是一个系统性的盲点，可能存在于其他DeFi协议中。
假设错误发送的代币要么无法检索，要么只能由合约所有者恢复，这种假设造成了虚假的安全感和保障。
现实世界的风险往往不仅源于代码中的错误，还源于设计模式。结构性协议设计的关键方面必须与安全性和误用预防相平衡。
对DeFi协议的影响
Carbontec的研究表明，这一问题不仅影响1inch，还可能影响任何接受外部合约输入或暴露内部交换回调的DeFi协议。随着数十万美元的用户资金悄然被siphoned off，这项调查引发了关于DeFi协议如何处理错误以及谁真正能够访问用户资金的紧迫问题。
